Sicherheitsempfehlung für Cloud Computing Anbieter

CLOUD COMPUTING | DATENSCHUTZ UND COMPLIANCE
13 Datenschutz und
Compliance
13.1 Datenschutz 1
Werden in der Cloud personenbezogene Daten erhoben, verarbeitet oder
genutzt, muss der Schutz personenbezogener Daten gemäß den datenschutzrechtlichen
Bestimmungen gewährleistet sein.
Charakteristisch für Cloud Computing ist die Weitergabe der Daten vom
Cloud-Nutzer an den Cloud-Anbieter. Sofern die Daten (auch) einen
Personenbezug aufweisen, handelt es sich bei der Weitergabe im Sinne
des Datenschutzrechts um eine Übermittlung personenbezogener Daten
oder um eine Auftragsdatenverarbeitung, die nicht als Übermittlung zu
qualifzieren­ist.­Die­rechtliche­Qualifzierung­der­Weitergabe­ist­abhängigvon
der datenschutzrechtlichen Zulässigkeit der Weitergabe sowie ihrer
vertragsrechtlichen Ausgestaltung.
Bei einer Datenübermittlung vom Cloud-Nutzer an den Cloud-Anbieter
gibt der Cloud-Nutzer die datenschutzrechtliche Verantwortung ab und
überträgt sie voll auf den Cloud-Anbieter. Er verliert damit auch grundsätzlich
die Möglichkeit, auf den Umgang mit den von ihm übermittelten Daten
Einfuss­zu­nehmen.­Auf­zivilrechtlicher­Ebene­ist­aber­auch­bei­entsprechender
Vertragsgestaltung eine andere Haftungsverteilung, nämlich ein
(Teil-)Haftungsverbleib beim Cloud-Nutzer, möglich. Der Cloud-Nutzer
muss vorab prüfen, ob eine solche Lösung seinen Interessen entspricht.
Für die Übermittlung bedarf es einer Rechtsgrundlage im Datenschutzrecht.
Soweit es sich beim Cloud-Nutzer um eine nicht-öffentliche Stelle
handelt, kommt hierfür entweder die Einwilligung der Betroffenen oder
eine Interessenabwägung nach § 28 Abs. 1 Satz 1 Nr. 2 BDSG in Betracht,
sofern­nicht­bereichsspezifsches­Recht­(z.­B.­§­97­Abs.­1­TKG)­gilt.­Wennes
dem Cloud-Nutzer um eine pauschale Verlagerung von Teilen oder
der kompletten Datenverarbeitung geht, dürfte der Weg über Einwilligungen
regelmäßig unpraktikabel sein, da bei nicht erteilten oder später
widerrufenen Einwilligungen eine Auslagerung aufgrund fehlender
Rechtsgrundlage nicht (mehr) zulässig wäre. Bei der Interessenabwägung
1 Das Kapitel „Datenschutz“ wurde unter Beteiligung des BfDI erstellt
73