Gestaltung von Service Level Agreements bei Software as a Service

Softwarefunktionen von jedem Punkt auf der Welt angeboten werden
können. Vor allem bei Standorten mit sehr niedrigen Lohn- und
Betriebskosten können dadurch erhebliche Kostenvorteile erzielt werden, da
dies auch die Kosten der zur Verfügung stehenden Ressourcen senkt. 258 Das
es aber nicht sehr vertrauensbildend ist, wenn z.B. der Geschäftsbrief
zwecks Rechtschreibprüfung in ein unbekanntes Drittland übermittelt wird,
liegt neben den weiteren datenschutzrechtlichen Problemen auf der Hand.
Aus diesen Gründen ist eine Regelung über die Standorte der Software
zwingend notwendig.
Das BDSG nimmt bezüglich der Auslandsproblematik schon eine Regelung
auf der ersten Stufe vor, nämlich dort, wo im Rahmen der
Auftragsdatenverarbeitung die Fiktion des § 3 Abs. 8 S. 3 BDSG getroffen
wird, also schon der Tatbestand der Übermittlung entfällt. 259 Hintergrund
der gesetzlichen Konstruktion ist, dass nach dem Gesetz eine Übermittlung
nur an einen außenstehenden Dritten erfolgen kann. Werden Daten nur an
einen „internen Dritten“ weitergeleitet, liegt nach dem Gesetz keine
Übermittlungshandlung vor. Dritter ist nach dem BDSG jede Person oder
Stelle außerhalb der verantwortlichen Stelle (§ 3 Abs. 8 S. 2 BDSG). Der
Sinn der Vorschrift ist, dass z.B. innerhalb eines Unternehmens die Daten
zwischen den Abteilungen frei ausgetauscht werden können, ohne den
Restriktionen des BDSG unterworfen zu sein. Dadurch, dass das BDSG
bestimmt wer Dritter ist und wer nicht, kann es für ganz bestimmte Fälle die
datenschutzrechtlichen Restriktionen aufheben. Nicht-Dritte sind nach der
gesetzlichen Vorschrift nur Personen und Stellen, die im Inland, in einem
anderen Mitgliedstaat der Europäischen Union oder in einem anderen
Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum
personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen.
Daraus folgt, dass bei einer Verlagerung der Services in einen anderen als
die genannten Staaten grundsätzlich eine „Übermittlung“ im Sinne von
§ 3 Abs. 4 S. 2 Nr. 3 BDSG darstellt, unabhängig davon, ob die
Datenverarbeitung im Rahmen einer Auftragsdatenverarbeitung erfolgt. Es
findet also eine Bevorzugung der Auftragsdatenverarbeitung im Inland und
258 Grohamm, W., „Von der Software zum Service“, S. 59
259 siehe S. - 73 - Abschn. II
- 80 -