In der Wolke auf festem Boden

Cloud Computing wird heute als das technologische Allheilmittel angesehen, wenn es um virtualisierte Infrastrukturen, hohe Skalierbarkeit und hohe Kostenersparnis geht. Dennoch reagieren viele Unternehmen bisher sehr verhalten, Daten in die Cloud zu verlagern. Sie trauen weder Technik noch Anbietern, wenn es um den Umgang mit sensiblen Daten geht.

Tatsächlich stößt Cloud Computing an seine rechtlichen Grenzen, wenn es um personenbezogene Daten geht. Der Auftraggeber sollte daher als erstes prüfen, ob und unter welchen Voraussetzungen deren Speicherung in der Cloud erlaubt ist. Denn die Verarbeitung personenbezogener Daten unterliegt strengen datenschutzrechtlichen Vorschriften. Grundsätzlich muss die Zustimmung des Betroffenen eingeholt werden, was in der Praxis aber häufig schwer umsetzbar ist.

Ist diese Voraussetzung nicht gegeben, hilft die in § 11 BDSG geregelte Auftragsdatenverarbeitung weiter. Dafür muss der Provider die personenbezogenen Daten “im Auftrag des beauftragenden Unternehmens” verarbeiten. Der Auftraggeber bleibt in diesem Fall dafür verantwortlich, dass die datenschutzrechtlichen Vorschriften bei der Datenverarbeitung in der Cloud eingehalten werden. Gehen beide Geschäftspartner so vor, fungiert der Cloud Service Provider als “verlängerte Werkbank” seines Auftraggebers; er gilt nicht als Dritter im Sinne des Bundesdatenschutzgesetzes, so dass rechtlich gesehen keine zustimmungspflichtige Übertragung der Daten erfolgt.

Allerdings kann der Auftraggeber dieses Privileg nur dann für sich in Anspruch nehmen, wenn auch die in § 11 Abs. 2 BDSG genannten Voraussetzungen erfüllt sind: Danach darf er nur einen Cloud Service Provider auswählen, der seiner Ansicht nach für die technischen und organisatorischen Maßnahmen geeignet ist. Zudem müssen die Parteien schriftlich folgende Punkte festhalten: wie und in welchem Umfang die Datenverarbeitung in der Cloud erfolgen soll, welche weiteren Pflichten den Cloud Service Provider treffen, welche Weisungs-und Kontrollrechte der Auftraggeber hat und was mit den ausgelagerten Daten zum Ende der Auftragsdatenverarbeitung geschehen soll. Der Auftraggeber muss während der gesamten Vertragslaufzeit kontrollieren, ob der Anbieter die vertraglichen Vereinbarungen auch einhält.