Sicherheitsempfehlung für Cloud Computing Anbieter

CLOUD COMPUTING | DATENSCHUTZ UND COMPLIANCE
nach § 28 Abs. 1 Satz 1 Nr. 2 BDSG ist eine Verlagerung in die Cloud nur
erlaubt, wenn diese zur Wahrung der berechtigten Interessen des Cloud-
Nutzers erforderlich ist und kein Grund zu der Annahme besteht, dass die
schutzwürdigen Interessen des Betroffenen am Ausschluss der Verlagerung
überwiegen. Ob diese Voraussetzzungen gegeben sind, muss im
Einzelfall geprüft werden. Es wird in erster Linie darauf ankommen, dass
beim Übermittlungsempfänger (Cloud Computing Anbieter) das gleiche
Datenschutzniveau wie beim Cloud-Nutzer herrscht, der Betroffene seine
Rechte auch beim Anbieter auf einfache Weise geltend machen kann und
sichergestellt ist, dass der Anbieter die Daten nur im Rahmen der festgelegten
Zweckbestimmung verarbeitet und nutzt.
Bei der Auftragsdatenverarbeitung verbleibt die datenschutzrechtliche
Verantwortlichkeit uneingeschränkt beim Cloud-Nutzer als Auftraggeber.
Der Cloud-Nutzer behält datenschutzrechtlich die volle Kontrolle über die
Daten. Die Auftragsdatenverarbeitung ist grundsätzlich an keine weiteren
materiellen Voraussetzungen gebunden; es sind aber eine Reihe formaler
Anforderungen umzusetzen. Die Auftragsdatenverarbeitung setzt eine
schriftliche Vereinbarung voraus, die die in § 11 Abs. 2 BDSG aufgeführten
Punkte mindestens enthalten muss. Der Cloud Computing Anbieter als
Auftragnehmer unterliegt den Weisungen des Cloud-Nutzers und darf
über die Verarbeitung und Nutzung der Daten nicht eigenverantwortlich
entscheiden. Der Auftraggeber hat sich beim Auftragnehmer vor Beginn
der Datenverarbeitung und sodann regelmäßig von der Einhaltung der
technischen und organisatorischen Maßnahmen zu überzeugen. Dies
muss nicht zwingend durch eine Vor-Ort-Kontrolle geschehen, sondern
kann auch durch unabhängige Stellen testiert werden.
Auf die Privilegierung der Auftragsdatenverarbeitung kann nur zurückgegriffen
werden, wenn der Cloud Computing Anbieter seinen Sitz innerhalb
der EU oder den Staaten des Europäischen Wirtschaftsraums (EWR)
hat und die Daten auch dort verarbeitet werden (§ 3 Abs. 8 BDSG). Bei
einer Datenverarbeitung in anderen Staaten müssen die Voraussetzungen
für eine Datenübermittlung gegeben sein und beim Cloud Computing
Anbieter ein angemessenes Datenschutzniveau herrschen. Sofern die
EU-Kommission nicht einzelnen Staaten insgesamt ein angemessenes
74