145
}
3.15.3
Festlegung der auszulagernden Daten
Nach deutschem Datenschutzrecht finden die Vorschriften des BDSG
Anwendung auf personenbezogene Daten. Darunter fallen alle
Einzelangaben über eine bestimmte oder bestimmbare natürliche Person,
etwa Kunden- oder Mitarbeiterdaten. Angaben, die sich ausschließlich auf
ein Unternehmen beziehen, ohne gleichzeitig eine natürliche Person zu
betreffen, fallen daher nicht unter den Schutzbereich des BDSG und können
regelmäßig ohne weitere Einschränkungen verarbeitet werden. Falls
Sondergesetze greifen, wie etwa das Telekommunikationsgesetz, können
auch Unternehmensdaten unter den Datenschutz fallen. Hingegen gelten
alle Daten, die einen Personenbezug haben oder bei denen der Anbieter,
der Nutzer oder ein Dritter einen Personenbezug unschwer herstellen
könnte, als personenbezogene Daten; der Begriff wird von den zuständigen
Datenschutzbehörden weit ausgelegt. In der Praxis wird es daher nur sehr
wenige Cloud-Anwendungen geben, bei denen Daten verarbeitet werden,
die nicht unter das BDSG fallen.
Fallen so genannte besondere Arten personbezogener Daten in den
Anwendungsbereich der Cloud-Dienstleistungen, gelten teilweise strengere
Sonderregelungen. Unter diesen Daten versteht das Gesetz Angaben über
die rassische und ethnische Herkunft, politische Meinungen, religiöse oder
philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit
oder Sexualleben (§ 3 Abs. 9 BDSG). Wenn solche Daten betroffen sind,
sollte der Diensteanbieter darauf gesondert verweisen und angehalten
werden, der erhöhten Schutzbedürftigkeit der betroffenen Datensubjekte
im Rahmen der technischen und organisatorischen Maßnahmen Rechnung
zu tragen.
3.15.4
Auswahl und Prüfung des Cloud-Diensteanbieters
Nachdem die in die Cloud zu übertragenden Dienste ermittelt und mögliche
Anbieter bekannt sind, stellt sich die Frage, welcher Anbieter wohl der
richtige ist.
Als erstes Auswahlkriterium ist zu ermitteln, welcher Anbieter eventuelle
branchenspezifische Anforderungen erfüllt, denen der Kunde unterliegt.
Abhängig vom Einzelfall können oder müssen die Vorschriften durch den
Cloud-Computing-Anbieter dadurch erfüllt werden, dass er selbst über
entsprechende Bewilligungen oder Zertifizierungen verfügt, oder es kann
genügen, dass lediglich faktische Gegebenheiten vorliegen, beispielsweise
die Möglichkeit der Speicherung der Daten ausschließlich im Inland. Näheres
dazu in Abschnitt 3.10.
