Cloud-Provider und Fachanwalt geben Praxistipps Rechtssicherheit in der Cloud herstellen

Welche rechtlichen Aspekte in der Cloud zu beachten sind und wie Provider Sicherheitsanforderungen erfüllen können, erläutern der Anwalt Stefan Loebisch und Michael Döderlein, Geschäftsführer von Inox-Tech.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

Heidelberg iT Management GmbH & Co. KG

inoX-tech GmbH

ITB: Welche rechtlichen Aspekte sind beim Angebot und bei Inanspruchnahme von Cloud-Computing-Services im Allgemeinen zu beachten?

Loebisch: Speziell das deutsche Datenschutzrecht ist bei der rechtskonformen Umsetzung von Cloud-Services relevant. Cloud Computing ist in der Praxis, vom Standpunkt des deutschen Datenschutzrechts aus betrachtet, regelmäßig Auftragsdatenverarbeitung. Mit der Datenschutznovelle II aus dem Jahr 2009 zum Bundesdatenschutzgesetz stellt der Gesetzgeber in dem neu gefassten Paragraf 11 des Bundesdatenschutzgesetzes einen umfangreichen Anforderungskatalog an einen Auftragsdatenverarbeitungs-Vertrag auf.

ITB: Was bedeuten die gesetzlichen Regeln in der Praxis?

Loebisch: Der Anwender von Cloud-Services bleibt im datenschutzrechtlichen Sinne „Herr der Daten“. Er bleibt der rechtlich Verantwortliche gegenüber den Betroffenen, beispielsweise seinen Kunden, deren Daten er erhalten hat, oder gegenüber seinen Arbeitnehmern, deren Lohn- und Gehaltsdaten er außerhalb seines Unternehmens speichern und verarbeiten lässt.

Döderlein: Auch Auftraggeber sollten deshalb das organisatorische und technische Vorgehen ihres Dienstleisters prüfen, das die Datensicherheit in der „Wolke“ zu gewährleisten hilft. Dieser Sorgfaltspflicht – die Auswahl des Anbieters aber auch die Kontrolle seiner Tätigkeit betreffend – unterliegen sie.

ITB: Die Bestimmungen bergen also auch für Cloud-Kunden eine Verantwortung beim Outsourcing. Wie sensibilisiert sind potenzielle Käufer tatsächlich?

Döderlein: Kurz vor unserem Gespräch hatte ich einen Termin mit einem größeren Unternehmen. Das Kundengespräch betraf das komplette Outsourcing der IT-Infrastruktur an unser Tochterunternehmen, den Cloud-Provider Extend-IT. Selbst ein Kunde dieser Größe, der eine eigene Rechtsabteilung besitzt, hatte sich bislang noch keine Gedanken über die rechtlichen Aspekte gemacht.

ITB: Ist solch eine Vogel-Strauß-Politik von Seiten der Kunden ein Einzelfall?

Döderlein: Mein Empfinden ist, dass es eine große Bandbreite an Sensibilitäten gibt: Diese reicht von Kunden, die erst einmal große Augen bekommen, wenn man die rechtliche Thematik anspricht, bis hin zu einem sehr hohen Verantwortungsgefühl. Bei zahlreichen potenziellen Cloud-Computing-Nutzern ist jedoch keine hohe Sensibilität vorhanden. Für diese ist in erster Linie ausschlaggebend, dass sie ihre IT dank Cloud-Services preiswert und ohne großes Investment beziehen können. Dies ist besonders bei Unternehmen mit geringerer Wirtschaftskraft der Fall. Allerdings gibt es auch Interessenten – beispielsweise aus der Finanzbranche – die tendenziell hochsensibel mit den rechtlichen Aspekten umgehen. Häufig wird hier auf Zertifizierungen Wert gelegt: sowohl der technischen Plattform als auch des Anbieters. Die Mitarbeiter von Extend-IT arbeiten beispielsweise streng IT-Infrastructure-Library-orientiert (ITIL), und Extend-IT durchläuft im Moment eine ISO-Zertifizierung.

ITB: Wenn es nicht die rechtlichen sind: An welchen Stellen gibt es Vorbehalte?

Döderlein: Allen voran Mittelständler haben in erster Linie Sorgen, die keine rechtlichen Aspekte betreffen: Das sind beispielsweise Fragen der Administratoren zur Sicherheit ihres Jobs nach Einführung der Cloud-Services und Herausforderungen technischer oder organisatorischer Natur. Skalierung oder Interoperabilität sind hier nur zwei Stichworte. Die Kunden machen sich meiner Meinung nach zu wenig juristische Gedanken: Wenn ich beispielsweise vorschlage, zum „Sightseeing“ ins Passauer Rechenzentrum zu fahren, um unser Team, unsere Arbeitsweise oder unsere Infrastruktur kennenzulernen, sehe ich meistens erstaunte Gesichter.

Was Cloud-Provider aus Sicht des Fachanwalts Stefan Loebisch leisten sollten und wie Extend-IT Rechtssicherheit gewährleisten will, erfahren Sie auf der nächsten Seite.

(ID:2048263)