91
}
Vertrags mit dem Auftragsdatenbearbeiter auf die erwähnten
Maßnahmenkataloge österreichischer oder deutscher Herkunft
abgestellt. Entscheidend ist wiederum die Angemessenheit der
getroffenen Maßnahmen.
Die Regelung nach dem DE-DSG ist wiederum explizit festgelegt: Der
Vertrag hat detailliert und auf den Einzelfall bezogen Angaben über
technische und organisatorische Maßnahmen des Diensteanbieters
zu enthalten. Dies setzt ein konkretes, den tatsächlichen
Gegebenheiten entsprechendes Sicherheitskonzept des Anbieters
voraus, das nicht bloß aus einer Aufzählung abstrakter Maßnahmen
besteht, sondern einzelfallorientierte Regelungen betreffend die
Organisationskontrolle, Zutrittskontrolle, Zugangskontrolle,
Zugriffskontrolle, Weitergabekontrolle, Auftragskontrolle,
Verfügbarkeitskontrolle sowie das Gebot der Trennung von Daten
verschiedener Herkunft enthält. Der Auftraggeber hat das Vorliegen
dieses Konzeptes sowie die Einhaltung der darin niedergelegten
Maßnahmen sodann fortlaufend zu kontrollieren. Oberster Zweck
des Konzeptes ist der Schutz der personenbezogenen Daten beim
Cloud-Anbieter; um das Schutzniveau aufrechtzuerhalten, ist das
Sicherheitskonzept daher entsprechend der technischen Entwicklung
dynamisch anzupassen.
Zugriffe nur auf Need-to-know-Basis: Über die technisch-
organisatorischen Schutzmaßnahmen hinaus darf der Anbieter nur
solche Mitarbeiter zur Erbringung des Cloud-Services heranziehen,
die sich dem Anbieter gegenüber zur Einhaltung des im
Datenschutzgesetz normierten Datengeheimnisses verpflichtet
haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
Dies trifft auch auf eventuelle weitere Sub-Dienstleister und ihre
Mitarbeiter zu.
Regelmäßige Kontrollen: Der Diensteanbieter ist auf regelmäßig
vorzunehmende Kontrollen und sonstige Pflichten zu verpflichten.
Darunter fällt auch die Wahrung des Datengeheimnisses: Alle
Mitarbeiter des Diensteanbieters, die auftragsgemäß auf
personenbezogene Daten des Auftraggebers zugreifen können,
müssen auf das Datengeheimnis verpflichtet und über die sich aus
dem konkreten Auftrag ergebenden besonderen
Datenschutzpflichten sowie die bestehende Weisungs- bzw.
Zweckbindung belehrt werden.
