Die Standortfrage

Aus diesem Grund gehört es bei US-Anbietern inzwischen zum guten Ton, auch Services ausschließlich aus europäischen Rechenzentren im Angebot zu haben. Es obliegt aber der Prüfungspflicht des Kunden, ob dem wirklich so ist und ob zu Stoßzeiten nicht doch eine transparente Migration in ein anderes, weniger ausgelastetes Rechenzentrum erfolgt.

Des Weiteren sollte er sich bewusst sein, dass er sich nicht nur auf die US-amerikanische Rechtsauffassung, sondern auch auf dortige Moralvorstellungen einlässt. So machte das Beispiel eines Fotografen die Runde, dessen – nach seiner Auffassung – "künstlerische Akte" ein Clouddienst kurzerhand entfernt hatte [6]. Das Beispiel zeigt, dass zum einen nicht nur die Inhalte ohne explizites Einverständnis gelöscht wurden, sondern andererseits auch, dass vorab eine Prüfung durch den Anbieter stattgefunden hatte. Als privat angesehenen Daten hatten Dritte eingesehen – ohne Rückfrage.

Vertragswerk

Deshalb muss das Vertragswerk auch zwingend definieren, welche Rechte und Fristen zum Sperren oder gar Löschen von Daten der Anbieter hat, beispielsweise bei Urheberrechtsverstößen, im Falle von offenen Rechnungen und besonders nach Vertragsende. Keinem Kunden dürfte an einer lukrativen Zweitverwertung der Daten durch den ehemaligen Anbieter gelegen sein.

Eine zum Beispiel in Deutschland rechtskonforme Nutzung von Clouddiensten erfordert umfangreiche vertragliche Regelungen, die sich bei weltweit agierenden Anbietern meist nur von Großunternehmen, bedingt durch ihre Marktmacht, durchsetzen lassen. Anfragen von kleinen Nutzern zu individuellen Absprachen ignorieren große Anbietern meist, es gibt nur Standardverträge nach dem Motto "Friss oder stirb".

Vor solchen Hürden bleibt dem Unternehmen prinzipiell nur der Rat, sich an einen kleineren, nach hiesigem Recht agierenden Partner zu wenden – dessen individualisierte Lösungen aber oft nicht den Charme und die Konditionen der großen Anbieter aufweisen. Der Kunde kann dort aber eher seinen (regelmäßigen) Prüfungspflichten der getroffenen "technisch organisatorischen Maßnahmen" zum Schutz der Daten nachkommen, wie sie der Gesetzgeber in § 9 BDSG vorschreibt. Ein Besuch in einem Rechenzentrum von Amazon oder Google mag zwar reizvoll erscheinen, wird aber meist auf Seite des Anbieters dankend abgelehnt.