90
}
der Anwendung wie erhoben, verarbeitet und genutzt werden.
Besondere Vorsicht ist geboten, wenn so genannte besondere Arten
personenbezogener Daten in den Anwendungsbereich der Cloud-
Services fallen. Darunter versteht das Gesetz Angaben über die
rassische und ethnische Herkunft, politische Meinungen, religiöse
oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit,
Gesundheit oder Sexualleben. Wenn solche Daten betroffen sind,
sollte der Cloud-Anbieter darauf gesondert hingewiesen und
angehalten werden, der erhöhten Schutzbedürftigkeit der
betroffenen Datensubjekte im Rahmen der technischen und
organisatorischen Maßnahmen Rechnung zu tragen. Nach dem DE-
DSG und dem AT-DSG muss der Vertrag zudem Regelungen über die
Berichtigung, Löschung und Sperrung von Daten durch den
Auftraggeber als verantwortliche Stelle treffen.
Organisatorische, technische und personelle Maßnahmen: Der
Anbieter hat ausreichend technische, organisatorische und
personelle Maßnahmen zum Schutz der Daten vor zufälliger oder
unrechtmäßiger Zerstörung und vor Verlust zu treffen. Außerdem
hat er sicherzustellen, dass ihre Verwendung ordnungsgemäß erfolgt
und die Daten Unbefugten nicht zugänglich sind.
Welche Maßnahmen nun konkret vom Cloud-Anbieter zu treffen
sind, hat der Gesetzgeber in Österreich und der Schweiz nicht im
Einzelnen festgelegt. Allerdings enthält das AT-DSG einen
Mindestkatalog an Schutzmaßnahmen, die vergleichsweise zur
Bestimmung der als geeignet angesehenen Maßnahmen
herangezogen werden können. Ob deren Umsetzung erforderlich ist
und in welcher Intensität, hängt unter anderem von den
Kundenbedürfnissen, der Schutzwürdigkeit der Daten sowie vom
Stand der Technik ab. Es ist daher nicht ausreichend, wenn der
Anbieter bloß unbestimmt erklärt, solche Maßnahmen zu treffen.
Der Nutzer hat konkret anzugeben, welche Maßnahmen er zum
Schutz der Daten setzt, und diese sollten auch als vertragliche
Anforderung festgelegt werden. Der Nutzer wird wohl bei
standardisierten Cloud-Services kaum Sonderwünsche reklamieren
können, allerdings hat er zu überprüfen, ob die
datenschutzrechtlichen Mindestanforderungen beim Anbieter erfüllt
werden.
Die schweizerische Sicht ist trotz fehlender ausdrücklicher Regelung
ähnlich jener in Österreich. Nicht selten wird zur Ausgestaltung des
