Rechtliche Schwierigkeiten beim Einsatz von Cloud Computing

12. April 2021/in Allgemein, Event, Internet der Dinge /von Alexander Pongratz

Gastbeitrag von RA MMag. Norbert Amlacher (andréewitch & partner rechtsanwälte GmbH

Cloud Computing boomt und ist nunmehr auch in Österreich endgültig „angekommen“. In den letzten Jahren hat sich die Nutzung von Cloud Services in österreichischen Unternehmen verdreifacht: Laut den Zahlen von Computerwelt von 12 Prozent im Jahr 2012 auf 38 Prozent im Jahr 2020, Tendenz weiter steigend. Je größer dabei das Unternehmen und je mehr Beschäftigte, desto eher wird auch auf Cloud Computing gesetzt.

Das ist nachvollziehbar, gibt es doch bei Cloud Computing auch oftmals rechtlichen Beratungsbedarf, den größere Unternehmen im Regelfall wirtschaftlich leichter stemmen können als KMU. Neben allgemeinen rechtlichen Fragestellungen ist seit der EuGH-Entscheidung zu Schrems II und der Aufhebung des Privacy Shields bezüglich der USA auch die datenschutzrechtliche Zulässigkeit von Cloud Computing in den Vordergrund gerückt. Diese Themen sollen nachfolgend beleuchtet werden.

Unterschiedliche Arten von Cloud Computing

Einleitend ist festzuhalten, dass es „die Cloud“ nicht gibt und Cloud Computing in unterschiedlichsten Varianten angeboten werden kann, sei es zum Beispiel als public oder private Cloud, von nationalen oder internationalen Anbietern, als reiner Speicherort oder als Platform as a Service. Abhängig davon gibt es unterschiedliche Fragestellungen, die rechtlich zu berücksichtigen sind.

In der Praxis ist insbesondere der Verhandlungsspielraum bei der Vertragsgestaltung relevant, der bei größeren Anbietern mit sehr standardisierten Angeboten (kaum) vorhanden sein kann. Obwohl Cloud-Services oftmals standardisiert angeboten werden, entbindet das die Kundinnen und Kunden nicht, die Verträge und rechtlichen Rahmenbedingungen genau zu prüfen. Diese Prüfung sollte bereits Teil des Auswahlprozesses sein und nicht erst erfolgen, wenn schon ein Anbieter ausgewählt wurde.

„Klassische“ rechtliche Hürden bei Cloud Computing

Daneben gibt es bei Cloud Computing allgemeine rechtliche Hürden, die auch bei „klassischem“ IT-Outsourcing auftreten können. Dazu gehört insbesondere die Abhängigkeit vom Anbieter – wenn der Anbieter ausfällt, reißt er die Kundinnen und Kunden mit. Abgesehen davon, dass in der Praxis oftmals der Cloud-Provider eine professionellere Infrastruktur als die Kundinnen und Kunden aufweist und daher Ausfälle unwahrscheinlicher sind, können auch mit vertraglichen Maßnahmen Absicherungen vorgenommen werden (beispielsweise Zusage von Verfügbarkeiten, Service Level Agreements, Vereinbarung von Pönalen).

Ähnliches gilt für Exit Management und Beendigungsdienstleistungen. Klargestellt werden sollte, dass auch nach Vertragskündigung die Leistungen eine gewisse Zeit fortgeführt werden und – abhängig von den Services – auch Export- beziehungsweise Übertragungsmöglichkeiten (auf gegebenenfalls neue Vertragspartner) samt Mitwirkungspflichten bestehen.

Besonders relevant, aber in den meisten Verträgen nicht ausreichend abgebildet, ist der konkrete Leistungsinhalt. Was vertraglich nicht vereinbart ist, schuldet der Anbieter im Regelfall auch nicht, was oftmals zu Überraschungen führt.

Schließlich wird in Cloud Verträgen oft auf ausländisches Recht und ausländische Gerichtsstände (zum Beispiel Irland) verwiesen. Das kann in der Praxis bei Streitigkeiten zwischen den Vertragsparteien dazu führen, dass Kundinnen und Kunden wegen hohen Kosten und Aufwänden (Prozess im Ausland, in anderer Sprache, etc.) keinen Gerichtsprozess anstrengt und auf allfällige Rechte und Forderungen verzichtet.

Datenschutz

Datenschutzrechtlich erfolgt ein Fokus auf Cloud-Provider mit Sitz in den USA, dies wegen des EuGH Urteils zu Schrems II, wonach Datentransfers auf Basis des Privacy Shield unzulässig sind. Die Aussagen des EuGH gelten aber grundsätzlich auch für andere Datentransfers in Drittstaaten (zum Beispiel China, Indien, Russland).

Wenn personenbezogene Daten den EWR-Raum verlassen und beispielsweise in die USA übermittelt werden, muss grundsätzlich sichergestellt werden, dass im Ausland ein im Wesentlichen gleichwertiges Schutzniveau wie in der EU gewährleistet wird. Nach dem Wegfall des Privacy Shields stützen sich in der Praxis viele Anbieter aus den USA auf Standardvertragsklauseln, um Auslandstransfers zu ermöglichen. Der EuGH hat aber in Schrems II festgehalten, dass datenexportierende Unternehmen selbst prüfen müssen, ob die Regeln in den Standardvertragsklauseln ausreichen, um ein im Wesentlichen gleichwertiges Schutzniveau zu erreichen; sollte das nicht der Fall sein, sind ergänzende Maßnahmen zu treffen. Sofern diese nicht getroffen werden und die Daten nicht sicher sind, ist eine Übermittlung einzustellen.

Für Datentransfers in die USA ist aufgrund der Aussagen im EuGH-Urteil davon auszugehen, dass ergänzende Maßnahmen zu treffen sind. Welche ergänzenden Maßnahmen (zum Beispiel vertraglich, technisch, organisatorisch) konkret zu treffen sind, hat der EuGH jedoch offen gelassen und sind diese auch in der juristischen Literatur umstritten. Der Europäische Datenschutzausschuss (EDSA) hat vor kurzem einen Entwurf von Empfehlungen veröffentlicht, wie Unternehmen konkret bei Auslandstransfers vorzugehen haben. Diese Vorschläge sehen mehrere Schritte vor, fokussieren hinsichtlich ergänzender Maßnahmen aber sehr stark auf technische Lösungen, insbesondere durchgängige Verschlüsselungen; bei klassischen Cloud-Providern liegt diese im Regelfall nicht vor, weil der Zugriff auf unverschlüsselte Daten zur Leistungserbringung notwendig sein kann (zum Beispiel Support). Die Vorschläge des EDSA sind in der Konsultationsphase auch teilweise stark kritisiert worden; inwiefern die geäußerte Kritik noch vom EDSA aufgegriffen wird, bleibt abzuwarten.

Jedes Unternehmen sollte jedenfalls genau prüfen, welche Auslandstransfers im Unternehmen stattfinden und auf welche Rechtsgrundlagen diese gestützt werden. Die Cloud Providern sollten kontaktiert werden, wobei auch Erkundigungen zur Rechtslage vor Ort eingeholt werden können. Mit den Providern sollten (gegebenenfalls zu treffende) ergänzenden Maßnahmen verhandelt und fixiert werden.

Wenn nach Prüfung aller Umstände der Datenexporteur zum Ergebnis gelangt, dass der Transfer datenschutzrechtlich zulässig ist, sind alle getroffenen Schritte und Überlegungen möglichst schriftlich zu dokumentieren und erneut in ca. 6-12 Monaten zu überprüfen. Sollte die Datenübermittelung datenschutzrechtlich nicht zulässig sein, wäre grundsätzlich die Verarbeitung einzustellen und/oder eine Alternative aus der EU zu setzen.

Diese Abwägungen und Prüfungsschritte sind immer eine Frage des Einzelfalls, sollten aber seriös und nachvollziehbar aufgearbeitet und dokumentiert werden. Mit den richtigen Argumenten und Umständen lassen sich auch so weiterhin Übertragungen in die USA rechtfertigen.

Ausblick

Beim Einsatz von Cloud Computing gibt es zahlreiche rechtliche Stolpersteine, die rechtzeitig bedacht und im entsprechenden Cloud Vertrag berücksichtigt werden sollten. Insbesondere datenschutzrechtlich ist eine individuelle Prüfung und Abwägung der Auslandstransfers sowie Dokumentation der Ergebnisse erforderlich, um drakonische Geldstrafen und/oder Maßnahmen der Behörde (z.B. Einstellung des Datentransfers) zu verhindern.

Mehr zu diesem und anderen rechtlichen Themen in der IT gibt es bei beim ADV-Rechtstag. Gleich anmelden und dabei sein!