92
}
Sodann hat sich der Kunde von den tatsächlich durch den Anbieter
getroffenen Schutzmaßnahmen regelmäßig zu überzeugen. Der
Vertrag muss Regelungen zu den Kontrollrechten des Auftraggebers
und die entsprechenden Duldungs- und Mitwirkungspflichten des
Auftragnehmers enthalten. Das auftraggebende Unternehmen muss
berechtigt sein, die Datenverarbeitung einschließlich der
technischen und organisatorischen Schutzmaßnahmen beim
Diensteanbieter kontrollieren zu dürfen oder Kontrollen durch Dritte
vornehmen zu lassen. Dies umfasst auch das Recht zu Kontrollen an
allen Orten, an denen Daten durch den Diensteanbieter tatsächlich
verarbeitet werden.
Der Cloud-Anbieter hat die Kontrolltätigkeit sowie die Ergebnisse zu
dokumentieren. Dies wird insbesondere dann schwierig, wenn der
Anbieter weitere Sub-Dienstleister heranzieht, da der Nutzer meist
selbst nicht in der Lage ist, sämtliche Dienstleister faktisch zu
kontrollieren.
Dem Kunden sind seitens des Anbieters sämtliche Informationen zur
Verfügung zu stellen, um sich von der Einhaltung der tatsächlich
getroffenen Maßnahmen überzeugen zu können. Da die
Datenspeicherung jedoch systemimmanent auf Speichermedien
erfolgt, die möglicherweise über die ganze Welt verteilt sind, stellt
sich die Frage, ob der Nutzer faktisch überhaupt in der Lage ist, seine
gesetzlich vorgeschriebenen Kontrollrechte wahrzunehmen.
Jedenfalls hat der Nutzer vertraglich sicherzustellen, dass ihm die
Kontrollrechte individuell zustehen. Dazu gehört üblicherweise die
Vor-Ort-Kontrolle beim Anbieter, selbst wenn diese aufgrund der
(
grenzüberschreitenden) Cloud-Umgebungen sehr zeitaufwendig und
kostspielig ist. In der Literatur wird daher empfohlen, die Kontrolle
durch Dritte, etwa durch externe Audits unabhängiger Stellen
durchzuführen. Zusätzlich sollte eine Mitwirkungspflicht des
Anbieters festgeschrieben werden, damit dieser im Falle einer
Überprüfung die erforderlichen Informationen und Unterlagen
bereitstellt.
Einschaltung von Subauftragnehmern:
Zumeist sehen die nationalen Datenschutzbestimmungen auch vor,
dass weitere Auftragnehmer nur mit Billigung des Auftraggebers
eingesetzt werden dürfen, weshalb dem Nutzer die beabsichtigte
Heranziehung eines Subauftragnehmers so rechtzeitig anzuzeigen ist,
