93
}
dass er dies allenfalls untersagen kann. Zudem müssen die
Bedingungen zur Begründung von weiteren
Unterauftragsverhältnissen näher geregelt werden. Von einem
Unterauftragnehmer ist bereits dann auszugehen, wenn der Zugriff
durch einen Dritten auf die für den Auftraggeber verarbeiteten
Daten nicht ausgeschlossen werden kann. So ist z. B. bereits der
Zugriff mittels einer Fernwartung relevant. Da es bereits ausreicht,
wenn der Subauftragnehmer Zugriff auf die Daten des Nutzers hat,
ist sicherzustellen, dass auch der Subauftragnehmer die zwischen
Nutzer und Anbieter vereinbarten Datenschutzverpflichtungen
einhält. Die Beauftragung von Unterauftragnehmern ist nur zulässig,
sofern durch sie dasjenige Schutzniveau in Bezug auf die
personenbezogenen Daten nicht unterschritten wird, das der
Auftraggeber und der Cloud-Anbieter in ihrem Vertrag vereinbart
haben. Besonders wichtig ist die Einhaltung dieses Schutzniveaus mit
Blick auf die technischen und organisatorischen
Sicherheitsmaßnahmen. Da der Auftraggeber im Außenverhältnis
zum Datensubjekt die datenschutzrechtlich verantwortliche Stelle für
die personenbezogenen Daten bleibt und dementsprechend auch
gegenüber den betroffenen Datenschutzsubjekten (wie z. B.
Mitarbeitern, Kunden, Lieferanten etc.) haftet, muss er schon aus
Eigeninteresse vertraglich sicherstellen, dass er gegenüber dem
Unterauftragnehmer dieselben Kontrollrechte hat wie gegenüber
dem direkten Cloud-Anbieter.
Betroffenenrechte: Betroffene, also Personen, deren
personenbezogene Daten in der Cloud verarbeitet werden (z. B.
Kunden, Lieferanten, Mitarbeiter), haben unter bestimmten
Voraussetzungen ein Auskunfts-, Richtigstellungs- und
Löschungsrecht ihre Daten betreffend. Demnach hat der Anbieter
auch die Pflicht, die notwendigen technischen und organisatorischen
Voraussetzungen zu schaffen, damit der Nutzer ein an ihn gestelltes
Begehren erfüllen kann. Das österreichische und schweizerische
Gesetz fordert allerdings nicht, dass diese Unterstützung entgeltfrei
erfolgen muss. Nach deutschem Datenschutzrecht sind Ansprüche
auf Berichtigung, Löschung sowie Auskunft grundsätzlich entgeltfrei.
Rückgabe von Daten: Nach Beendigung der Dienstleistung hat der
Cloud-Anbieter alle Verarbeitungsergebnisse und Unterlagen, die
Daten enthalten, dem Nutzer kostenlos zu übergeben oder in dessen
Auftrag für ihn weiter aufzubewahren oder zu vernichten. Es ist
jedenfalls zu regeln, dass die Pflichten aus dem Auftragsverhältnis so
