Gestaltung von Service Level Agreements bei Software as a Service

Umgang mit den personenbezogenen Daten. Die Vorschrift hält eine Liste
mit Compliance Anforderungen bereit, die bei der Auftragsvergabe in den
Verträgen zu berücksichtigen sind. Teilweise haben diese Anforderungen
jedoch schon zuvor im Rahmen der allgemeinen Gestaltung der SLA
Berücksichtigung gefunden. Das BDSG dient somit nochmals als Kontrolle;
fehlende Regelungen sind notwendigerweise zu ergänzen.
a) 10-Punkte Katalog
Seit dem 01.09.2009 wurden neue Anforderungen im Rahmen der
Auftragsdatenverarbeitung in das BDSG aufgenommen. 249 Hierzu zählt
auch die Änderung von § 11 BDSG, der nunmehr in Absatz 2 einen nicht
abschließenden 10-Punkte Katalog mit Regelungsgegenständen enthält, die
in einem schriftlichen Vertrag zur Auftragsdatenverarbeitung zwingend
umzusetzen sind. 250 Dies kann auch im Rahmen der Vereinbarung über die
SLA erfolgen. Jedenfalls sind sowohl der SaaS Anbieter, wie auch der
Nutzer gehalten, diese Vorschrift umzusetzen und entsprechende Regeln in
ihre Verträge aufzunehmen. Denn nach § 43 Abs. 1 Nr. 2b BDSG kann die
fehlerhafte oder unvollständige Auftragsdatenverarbeitung eine
Ordnungswidrigkeit darstellen, die mit einer Geldbuße bis zu fünfzigtausend
Euro geahndet werden kann (§ 43 Abs. 2 BDSG).
b) Sorgfalts-, Auswahl- und Überwachungspflichten
Eine weitere Anforderung aus § 11 BDSG, die aber schon vor der BDSG
Novelle bestand, sind Sorgfalts-, Auswahl- und Überwachungspflichten des
Auftraggebers, also des SaaS Nutzers (§ 11 Abs. 2 S. 1 und 4 BDSG). 251
Dies bedeutet unter anderem dafür Sorge zu tragen, dass der Auftragnehmer
in der Lage und willens ist, die erforderlichen Sicherungsmaßnahmen
auszuführen (§ 9 BDSG). 252 Schwierigkeiten, wie sie Grützemacher
249 hierzu: Söbbing, T., ITRB 2010, 36
250 Söbbing, T., ITRB 2010, 36, 37
251 Gola, P. / Schomerus, R., „BDSG“, § 11, Rdnr. 21 ff.
252 vgl. Gola, P. / Schomerus, R., „BDSG“, § 11, Rdnr. 21
- 77 -