106
nationale Datenschutzrecht zur Anwendung, wo die Daten
tatsächlich verarbeitet werden. Das deutsche Datenschutzrecht
findet z.B. Anwendung, sofern ein Unternehmen mit Sitz außerhalb
der EU/des EWR einen SaaS‐Provider mit in Deutschland gelegenen
Ressourcen einsetzt.
Das Regel‐Ausnahme‐Verhältnis (Sitzstaat/Gebietshoheit) bezieht sich auf
Ansprüche von Privaten untereinander. Anknüpfungsregelungen außerhalb
der EU, z.B. in der Schweiz, können sich davon unterscheiden. Dies kann zu
unterschiedlichen Rechtsfolgen führen, je nachdem, von welcher Seite aus
ein Problem besprochen wird. Die Praxis hat jedoch Lösungen gefunden, wie
derartige Widersprüche im Einzelfall überwunden werden können. Bei
Streitigkeiten kommt es etwa darauf an, an welchem von zwei möglichen
Gerichtsständen eine Klage zuerst eingereicht worden ist.
Das Datenschutzrecht ist öffentliches Recht und kann von den
Vertragsparteien nicht dadurch „ausgehebelt“ werden, dass sie im Rahmen
einer Rechtswahl ein Recht vereinbaren, das beispielsweise nur geringere
Datenschutzanforderungen vorsieht.
38
Auftragsdatenbearbeitung
Der Cloud‐Nutzer kann einen Cloud‐Anbieter damit beauftragen, Daten für
ihn zu bearbeiten. Das entsprechende Rechtsverhältnis kann sich sowohl auf
eigene Daten des Cloud‐Nutzers („Unternehmensdaten“) als auch auf Daten
beziehen, die der Cloud‐Nutzer selbst verarbeitet (wie z.B. von Kunden,
Lieferanten, Mitarbeitern – datenschutzrechtlich spricht man dann von
sogenannten „Betroffenen“). Wenn dabei Personendaten von Dritten
ausgelagert werden, stellen die nationalen Datenschutzrechte besondere
Anforderungen an die Auslagerung auf.
Das Unternehmen darf mittels des Cloud‐Dienstes nur solche
datenschutzrelevanten Verarbeitungen vornehmen lassen, die es auch
selbst vornehmen dürfte. Der Cloud‐Kunde hat sicherzustellen, dass er mit
dem Cloud‐Anbieter eine vertragliche Regelung trifft, die neben den
üblichen Vertragskonditionen auch die besonderen datenschutzrechtlichen
Verpflichtungen enthält. Dieses zugrunde liegende Vertragsverhältnis regelt
somit unter anderem das datenschutzrechtliche Auftragsverhältnis zwischen
dem Cloud‐Kunden als Auftraggeber und dem Cloud‐Anbieter als
Auftragnehmer oder Dienstleister.
38
Weitere Informationen finden sich in der Webedition des Buches unter
‐
migration.eu.
