Autor: Johanna Schmidt-Bens

Cloud Computing gehört zu den interessantesten und meist diskutierten aktuellen IT-Trends. Die Anbieter von Cloud Diensten werben weltweit mit der Möglichkeit der Einsparung von Kosten und der Maximierung von Nutzen durch den Einsatz von Cloud Computing Technologien. In einer Weiterentwicklung des klassischen IT-Outsourcings kennzeichnet das Cloud Computing die nutzungsabhängige und universell mögliche Inanspruchnahme von Cloud Diensten durch mehrere Nutzer gleichzeitig. Die für die „Datenverarbeitung in der Wolke“ verwendeten Server können dabei weltweit platziert sein. Diese technischen Besonderheiten des Cloud Computing können insbesondere bei der Einhaltung datenschutzrechtlicher Vorgaben sowie bei der Gewährleistung der IT-Sicherheit Schwierigkeiten bereiten. Die Autorin untersucht schwerpunktmäßig die datenschutzrechtliche Zulässigkeit des Einsatzes von Cloud Computing Technologien zur Datenverarbeitung im nicht-öffentlichen Bereich und präsentiert rechtliche sowie technische Lösungsansätze. Nach einer Vorstellung der am Markt angebotenen Cloud-Modelle prüft die Autorin entlang der einschlägigen datenschutzrechtlichen Vorschriften die Zulässigkeit cloudbasierter Datenverarbeitung zunächst im nationalen Raum sowie in der EU/EWR. Ausgehend von dem im Datenschutzrecht geltenden sog. Verbot mit Erlaubnisvorbehalt, das im deutschen Datenschutzrecht in § 4 Abs. 1 BDSG normiert ist, beleuchtet sie kritisch die Möglichkeiten der Einwilligung, der Auftragsdatenverarbeitung im Sinne von § 11 BDSG und der erlaubten Übermittlung personenbezogener Daten gemäß § 28 BDSG. Im Anschluss daran ist der komplexen Prüfung der datenschutzrechtlichen Zulässigkeit cloudbasierter internationaler Datentransfers ein eigener Abschnitt gewidmet. Vor dem Hintergrund der zentralen Regelungen der §§ 4 b und 4 c im BDSG werden die verschiedenen Möglichkeiten internationaler Transfers personenbezogener Daten dargestellt und rechtlich gewürdigt. Das speziell für die Übermittlung personenbezogener Daten in die USA relevante sog. Safe-Harbor-Abkommen wird ebenso untersucht wie die Verwendung der verschiedenen sog. EU-Standardvertragsklauseln und der sog. Binding Corporate Rules (BCR) für die datenschutzrechtliche Absicherung internationaler Datentransfers. Ergänzend zum Datenschutz nimmt die Autorin vereinzelt auch Aspekte der IT-Sicherheit in die Prüfung mit auf. Die Präsentation technischer Möglichkeiten eines effektiven Datenschutzes in der Cloud bildet den Abschluss der Untersuchung.