Insofern ist eine iCloud-Nutzung im direkten Vergleich zur OneDrive-Nutzung in Bezug auf die DSGVO mindestens in einem zusätzlich Punkt angreifbar. Und während die fehlende aktuelle Regelung als durchaus noch durch die weitere Rechtsprechung konkretisier und theoretisch heilbar scheint, bleibt der fehlende AV-Vertrag ein sehr konkret zu benennender und ganz einfach nachweisbarer Mangel.
Imho völlig unnötig, dieses Risiko in gewerblicher Hinsicht einzugehen.