88
}
festlegt. Die erforderliche Gestaltung geht dem Gesetzeswortlaut nach
damit typischerweise über das hinaus, was in anderen europäischen Staaten
gefordert wird. In der Praxis dürften die Unterschiede gleichwohl geringfügig
sein (z. B. stellt die schweizerische Praxis nicht selten auf den
Anforderungskatalog nach deutschem Recht ab, um die im konkreten Fall
angemessenen Maßnahmen zu bestimmen):
Schriftlicher Vertrag: Zunächst muss der Vertrag schriftlich
abgeschlossen werden, was eine von beiden Parteien unterzeichnete
Vertragsurkunde (oder die Verwendung einer qualifizierten
elektronischen Signatur) voraussetzt. Da diese Anforderung nicht
ganz unumstritten ist und im Übrigen problematisch ist, wird darauf
separat genauer eingegangen (siehe Abschnitt 3.4.4). Bereits an
dieser Stelle ist darauf hinzuweisen, dass die Schweiz anders als es
die herrschende Lehre für das DE-DSG und AT-DSG interpretiert
keinen handschriftlich oder qualifiziert digital signierten Vertrag
verlangt. Die schweizerische Regelung ist damit anders als die
Regelung unter dem DE-DSG und AT-DSG offen für Online-AGB.
Sorgfalt in der Auswahl: Das Unternehmen als Auftraggeber muss
den Cloud-Anbieter zudem sorgfältig auswählen und sich vor Beginn
der Datenverarbeitung und während der Vertragsdauer fortlaufend
von der Einhaltung der beim Auftragnehmer getroffenen
Maßnahmen zum Schutz der Daten überzeugen. Die Auswahl des
Cloud-Anbieters dürfte für den Auftraggeber insbesondere dann
erleichtert werden, wenn der Cloud-Anbieter Inhaber eines
Gütesiegels ist und damit die Einhaltung gewisser Mindeststandards
nachgewiesen hat (siehe dazu ausführlich Kapitel 6).
Auftragsbindung: Die Daten dürfen ausschließlich im Rahmen der
Aufträge des Auftraggebers verwendet werden; insbesondere ist die
Übermittlung der verwendeten Daten ohne Auftrag des
Auftraggebers verboten. Damit ist jedenfalls eine Übermittlung von
Daten an Dritte für einen anderen als den vom Nutzer vorgegebenen
Zweck gemeint.
Weisungsbefugnisse: Wichtiger Bestandteil des
Auftragsdatenverarbeitungsvertrags ist zudem die Festlegung der
Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem
Cloud-Anbieter vorbehält. Der Auftraggeber ist datenschutzrechtlich
für Datenschutzverstöße haftbar, weshalb der Cloud-Anbieter den
Weisungen des Auftraggebers Folge leisten muss und keinen eigenen
Ermessenspielraum bei der Datenverarbeitung erhält. Das
