95
}
In der Praxis werden Cloud-Verträge jedoch häufig online abgeschlossen.
Sofern der Vertragsabschluss ohne qualifizierte elektronische Signatur
erfolgt, wird er dem Schriftformerfordernis allerdings derzeit nicht
entsprechen. Nimmt man die Position der Datenschutzbehörden zum
Nennwert, könnte der Cloud-Nutzer seiner Pflicht, einen schriftlichen
Vertragsschluss nachzuweisen, nur dann nachkommen, wenn er den Cloud-
Vertrag schriftlich unterzeichnet und auch vom Cloud-Anbieter schriftlich
unterzeichnen lässt. Ob diese Position wirklich einen datenschutzrechtlichen
Mehrwert bietet, darf man in Zweifel ziehen. Es ist kaum ersichtlich, worin
der Mehrwert dieser Regelung liegen könnte. Sie wird gemeinhin auch bloß
formaljuristisch begründet. Es ist nicht erkennbar, inwiefern das so
verlangte Schriftformerfordernis dem Recht auf informationelle
Selbstbestimmung (hierzu siehe Abschnitt 3.4.2) zum Durchbruch verhelfen
könnte; dies nicht zuletzt mit Blick auf das schweizerische Datenschutzrecht,
wo das Schriftformerfordernis nicht verlangt wird.
3.4.5
Weitere Folgen des Datenschutzrechts für die
Vertragsgestaltung
Die Anwendbarkeit von Datenschutzrecht bedeutet, dass der Nutzer eines
Cloud-Services als datenschutzrechtlicher Auftraggeber die im Gesetz
normierten Pflichten wie z. B. die Überprüfung der Zulässigkeitskriterien für
eine Datenverwendung, das Sicherstellen von angemessenen
Datensicherheitsmaßnahmen oder auch die Einhaltung von behördlichen
Melde- und Genehmigungspflichten einzuhalten hat. Dies kann im Einzelnen
schwierig sein, wenn der Vertrag selbst einem anderen als dem eigenen
nationalen Recht des Kunden unterliegt (siehe dazu die Abschnitte 3.2.4 und
3.16.1.)
Der Nutzer bleibt aber auch in diesem Fall für die Einhaltung der
Verpflichtungen verantwortlich, so dass es in seinem eigenen Interesse ist,
die ihn betreffenden Obliegenheiten in den Vertrag aufzunehmen und somit
dem Anbieter als Dienstleister der Cloud-Services zu übertragen (siehe dazu
Abschnitt 3.15).
Dies gilt auch dann, wenn der Anbieter zusätzlich Sub-Dienstleister zur
Vertragserfüllung einsetzt. Da allerdings in den meisten Fällen kein direktes
Vertragsverhältnis zwischen dem Nutzer und dem Sub-Dienstleister besteht,
so dass fraglich ist, welches Datenschutzrecht anwendbar ist, hat der Nutzer
den Anbieter ebenso zu verpflichten, mit den Sub-Dienstleistern
ausreichende vertragliche Regelungen zu treffen. Die im Vertrag
vereinbarten Verpflichtungen in Bezug auf Datenschutz sind daher
konsequenterweise auch auf die Sub-Dienstleister zu übertragen. In der
Praxis ist dies aber oft schwierig, da der Nutzer meist wenig Einfluss auf die
