107
}
den EU-Standard-Vertragsklauseln dieselben Sicherheitsmaßnahmen wie bei
der Auftragsdatenverarbeitung anzuordnen sind (siehe vorn, Abschnitt
3.4.3.2).
Sollen besonders sensible Daten in eine Cloud übermittelt werden, kommt
der Auftraggeber kaum darum herum, um Einwilligung bei den betroffenen
Datensubjekten nachzufragen oder aber technische Lösungen einzusetzen.
Gemeinhin wird (insbesondere in der Anwaltschaft) als genügend
angesehen, Daten in verschlüsselter Form in die Cloud hochzuladen. Ob dies
der letzte Schluss ist, darf bezweifelt werden. Entscheidend ist der effektive
Entschlüsselungsschutz. Ist dieser gewährt, kann eine Verschlüsselung als
(
vorübergehend) ausreichende Maßnahme durchaus in Betracht gezogen
werden.
Der Vollständigkeit halber ist daran zu erinnern, dass Übermittlungen ins
Ausland nach CH-DSG zu Meldepflichten und nach AT-DSG zusätzlich zu
Genehmigungspflichten führen können.
3.8
Informationspflichten bei Datenlecks
Kommt es beim Cloud-Anbieter zu einem Sicherheitsleck und geraten
personenbezogene Daten dadurch aus dem Kontrollbereich des Cloud-
Anbieters und damit des Auftraggebers, hat der Auftraggeber gegenüber
den Nutzern, denen gegenüber er in der Verantwortung steht, unter
Umständen eine vertragliche Aufklärungspflicht. Wie diese Pflicht
wahrgenommen werden muss, bestimmt sich im Einzelfall. Eine gesetzliche
Pflicht zur Information von Betroffenen, der Behörde oder der Öffentlichkeit
besteht nicht.
Seit dem Jahr 2010 kennt demgegenüber das AT-DSG die Pflicht, betroffene
Personen im Fall von unrechtmäßiger Datenverwendung zu informieren
(
besser bekannt als Data Breach Notification Duty). Auch das DE-DSG
kennt eine Pflicht zur Data Breach Notification.
Nach dem AT-DSG entsteht die Pflicht, wenn Daten aus Datenanwendungen
des Auftraggebers
systematisch und schwerwiegend unrechtmäßig
verwendet wurden
und den Betroffenen daraus ein Schaden droht. Der
Auftraggeber muss, sobald ihm eine solch unbefugte Verwendung bekannt
geworden ist, die Betroffenen unverzüglich
in geeigneter Form
informieren.
