89
}
Weisungsrecht des Auftraggebers ist damit konstituierender
Bestandteil einer zulässigen Datenverarbeitung im Auftrag des
Auftraggebers. Den Cloud-Anbieter trifft ferner eine gesetzliche
Pflicht, den Auftraggeber unverzüglich darauf hinzuweisen, wenn er
der Ansicht ist, dass eine Weisung des Kunden gegen Vorschriften
über den Datenschutz verstößt. Der Dienstanbieter ist dann
berechtigt, die Durchführung einer Weisung so lange auszusetzen,
bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder
geändert wird. Erkennbar strafbare Weisungen darf der Anbieter in
keinem Fall ausführen.
Keine entgegenstehenden Geheimhaltungsvorschriften: Soweit
ersichtlich weist das schweizerische Gesetz als Einziges ausdrücklich
darauf hin, dass eine Datenverarbeitung im Auftrag unter
Geheimhaltungsgesichtspunkten unzulässig sein kann. Entsprechend
lautet die Zulässigkeitsvoraussetzung, dass der Auslagerung keine
vertraglichen oder gesetzlichen Geheimhaltungspflichten
entgegenstehen dürfen. Dies namentlich dann, wenn gesetzliche
oder vertragliche Geheimhaltungspflichten bestehen (maßgeblich
etwa bei Ärzten oder Anwälten). Auch das schweizerische Recht
macht aber selbst in solchen Fällen die Beauftragung der
Datenverarbeitung nicht gänzlich unmöglich, sondern lässt sie
außer bei Vorliegen von besonderen Umständen zu, wenn (a) der
Cloud-Anbieter und dessen Hilfspersonen selbst entsprechend zur
Geheimhaltung verpflichtet sind, (b) der Beizug einem legitimen
Interesse des Auftraggebers entspricht und (c) die zur Diskussion
stehende Verarbeitung die berechtigten Geheimhaltungsinteressen
der betroffenen Person nicht stärker beeinträchtigt, als wenn der
Auftraggeber die betreffende Datenbearbeitung selbst oder auf
andere, klarerweise erlaubte Weise durchführen würde (z. B. durch
eigene Arbeitnehmer).
Mindestinhalte des Vertrags: Ferner ist der Gegenstand der vom
Cloud-Anbieter zu erbringenden Leistungen zu umschreiben.
Daneben fordert jedenfalls das DE-DSG und das AT-DSG, auch die
Dauer des Auftrags sowie den Umfang, die Art und den Zweck der
vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die
Art der Daten und den Kreis der Betroffenen festzulegen. Diese
Umschreibung sollte nach Möglichkeit individuell auf den jeweiligen
Vertrag angepasst werden; Verweise auf die Funktionsbeschreibung
oder die Datenschutzhinweise des Anbieters genügen nur dann,
wenn sich aus diesen Dokumenten ergibt, welche Daten im Rahmen
