109
3.3.6
Vorbereitung des Vertrags
Auswahl der Dienste
So, wie Cloud‐Angebote modular und skalierbar sind, so ist auch der Gang in
die Cloud für ein Unternehmen keine „Alles oder Nichts“‐Entscheidung.
Gerade wenn Unsicherheiten bestehen, ob Cloud‐Computing für das eigene
Unternehmen die richtige Technologie ist und den erhofften Nutzen bringt,
ist es von Vorteil, lediglich einen beschränkten Teil der potenziell in der
Cloud abwickelbaren Dienste auszulagern, um Erfahrungen mit Cloud‐
Computing zu sammeln und auf diesen fußend die weitere Strategie
festsetzen zu können.
Nachdem die in Frage kommenden Cloud‐Dienste feststehen, wird die
Auswahl oft um jene Dienste bereinigt, für die man als sensibel angesehene
Daten übertragen müsste. Hier sollten die eigenen Anwendungen und Daten
kritisch auf ihre tatsächliche geschäftliche Sensibilität hinterfragt werden. So
wird der E‐Mail‐Verkehr beispielsweise als allgemein sensibel beurteilt, da er
Geschäftsdaten enthält. Bei genauerer Betrachtung trifft dies üblicherweise
jedoch nur auf einen geringen Teil der E‐Mails wirklich zu.
Bei Daten, die vertraglich oder rechtlich als sensibel eingestuft werden, ist
hingegen nicht mehr die eigene Einschätzung ausschlaggebend, sondern es
ist genau zu prüfen, ob und, wenn ja, unter welchen Bedingungen man
bestimmte Daten überhaupt an einen Dritten übergeben darf, selbst wenn
dieser, wie beim Cloud‐Computing, die Daten nur speichern und verwalten
(
also beispielsweise zwischen virtuellen oder physischen Servern
verschieben), nicht aber einsehen soll.
Auswahl und Prüfung des Cloud‐Diensteanbieters
Nachdem die in die Cloud zu übertragenden Dienste und Daten ermittelt
und mögliche Anbieter bekannt sind, stellt sich die Frage, welcher Anbieter
wohl der richtige ist.
Als erstes Auswahlkriterium aus rechtlicher Sicht ist zu ermitteln, welcher
Anbieter eventuelle branchenspezifische Anforderungen erfüllt, denen der
Kunde unterliegt. Abhängig vom Einzelfall können oder müssen die
Vorschriften durch den Cloud‐Computing‐Anbieter dadurch erfüllt werden,
dass er selbst über entsprechende Bewilligungen oder Zertifizierungen
verfügt, oder es kann genügen, dass lediglich faktische Gegebenheiten
vorliegen, beispielsweise die Möglichkeit der Speicherung der Daten
ausschließlich im Inland.
