164
}
Das Problem tritt mit einer Verknüpfung der genannten Daten auf. In
diesem Fall ist die jeweils höhere Schutzkategorie anzuwenden. Fraglich ist,
ob und welche Verknüpfungen gespeichert werden dürfen, wenn dies nicht
zum Beispiel für Abrechnungszwecke unbedingt erforderlich ist.
Neben Schadenersatzansprüchen (Ersatz von nachweisbaren
Vermögensschäden) kann dem Vertragspartner wegen der Verletzung von
Schutzpflichten in gravierenden Fällen ein Rücktrittsrecht vom Vertrag
zustehen.
3.16.11
Durchgriffsmöglichkeiten bei Subunternehmen
Wie dargestellt, können bei der Vertragserfüllung diverse
Leistungsstörungen auftreten. Das kann umso problematischer sein, wenn
sich der Cloud-Diensteanbieter eines oder mehrerer Subunternehmer
bedient.
Da der Cloud-Nutzer die letztlich verantwortliche Stelle für
personenbezogene Daten bleibt und dementsprechend auch gegenüber den
betroffenen Datenschutzsubjekten haftet, hat dieser bereits aus
Eigeninteresse vertraglich sicherzustellen, dass er gegenüber den
Subunternehmern dieselben Kontrollrechte hat wie gegenüber dem
direkten Diensteanbieter.
Da zwischen dem Cloud-Nutzer und dem -Anbieter regelmäßig ein Vertrag
(
der Jurist spricht von einem Schuldverhältnis) bestehen wird, fungiert der
Subunternehmer als Erfüllungsgehilfe des Anbieters. Der Anbieter hat für
das Verschulden seiner Erfüllungsgehilfen wie für eigenes Verschulden
einzustehen.
Der Anbieter haftet allerdings nur für jene rechtswidrig und schuldhaft
verursachten Schäden, die
durch
die Erfüllung entstehen. Für Schäden
anlässlich
der Erfüllung haftet der Anbieter nur wie für Besorgungsgehilfen,
also nur für Auswahlverschulden. Darunter versteht man eine vorwerfbare
Sorgfaltswidrigkeit bei der Auswahl des Gehilfen (culpa in eligendo).
Solange der Cloud-Nutzer durch eine Geldzahlung entschädigt werden kann,
lassen sich die meisten Schäden früher oder später bereinigen. Schwieriger
wird es, wenn ein Schaden durch Geld nicht aufzuwiegen ist (wenn z. B.
Daten vom Subunternehmer nicht mehr herausgegeben werden). Für diesen
Fall ist es wichtig, direkt (z. B. exekutiv) auf den Subunternehmer
durchgreifen zu können. Sofern diesbezüglich keine ausreichende
