107
Üblicherweise ist der Cloud‐Nutzer der Auftraggeber der Datenverarbeitung
und somit der „Herr der Daten“. Dies führt dazu, dass er für die Einhaltung
der ihn treffenden gesetzlichen Verpflichtungen verantwortlich ist. Der
Cloud‐Anbieter umgekehrt muss den Cloud‐Nutzer angemessen über die Art
und Weise der Datenbearbeitung bzw. ‐verarbeitung und die zu treffenden
Datensicherheitsmaßnahmen informieren.
Sofern der Cloud‐Kunde auch personenbezogene Daten von Mitarbeitern,
Kunden, Lieferanten etc. im Rahmen eines Cloud‐Services verarbeitet, ist
weiterhin zu bedenken, dass er auch entsprechende Rechtsgrundlagen dafür
schaffen muss, damit er die Daten an den Cloud‐Anbieter überhaupt
rechtmäßig transferieren darf (z.B. Genehmigung der DSK, Zustimmung des
Kunden).
Anwendbarkeit von nationalen Berufsregeln und ähnlichen Regulierungen
(„
Compliance‐Vorschriften“)
Neben den Datenschutzgesetzen können weitere Compliance‐Vorschriften
den Entscheid, Daten in die Cloud auszulagern, beeinflussen. Es handelt sich
in der Regel um sogenannte verwaltungsrechtliche Bestimmungen
(
Bewilligungsvoraussetzungen, Meldepflichten, branchenspezifische
Regulierungen).
Manchmal sind auch ausländische Normen zu berücksichtigen. Zu erwähnen
ist etwa die Einschränkung für US‐amerikanische Dienstleister, die selbst bei
Serverstandort in der EU oder in der Schweiz verpflichtet sind, US‐
amerikanische Regulierungen zu befolgen (PATRIOT‐Act).
3.3.4
Themen ohne Gestaltungsspielraum (Perspektive des Cloud‐
Anbieters)
Um einen dem Stand der Technik und der Marktbedürfnisse angepassten
Service zu bieten, muss der Cloud‐Anbieter Drittrechte respektieren und
Sicherheitsstandards einhalten.
Lizenzrechtliche Fragen
Um Cloud‐Services rechtskonform durchführen zu können, sind regelmäßig
zahlreiche Nutzungsrechte (Lizenzen) erforderlich. Dies betrifft vor allem
Urheberrechte Dritter. Dabei ist in dreifacher Hinsicht zu unterscheiden:
Ein Cloud‐Anbieter muss sich gegen das Risiko schützen, für
Drittrechtsverletzungen in die Haftung genommen zu werden.
