Gestaltung von Service Level Agreements bei Software as a Service

Allgemeinen Persönlichkeitsrechts wird nicht dadurch gewährleistet, dass
die Daten örtlich bei den zum Wissen Berufenen angesiedelt sind, sondern
allein durch die getroffenen Vorkehrungen in technischer und
betriebsorganisatorischer Art. Das heißt, wenn diese Voraussetzungen zum
Schutz der persönlichen Daten vorliegen, ist der Ort der Daten entgegen der
traditionellen Auffassung nicht mehr ausschlaggebend.
Dieser Ansicht ist in vollem Umfang beizupflichten. 152 Da der Schutzzweck
der Vorschrift in dem Schutz des persönlichen Lebens- und Geheimbereich
besteht, liegt keine Gefahr vor, wenn die Daten durch entsprechende
(vertragliche) Vorsichtsmaßnahmen geschützt werden können. Dies gilt
auch, wenn Dritte mit den Daten umgehen. Es ist auch zu bedenken, dass
die Technisierung der Büros und der Verwaltung seit dem Entwurf der
Vorschrift erheblich zugenommen haben. Es kann nicht Sinn und Zweck der
Vorschrift sein, diese Entwicklung zu verhindern. Zudem ist zu bedenken,
dass durch die fortgeschrittene Bürotechnisierung erhebliche neue Gefahren
entstanden sind, wie z.B. das unrechtmäßige Eindringen in die Computer-
systeme. Für den gewöhnlichen Büromitarbeiter sind diese Gefahren kaum
mehr zu überblicken und zu bewältigen. Deswegen wäre dem
Sicherheitsinteresse mehr geholfen, wenn gefährdete Daten zu einem
sicheren Anbieter ausgelagert werden könnten.
Um die Verantwortung des zur Geheimhaltung Berufenen nicht gänzlich aus
der Hand zu geben, muss dieser eine hinreichende Steuerungsmacht
behalten. Diese bestimmt sich im Wesentlichen durch die Ausgestaltung des
Vertragsverhältnisses zwischen dem Nutzer und dem Anbieter. Heghmanns
schlägt deswegen vor, dass ein Mindestmaß an vertraglichen Kriterien, die
der Vertrag aufzuweisen habe, vorliegen sollte, damit von einer
hinreichenden Steuerungsmacht ausgegangen werden kann. Hierbei
verweist er auf die vom Gesetzgeber bereits geregelten Kriterien in
§ 11 BDSG. 153 Dort habe der Gesetzgeber bereits Regelungen getroffen, bei
deren Einhaltung eine Verletzung des Persönlichkeitsrechts des
152 ebenso: Niemann, F. / Paul, A., KuR 2009, 444, 451
153 Heghmanns, M. / Niehaus, H., NStZ 2008, 57, 62
- 49 -