87
}
selbst vornehmen dürfte. Der Cloud-Nutzer hat sicherzustellen, dass er mit
dem Cloud-Anbieter eine vertragliche Regelung trifft, die neben den
üblichen Vertragskonditionen auch besonders die datenschutzrechtlichen
Verpflichtungen enthält. Das zugrunde liegende Vertragsverhältnis wird
zwar in den Ländern oftmals unterschiedlich genannt (so heißt es in
Deutschland Auftragsdatenverarbeitung und in Österreich spricht man
vom Dienstleistervertrag), doch letztlich ist damit immer das
datenschutzrechtliche Auftragsverhältnis zwischen Cloud-Nutzer als
Auftraggeber und Cloud-Anbieter als Auftragnehmer oder Dienstleister
gemeint.
Das entsprechende Rechtsverhältnis kann sich auf eigene Daten des Cloud-
Nutzers (Unternehmensdaten) als auch auf Daten beziehen, die der Cloud-
Nutzer selbst verarbeitet (wie z. B. von Kunden, Lieferanten, Mitarbeitern
datenschutzrechtlich spricht man dann von so genannten Betroffenen).
Üblicherweise ist der Cloud-Nutzer der Auftraggeber der Datenverarbeitung
und somit der Herr der Daten. Dies führt dazu, dass er für die Einhaltung
der ihn treffenden gesetzlichen Verpflichtungen verantwortlich ist. Der
Cloud-Anbieter umgekehrt muss den Cloud-Nutzer angemessen über die Art
und Weise der Datenbearbeitung und die zu treffenden
Datensicherheitsmaßnahmen informieren. Der Cloud-Nutzer sollte
entsprechende Informationen im Rahmen der Vertragsverhandlungen oder
bestenfalls bei der vorangehenden Due Diligence vom Cloud-Anbieter
abverlangen. Zu bedenken ist allerdings, dass ein Cloud-Vertrag oftmals
nicht verhandelbar ist, weshalb der Cloud-Anbieter somit einseitig festlegt,
welche vertraglichen Pflichten er seinerseits erfüllt. Es liegt daher in der
Verantwortung des Cloud-Nutzers, nur jene Cloud-Anbieter zur
Leistungserbringung heranzuziehen, die zumindest die Erfüllung der im
Gesetz definierten Mindestanforderungen (sieheAbschnitt 3.4.3.2)
gewährleisten.
Sofern der Cloud-Nutzer auch personenbezogene Daten von Mitarbeitern,
Kunden, Lieferanten etc. im Rahmen eines Cloud-Services verarbeitet, so ist
weiterhin zu bedenken, dass der Cloud-Nutzer auch entsprechende
Rechtsgrundlagen dafür schaffen muss, um die Daten an den Cloud-Anbieter
rechtmäßig transferieren zu dürfen (z. B. Zustimmung des Kunden).
3.4.3.2
Mindestanforderungen bei der beauftragten Datenverarbeitung
Die zumeist zu erfüllenden Mindestanforderungen bei der
Datenauslagerung werden anschließend dargestellt. Die deutsche
Besonderheit besteht darin, dass das DE-DSG in zehn Ziffern einen
umfangreichen (datenschutzrechtlichen) Mindestinhalt des Vertrags
