Deutliche Grenzen

Cloud Computing („Rechnerwolke“) beschreibt den Grundgedanken, abstrahierte IT-Infrastrukturen (untere anderem Datenspeicher, Rechenkapazität oder Software) dynamisch an den Bedarf angepasst über ein Netzwerk zur Verfügung zu stellen. Nach einer weitgehend anerkannten Definition des amerikanischen National Institute for Standards and Technology umfasst Cloud Computing folgende drei Service-Modelle:

• IaaS – Infrastructure as a Service, also Nutzungszugang zu virtualisierten Computerhardwareressourcen, wie Rechen-kapazität oder Speicherkapazität.
• PaaS – Platform as a Service, also Nutzungszugang zu Programmierungs- und Laufzeitumgebungen.
• SaaS – Software as a Service, also Nutzungszugang
• zu Softwareprogrammen.

Auch Software as a Service bzw. Application Service Providing ist somit ein Anwendungsfall von Cloud Computing. Die hierfür maßgeblichen rechtlichen Vorgaben haben wir bereits in unserem Beitrag im Heft 11/2010 auf den Seiten 46 und 47 dargestellt. Wir beschränken uns daher im Folgenden auf das Cloud Computing in Form des Infrastructure as a Service, also insbesondere der Zurverfügungstellung von Speicherkapazität. Beim Cloud Computing in Form des Infrastructure as a Service sind diverse rechtliche Aspekte zu beachten. Das fängt bereits bei der vertraglichen Gestaltung an. Hierbei sollte der Nutzer insbesondere darauf achten, dass mit dem Anbieter Service-Levels vereinbart werden, die eine sehr hohe Verfügbarkeit sicherstellen. Auch sollte ein Gerichtsstand in Deutschland gewählt werden. Daneben ist das deutsche Datenschutzrecht zu beachten, sofern personenbezogene Daten in Deutschland erhoben, verarbeitet oder genutzt werden. Auch steuerliche und handelsrechtliche Archivierungsvorschriften sind in die Überlegungen einzubeziehen.

Vorliegen einer Auftragsdatenverarbeitung

Nach dem Bundesdatenschutzgesetz (BDSG) darf die Erhebung, Verarbeitung und Nutzung personenbezogener Daten grundsätzlich nur dann stattfinden, wenn der jeweils Betroffene zugestimmt hat oder sofern ein gesetzlicher Erlaubnistatbestand existiert. Diese Voraussetzungen an eine Datenverarbeitung werden im Falle des Cloud Computing selten vorliegen. Zulässig ist bei der Verarbeitung personenbezogener Daten zunächst nur die Verwendung einer privaten Cloud, also die Zurverfügungstellung der IT-Infrastruktur innerhalb des eigenen Unternehmens, denn hierbei findet keine Datenübermittlung an einen „Dritten“ statt.
Anders liegt es, wenn eine sogenannte Auftragsdatenverarbeitung vorliegt. In diesem Fall gelten die genannten Vorgaben des deutschen Datenschutzrechts nicht. Denn bei der Auftragsdatenverarbeitung bleibt der Nutzer als Auftraggeber „Herr der Daten“ und datenschutzrechtlich verantwortlich. Der Auftragsdatenverarbeiter ist nicht als „Dritter“ anzusehen, so dass keine Datenübermittlung im Sinne des BDSG vorliegt und damit keine Einwilligung bzw. Erlaubnisvorschrift für die Datenverarbeitung erforderlich ist, so dass auch die Verwendung einer Public Cloud rechtlich zulässig wäre. Für eine wirksame Auftragserteilung ist aber seit der Datenschutznovelle im Jahr 2009 vorgeschrieben, dass der Auftrag schriftlich erteilt wird. Hierfür enthält § 11 Abs. 2 BDSG nunmehr einen Mindestkatalog von zehn Punkten, die bei der Auftragserteilung zwingend schriftlich zu regeln sind (z.B. Umfang der Datenverarbeitung, Kontrollrechte des Auftraggebers). In der Praxis scheitert die Vereinbarung einer Auftragsdatenverarbeitung meist schon an dieser Stelle, da bei kaum einem der großen Anbieter eine schriftliche Auftragserteilung vorgesehen ist.
Hinzu kommt, dass der Nutzer eines Cloud-Computing-Dienstes als Auftraggeber den Anbieter als Auftragnehmer sorgfältig auszuwählen und fortlaufend zu kontrollieren hat. Auch dies ist in den Vertragsbestimmungen der großen Anbieter nicht vorgesehen, denn diese sind ersichtlich nicht geneigt, sich durch jeden einzelnen Nutzer überwachen zu lassen. Erschwerend kommt hinzu, dass von den Datenschutzaufsichtsbehörden teilweise gefordert wird, dass der Nutzer zu jedem Zeitpunkt feststellen können muss, wo genau seine Daten liegen. Auch dies widerspricht der Konzeption des Cloud Computing, da typischerweise die Daten auf verschiedene Rechenzentren verteilt sind. Cloud-Anbieter können in der Regel kaum feststellen, auf welchem Server sich die Daten zu welchem Zeitpunkt befinden. Dies zeigt, dass beim aktuellen Stand der Technik viele der Cloud-Computing-Angebote die Voraussetzungen an eine Auftragsdatenverarbeitung nicht erfüllen und mit dem geltenden Datenschutzrecht nicht vereinbar sind.

Datentransfer ins Ausland

Technisch macht es keinen Unterschied, in welchem Land der Server steht, auf dem sich gerade die Daten befinden. Rechtlich schon. Das BDSG stellt für den Datentransfer ins Ausland erhebliche Hürden auf. Die §§ 4b und 4c BDSG verlangen ein „angemessenes Datenschutzniveau“ im Empfängerland, da sonst der Betroffene grundsätzlich schutzwürdige Interessen am Ausschluss der Datenübermittlung hat. Aufgrund der weitgehenden Vereinheitlichung des Datenschutzrechtes innerhalb der EU bzw. des EWR ist insoweit gesetzlich bestimmt, dass der Datentransfer in diese Länder wie ein inländischer Datentransfer zu behandeln ist.
Darüber hinaus hat die EU-Kommission verbindlich festgestellt, dass bestimmte Staaten über ein angemessenes Datenschutzniveau verfügen, z.B. die Schweiz, Kanada, Argentinien oder die Isle of Man. Aufgrund der Regelung in §§ 3 Abs. 8 BDSG besteht bei Datenübermittlung in Länder außerhalb der EU bzw. des EWR aber das Problem, dass es sich um eine Datenübermittlung an „Dritte“ handelt, da nur Auftragsdatenverarbeiter innerhalb der EU bzw. des EWR nicht als „Dritte“ anzusehen sind. Es wird zwar argumentiert, dass eine analoge Anwendung auf Auftragsdatenverarbeiter in einem sicheren Drittland stattzufinden habe. Dies ist aber rechtlich umstritten, so dass sich die Nutzer einen Cloud-Computing-Anbieter aussuchen sollten, der innerhalb der EU bzw. des EWR sitzt und die Daten auch nur innerhalb dieses Bereichs verarbeitet. Dies erklärt, warum mittlerweile vielfältige Cloud-Computing-Angebote existieren, die Nutzern die Möglichkeit einräumen, eine Datenverarbeitung ausschließlich innerhalb des EU-/EWR-Raumes durchführen zu lassen.
Weitere Einschränkungen ergeben sich aus Archivierungspflichten. So bestimmt § 146 AO, dass steuerlich relevante Aufzeichnungen grundsätzlich im Inland zu führen und aufzubewahren sind. Handelsrechtlich bestimmt § 257 HGB, dass Handelsbücher, Handelsbriefe und Buchungsbelege aufbewahrt werden müssen, was nach teilweise vertretener Auffassung eine Aufbewahrung im Inland erfordern soll. Daher ist anzuraten, steuerlich und handelsrechtlich relevante Unterlagen im Inland zu archivieren und nicht allein in einer Cloud zu speichern, die die Daten auch in Rechenzentren in anderen Ländern bereithält. 

Bildquelle: © iStockphoto.com / enjoynz