110
Es darf zudem nicht außer Acht gelassen werden, dass Behörden aus
Drittstaaten mitunter ermächtigt sind, auf die Nutzerdaten zuzugreifen.
Insofern sollte ermittelt werden, ob der Anbieter direkt oder indirekt einer
derartigen Auskunftsregelung unterliegt, und bejahendenfalls die
Überlegung angestellt werden, ob man sich im Falle der zulässigen
Migration insbesondere geschäftlich sensibler Daten in die Cloud dem Risiko
einer Abfragung dieser Daten durch ausländische Behörden aussetzen
möchte. Wie hoch das Risiko ist, kann mangels konkreter Zahlen nicht
beurteilt werden.
Ein wesentlicher Entscheidungsfaktor ist auch die vertragliche Gestaltung.
Nachdem Cloud‐Diensteanbieter üblicherweise bereits über vorformulierte
Standardverträge verfügen, hat der Kunde die Möglichkeit, wenn auch
mitunter erst nach Unterfertigung einer Vertraulichkeitserklärung, die
Verträge einzusehen, zu vergleichen und zu erfahren, welcher Anbieter der
für ihn aus rechtlicher Sicht günstigste ist. Dabei darf aber die eigene
Verhandlungsposition nicht außer Acht gelassen werden. Als größerer
Kunde eines kleineren Anbieters hat man eine deutlich höhere Aussicht auf
erfolgreich ausgehandelte Vertragsänderungen denn als kleiner Kunde eines
großen Anbieters, selbst wenn der Standardvertrag des Letzteren der
eigenen Position näher wäre.
Viele entscheidende Faktoren sind technischer, nicht rechtlicher Natur,
beispielsweise die Kompatibilität der IT‐Infrastrukturen des Cloud‐Anbieters
und des Kunden und die damit verbundenen Kosten der Migration. Diese
Faktoren schlagen aber auf die rechtlichen Gegebenheiten durch. Als
Beispiele sind zu nennen: die Möglichkeit der Zusage eines bestimmten
Mindestmaßes an Verfügbarkeit und Datensicherheit oder die
Vereinfachung oder Erschwernis eines Anbieterwechsels durch Nutzung
einer proprietären oder standardisierten IT‐Infrastruktur.
Eine Entscheidungshilfe für die Auswahl des Dienstleisters stellen
Auditierungen und Zertifizierungen dar, etwa eigens für Cloud‐Computing‐
Dienstleistungen entwickelte Zertifizierungsverfahren wie das EuroCloud
Star Audit. In jedem Fall ermöglichen derartige Zertifizierungen einen
wichtigen Kurzüberblick über die Befähigung und Zuverlässigkeit eines
Cloud‐Computing‐Anbieters, nicht nur in technischer, sondern auch in
rechtlicher Hinsicht (insbesondere im Bereich Datenschutz). Weitere
Informationen dazu finden sich in Kapitel 4.
