Jusletter IT

Vor einiger Zeit hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) seine «Erläuterungen zu Cloud Computing» herausgegeben¹. Darin erläutert dieser die Risiken des Cloud Computing für die Privatsphäre und gibt Empfehlungen im Hinblick auf den Datenschutz ab. Der EDÖB zieht mit diesen Erläuterungen mit der Konferenz der deutschen Datenschutzbeauftragten des Bundes und der Länder gleich, welche bereits im September 2011 ihre ausführliche «Orientierungshilfe – Cloud Computing» veröffentlicht hat². Cloud Computing scheint sich sowohl bei Unternehmen als auch bei Privaten immer grösserer Beliebtheit zu erfreuen. So bieten verschiedene Anbieter, wie z.B. IBM oder Amazon, Cloud-Services für Unternehmen an³. Cloud Computing ist jedoch nicht unproblematisch und wirft insbesondere aus datenschutzrechtlicher Sicht zahlreiche Fragen auf.

Der vorliegende Artikel möchte eine Einordnung des Cloud Computings in datenschutzrechtlicher Hinsicht sowie eine Übersicht über die Risiken und Haftungsfragen geben, welche bei der Nutzung von Cloud Services auftreten können. Der Artikel erhebt dabei keinen Anspruch auf Vollständigkeit. Für die nachfolgende Darstellung des Cloud Computings wird vom Sachverhalt ausgegangen, dass ein Unternehmen (Cloud-Nutzer) Personendaten von Dritten (z.B. Kunden, Arbeitnehmer, etc.) mittels Cloud-Services bearbeitet, die von einem Dritten (Cloud-Provider) bereitgestellt werden.

Dazu wird in einem ersten Teil auf die verschiedenen Formen des Cloud Computings eingegangen sowie der Versuch einer Definition vorgenommen. In einem zweiten Teil wird die Rechtsbeziehung zwischen Cloud-Nutzer und Cloud-Provider aus datenschutzrechtlicher Sicht analysiert. Im dritten Teil werden die bei der Nutzung von Cloud Services auftretenden Risiken identifiziert. Abschliessend wird auf die Frage der Haftung bei Datenschutzverletzungen im Zusammenhang mit Cloud Services eingegangen.

Gemäss dem EDÖB bedeutet Cloud Computing, «vereinfacht gesagt, dass Software, Speicherkapazität oder Rechnerleistung über ein Netzwerk […] bedarfsorientiert bezogen, d.h. gemietet werden»⁴. Gemäss der Konferenz der deutschen Datenschutzbeauftragten des Bundes und der Länder steht Cloud Computing «für Datenverarbeitung in der Wolke und beschreibt eine über Netze angeschlossene Rechnerlandschaft, in welche die eigene Datenverarbeitung ausgelagert wird»⁵. Morscher versteht unter Cloud Computing den «bedarfsgerechte[n] Bezug von Hard- und Softwareleistungen über das Internet [...]»⁶. Für Niemann/Hennrich steht Cloud Computing «derzeit begrifflich für Dienste, die im Wesentlichen durch eine hohe Skalierbarkeit, geteilte Ressourcen, Elastizität sowie einer bedarfsbasierten Nutzung und Abrechnung (Service on demand) gekennzeichnet sind»⁷.

Für das Cloud Computing ist charakteristisch, dass IT-Infrastruktur (z.B. Speicherplatz, Rechenkapazität oder auch Software) in virtualisierter Form an den jeweiligen Bedarf des Cloud-Nutzers angepasst über ein Netzwerk (z.B. Internet oder auch firmeninternes Intranet) zur Verfügung gestellt wird. Der Cloud-Nutzer erbringt typischerweise gewisse IT-Dienstleistungen nicht mehr selber, sondern bezieht diese über ein Netzwerk von einem Dritten, dem Cloud-Provider⁸. Die Anwendungen bzw. die Daten befinden sich nicht mehr lokal beim Cloud-Nutzer sondern in der virtualisierten Hard- und Software des Anbieters, der sogenannten Cloud. Der Vorteil liegt dabei vor allem in der (örtlich unabhängigen) Verfügbarkeit der Ressourcen, der Flexibilität der Nutzung, dem einfachen Erwerb, der verbrauchsabhängigen Bezahlung sowie dem Einsparpotential in den Bereichen Anschaffung, Betrieb und Wartung der IT-Systeme. Cloud Computing hat jedoch nicht nur für den Cloud-Nutzer, sondern auch für den Cloud-Provider seine Vorteile. Durch das Cloud Computing wird im Bereich der Softwarenutzung die Gefahr von Schwarzkopien reduziert, da dem Kunden lediglich ein Onlinenutzungsrecht gewährt, jedoch keine Kopie ausgehändigt wird⁹.

Bei den verschiedenen Arten des Cloud Computing ist einerseits in Bezug auf die Organisationsform zwischen Private Cloud, Public Cloud und Hybrid Cloud zu unterscheiden. Andererseits ist in Bezug auf die angebotenen Services zwischen Infrastructure as a Service (IaaS), Platform as a Service (PaaS) und Software as a Service (SaaS) zu unterscheiden.

Unter einer Private Cloud versteht man allgemein eine unternehmenseigene und in der Regel auch von diesem Unternehmen selbst betriebene Cloud-Umgebung, deren Nutzung auf bestimmte Personen (in der Regel auf Mitarbeiter des Unternehmens) beschränkt ist. Dabei wird aus sicherheitstechnischen Gründen in der Regel über ein firmeneigenes Netzwerk auf die Cloud zugegriffen. Die Infrastruktur steht bei einer Private Cloud unter der Kontrolle des Unternehmens, was eine entsprechend individuelle Anpassung auf die Unternehmensbedürfnisse ermöglicht. Jedoch besteht auch bei einer Private Cloud die Möglichkeit, dass die Infrastruktur von einem Dritten betrieben wird.

Im Gegensatz zur Private Cloud wird die Cloud-Umgebung bei einer Public Cloud immer von einem Dritten betrieben. Die Nutzung ist nicht auf bestimmte Personen beschränkt, sondern steht einer Vielzahl von Personen bzw. Unternehmen offen, welche sich eine virtualisierte Infrastruktur teilen. Der Zugriff auf die Cloud-Services erfolgt dabei über das Internet. Die Nutzer einer Public Cloud haben auf die Form und den Ort der Datenspeicherung sowie auf die Compliance- und Sicherheitsaspekte keinen Einfluss. Für den einzelnen Cloud-Nutzer besteht in der Regel nicht die Möglichkeit einer seinen Bedürfnissen angepasste Ausgestaltung der Cloud. Er hat die Wahl, die Cloud-Services zu nutzen und sich den Allgemeinen Geschäftsbedingungen (AGB) des Cloud-Providers zu unterwerfen, oder auf die Nutzung der Cloud-Services zu verzichten. Die AGB der Cloud-Provider enthalten dabei grosszügige Gewährleistungsausschlüsse¹⁰.

Von einer Hybrid Cloud wird gesprochen, wenn mehrere selbständige Cloud-Infrastrukturen über standardisierte Schnittstellen gemeinsam genutzt werden. Dabei wird das Rechenzentrum, das die Private Cloud bildet, mit den Cloud-Diensten einer Public Cloud kombiniert, was dem Cloud-Nutzer ermöglicht, bei Bedarf auf die Ressourcen einer Public Cloud zurückzugreifen.

Wie bereits erwähnt, ist in Bezug auf die durch einen Cloud-Provider angebotenen Services zwischen Infrastructure as a Service (IaaS), Platform as a Service (PaaS) und Software as a Service (SaaS) zu unterscheiden. Bei IaaS wird virtualisierte IT-Infrastruktur (z.B. Speicherkapazität) in der Cloud bereitgestellt, auf welche die Cloud-Nutzer zugreifen, um so z.B. ihre Daten abspeichern zu können¹¹. Bei PaaS wird dem Cloud-Nutzer ermöglicht, auf einer vom Cloud-Anbieter zur Verfügung gestellten Infrastruktur eigene Programme zu entwickeln und auszuführen¹². Bei SaaS greift der Cloud-Nutzer auf in der Cloud bereitgestellte Software zu¹³.

Damit das Datenschutzgesetz (DSG) auf eine Datenverarbeitung in einer Cloud anwendbar ist, muss eine private Person innerhalb der Cloud Daten von natürlichen oder juristischen Personen bearbeiten (Art. 2 Abs. 1 lit. a DSG)¹⁴. Als Bearbeiten gilt dabei jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten (Art. 3 lit. e DSG). Somit stellen z.B. die Speicherung von Arbeitnehmerdaten durch eine Personalabteilung in einer Cloud oder die Aktualisierung und Erfassung von Kundendaten durch einen Aussendienstmitarbeiter in einer Software, die in einer Cloud bereitgestellt wird, Bearbeitungen im Sinne von Art. 3 lit. e DSG dar.

Bei den bearbeiteten Daten muss es sich stets um Personendaten im Sinne von Art. 3 lit. a DSG handeln, d.h. es müssen Daten in der Cloud bearbeitet werden, die sich auf eine bestimmte oder bestimmbare Person beziehen. Bestimmt ist eine Person dann, wenn sich aus den Daten selbst ergibt, dass es sich um eine ganz bestimmte Person handelt¹⁵. Hingegen ist eine Person bestimmbar, wenn eine Identifikation nicht aus den Daten selber, jedoch durch die Kombination verschiedener Informationen ohne einen unverhältnismässigen Aufwand möglich ist¹⁶. Dies ist anhand objektiver Kriterien im konkreten Fall zu beurteilen, wobei der unverhältnismässige Aufwand insbesondere auch durch die zur Verfügung stehenden Suchwerkzeuge bestimmt wird¹⁷. Bei Daten, die anonymisiert, pseudonymisiert oder verschlüsselt sind, handelt es sich in der Regel nicht um Personendaten im Sinne von Art. 3 lit. a DSG. Ist es einer Person hingegen möglich, die anonymisierten, pseudonymisierten oder verschlüsselten Daten zu entziffern, und die dahinter stehenden Personen zu erkennen, so handelt es sich gegenüber dieser Person ebenfalls um Personendaten im Sinne von Art. 3 lit. a DSG.

 

Der Cloud-Nutzer, welcher Personendaten¹⁸ nicht auf seinem eigenen Server speichert, sondern dazu z.B. die Amazon Simpel Storage Services verwendet, lässt Personendaten durch einen Dritten, im genannten Fall durch Amazon, im Sinne von Art. 3 lit. e DSG bearbeiten. Aus datenschutzrechtlicher Sicht liegt somit eine Datenbearbeitung durch Dritte vor¹⁹. Eine solche ist jedoch nur dann zulässig, wenn die Voraussetzungen von Art. 10a Abs. 1 DSG erfüllt sind: Der Cloud-Provider darf die Daten nur so bearbeiten, wie der Cloud-Nutzer es selbst tun dürfte (lit. a) und es darf keine gesetzliche oder vertragliche Geheimhaltungspflicht die Bearbeitung durch einen Dritten verbieten (lit. b). Darüber hinaus muss sich der Cloud-Nutzer als Auftraggeber darüber vergewissern, dass der Cloud-Provider die Datensicherheit gewährleistet (Art. 10a Abs. 2 DSG). Die Folge einer solchen Auftragsbearbeitung ist ein Bekanntgabeprivileg, d.h. die Bekanntgabe von Personendaten vom Cloud-Nutzer an den Cloud-Anbieter zieht nicht die Rechtsfolgen einer Datenbekanntgabe an Dritte nach sich²⁰. Der Cloud-Anbieter wird mit anderen Worten im Verhältnis zum Cloud-Nutzer aus datenschutzrechtlicher Sicht nicht mehr als Dritter angesehen.

Der Cloud-Nutzer hat den Cloud-Provider sorgfältig auszuwählen²¹ und sicherzustellen, dass er die notwendigen Voraussetzungen für eine datenschutzkonforme Datenbearbeitung erfüllt und insbesondere die Datensicherheit gewährleisten kann²². Er hat den Cloud-Provider entsprechend zu instruieren, insbesondere über den erlaubten Zweck und den Umfang der Datenbearbeitung sowie die einzuhaltenden Sicherheitsstandards²³. Aus vertraglicher Sicht muss sich der Cloud-Nutzer daher ein entsprechendes Weisungsrecht in Bezug auf die Datenbearbeitung ausbedingen²⁴. Darüber hinaus wird auch eine entsprechende Überwachung des Cloud-Providers unerlässlich sein²⁵. Will der Cloud-Provider Dritte als Sub-Provider beiziehen, z.B. weil seine eigene Infrastruktur für die Befriedigung der Nutzerbedürfnisse nicht ausreicht, so bedarf dies der Zustimmung des Cloud-Nutzers²⁶. Diese kann bereits im Voraus erteilt werden, weshalb sich der Cloud-Provider vertraglich den Beizug von Sub-Providern vorbehalten kann²⁷. Es ist jedoch im Interesse des Cloud-Nutzers, dass ihm der Cloud-Provider die möglichen Sub-Provider offenlegt, damit er seiner Sorgfaltspflicht in Bezug auf Auswahl nachkommen kann. So würde es die Sorgfaltspflicht verbieten, dass ein Cloud-Nutzer Dienstleistungen von einem Cloud-Provider bezieht, welcher Sub-Anbieter beizieht, die für Verfehlungen im datenschutzrechtlichen Bereich bekannt sind.

Stellt der Cloud-Nutzer datenschutzrelevante Verfehlungen des Cloud-Providers (oder eines Sub-Providers) fest²⁸, so erfordert es seine Sorgfaltspflicht, dass er entsprechende Konsequenzen zieht²⁹. Unter Umständen, insbesondere wenn der Cloud-Provider keine Gewähr mehr für eine angemessene Datensicherheit bieten kann, kann die Sorgfaltspflicht des Cloud-Nutzers dazu führen, dass keine weiteren Datenbearbeitungen in der Cloud stattfinden dürfen bzw. dass die Zusammenarbeit mit dem Cloud-Provider beendet werden muss.

Im Falle der Datenspeicherung, um beim oben erwähnten Beispiel zu bleiben, wird dem Cloud-Nutzer durch den Cloud-Provider ein Server für die Speicherung von Daten zur Verfügung gestellt. Ist dieser Server ausgelastet, so wird dem Cloud-Nutzer automatisch und ohne dass dieser es merkt, ein weiterer Server zur Verfügung gestellt³⁰. Reicht die eigene Infrastruktur des Cloud-Providers nicht aus um den Bedarf an Speicherplatz zu decken, so kann dieser weitere Ressourcen bei Dritten (sog. Sub-Providern) einkaufen. Wo sich der Server, auf dem die Daten gespeichert sind, befindet und wem dieser gehört, ist für den Cloud-Nutzer grundsätzlich nicht erkennbar³¹.

Für Cloud-Services mit Auslandberührung ist insbesondere Art. 6 DSG von Bedeutung. Obwohl wie oben dargelegt eine Auftragsbearbeitung nach Art. 10a DSG vorliegt, entbindet dies nicht von der Einhaltung von Art. 6 DSG, sofern die Daten im Rahmen dieser Auftragsbearbeitung ins Ausland gelangen³². Gemäss Art. 6 Abs. 1 DSG dürfen Personendaten nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Person schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet. Ob ein Land aus Schweizer Sicht einen angemessenen Datenschutz gewährleistet, kann anhand einer vom EDÖB publizierten Liste³³ in Erfahrung gebracht werden. Fehlt eine Gesetzgebung, die einen angemessenen Datenschutz gewährleistet, so können Personendaten unter den Voraussetzungen von Art. 6 Abs. 2 DSG dennoch ins Ausland bekannt gegeben werden. Insbesondere dürfen Personendaten ins Ausland bekannt gegeben werden, wenn hinreichende Garantien, insbesondere durch Vertrag, einen angemessenen Schutz im Ausland gewährleisten (Art. 6 Abs. 2 lit. a DSG).

Für die Beurteilung, ob die Datenbearbeitung im Ausland erfolgt, ist nicht auf den Sitz des Cloud-Providers abzustellen, sondern vielmehr auf den tatsächlichen Ort der Datenbearbeitung; in der Regel ist dies der Standort des jeweiligen Servers³⁴. Da wie oben ausgeführt bei Bedarf weitere Server (und dies in der Regel ohne Kenntnis des Cloud-Nutzers) hinzugezogen werden, deren Standort auch im Ausland liegen kann, kann dies zu einer Datenbekanntgabe ins Ausland führen, obwohl dies der Cloud-Nutzer eigentlich nicht wollte und ohne dass ihm dies überhaupt bekannt ist. Ein weiteres Problem liegt darin, dass die Daten nicht lokalisiert werden können bzw. dass nicht gesagt werden kann, welche Daten auf welchen Servern liegen. Somit kann es für den Cloud-Nutzer unmöglich sein zu erkennen, ob im konkreten Fall nur Server mit Standorten in Ländern, die den Datenschutzanforderungen genügen, verwendet werden.

Im Verhältnis Cloud-Provider und Cloud-Nutzer kann dem mit einer entsprechenden Klausel im Vertrag begegnet werden, die den Cloud-Provider entweder verpflichtet, für einen angemessenen Schutz zu sorgen oder nur Server zu verwenden, die sich in Ländern befinden, welche aus Schweizer Sicht einen angemessenen Datenschutz garantieren³⁵.

Ist die eigene Infrastruktur des Cloud-Providers ausgelastet, so kann bzw. muss dieser auf Dritt-Anbieter ausweichen. Der Beizug dieser Sub-Provider ist aus Sicht des Cloud-Nutzers jedoch ebenfalls nicht erkennbar. Auch im Verhältnis Cloud-Provider und Sub-Provider sollten – zum Schutz des Cloud-Nutzers – entsprechende Vertragsklauseln in Kraft sein, die dem Sub-Provider die gleichen Pflichten auferlegen wie dem Cloud-Provider³⁶.

Personendaten müssen durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden (Art. 7 Abs. 1 DSG). Dabei muss für die Vertraulichkeit, die Verfügbarkeit und die Integrität der Daten gesorgt sein (Art. 8 Abs. 1 VDSG), wobei insbesondere die folgenden Risiken abgesichert werden müssen: a) unbefugte oder zufällige Vernichtung, b) zufälliger Verlust, c) technische Fehler, d) Fälschung, Diebstahl oder widerrechtliche Verwendung sowie e) unbefugtes Ändern, Kopieren, Zugreifen oder andere unbefugte Bearbeitungen.

Will ein Unternehmen Cloud-Dienstleistungen nutzen, so hat es bei der Auswahl des Cloud-Providers darauf zu achten, dass dieser die Voraussetzungen von Art. 7 Abs. 1 DSG und Art. 8 VDSG einhält. Dies ergibt sich aus der Sorgfaltspflicht des Cloud-Nutzers im Rahmen von Art. 10a DSG. Welche technischen und organisatorischen Massnahmen dabei ergriffen werden müssen, hängt unter anderem von den in der Cloud zu bearbeitenden Daten ab³⁷. Die Sensitivität der Daten hat daher einen Einfluss auf die Auswahl der Organisationsform der Cloud: Je sensitiver bzw. heikler die Daten sind, desto eher sollte – aufgrund der getrennten und daher sichereren Infrastruktur – eine Private Cloud gewählt werden, die eine individuelle Ausgestaltung ermöglicht³⁸.

Der EDÖB verlangt in seiner Empfehlung, dass die technischen und organisatorischen Massnahmen periodisch vor Ort zu überprüfen sind³⁹. Es stellt sich die Frage, was eine solche Vor-Ort-Prüfung alles umfassen soll. Denkbar ist, dass eine solche Vor-Ort-Kontrolle die Prüfung der Infrastruktur bzw. der diesbezüglichen Schutzvorkehrungen⁴⁰ des Cloud-Providers umfasst. Da der Cloud-Provider für seine Cloud-Dienstleistungen unter Umständen Server nutzt, die über die ganze Welt verstreut sind, ist eine Vor-Ort-Kontrolle jedoch nur schwer umsetzbar. Darüber hinaus ist zu beachten, dass der Provider einer Public Cloud – aus naheliegenden Gründen – seinen Kunden in aller Regel kein Inspektionsrecht gewährt. Möglich ist hingegen, dass sich der Nutzer einer Private Cloud, deren Infrastruktur durch einen Dritten bereitgestellt wird, ein entsprechendes Inspektionsrecht vorbehält.

Was die softwaremässigen Sicherheitsvorkehrungen betrifft, so kann der Cloud-Nutzer selbstverständlich das Sicherheitskonzept des Cloud-Providers überprüfen, aber ob dieses auch tatsächlich so umgesetzt wird bzw. ob es für die konkrete Datenbearbeitung einen angemessenen Schutz bietet, dürfte für den Laien kaum überprüfbar sein. Hier ist dem Cloud-Nutzer zu empfehlen, nur auf zertifizierte Provider zurückzugreifen.

Nachdem das Verhältnis zwischen Cloud-Nutzer und Cloud-Provider aus datenschutzrechtlicher Sicht dargestellt wurde, soll im folgenden Abschnitt auf die konkreten datenschutzrechtlichen Risiken bei der Nutzung von Cloud-Services eingegangen werden. Dabei soll lediglich ein Überblick über spezifische Risiken, die durch die Nutzung von Cloud-Services entstehen können, gegeben werden, wobei kein Anspruch auf Vollständigkeit erhoben wird.

Ein Vorteil von Cloud-Services, nämlich die Flexibilität beim Bezug dieser Services, ist aus datenschutzrechtlicher Sicht gleichzeitig auch deren Nachteil. Die Daten werden nicht mehr auf der unternehmenseigenen sondern einer fremden IT-Infrastruktur bearbeitet, auf welche der Cloud-Nutzer jedoch nur beschränkt Zugriff hat. Er hat nicht mehr die volle Kontrolle über seine Daten, sondern diese sind auf IT-Infrastrukturen auf der ganzen Welt verteilt, welche durch Cloud-Provider bzw. Sub-Provider betrieben werden, die dem Cloud-Nutzer unter Umständen überhaupt nicht bekannt sind. Wie bereits erwähnt, ist für den Cloud-Nutzer in der Regel nicht ohne weiteres erkennbar, wo seine Daten tatsächlich physisch gespeichert sind und schwer einzuschätzen, ob seine Daten wirklich angemessen geschützt sind. Eine Zertifizierung des Cloud-Providers nach anerkannten Standards kann hier eine gewisse Abhilfe schaffen.

Diese Gefahr ist bei einer Public Cloud am grössten, muss der Cloud-Nutzer in der Regel die AGB des Providers ohne die Möglichkeit einer Änderung annehmen, wenn er die Dienstleistungen nutzen möchte. Eine vertragliche Vereinbarung von spezifischen Klauseln über die Einhaltung der Datenschutzbestimmungen sowie die anzuwendenden technischen und organisatorischen Massnahmen fallen damit grundsätzlich ausser Betracht⁴¹. Auch hat der Cloud-Nutzer in der Regel weder Gewissheit noch die Möglichkeit zur Überprüfung, ob die Daten tatsächlich gelöscht sind, wenn er dies entsprechend angeordnet hat⁴².

Der Cloud-Nutzer läuft daher Gefahr, seinen datenschutzrechtlichen Pflichten in Bezug auf Datensicherheit (Art. 7 DSG), Gewährung des Auskunftsrechts (Art. 8 Abs. 4 DSG) oder Berichtigung und Vernichtung der Daten (Art. 15 Abs. 1 DSG) nicht nachkommen zu können⁴³.

Ein weiteres Problem bei Cloud-Services – insbesondere bei Public Clouds – besteht darin, dass mehrere Nutzer, welche keinen Bezug zueinander haben müssen, die gleiche Infrastruktur nutzen. Dadurch besteht das Risiko, dass unsorgfältige Programmierung, Pannen beim Cloud-Provider oder Hackerangriffe dazu führen, dass Unbefugte auf Daten von Cloud-Nutzern zugreifen können⁴⁴. Werden in der Cloud unverschlüsselte Daten bearbeitet, kann dies – je nach Sensitivität der Daten – nachteilige Auswirkungen für den Cloud-Nutzer haben. Es besteht ein beträchtliches Reputationsrisiko. Auch hier läuft der Cloud-Nutzer Gefahr, seinen datenschutzrechtlichen Pflichten in Bezug auf die Datensicherheit (Art. 7 DSG) nicht nachkommen zu können. Um dieses Risiko zu minimieren, empfiehlt es sich daher – zumindest bei sensitiven Daten – nur Private Cloud-Services zu nutzen.

Die meisten Cloud-Provider arbeiten mit ihrer eigenen Technologie und den eigenen Systemen. Eine Kompatibilität zwischen den Systemen der einzelnen Cloud-Provider ist daher grundsätzlich nicht gewährleistet. Durch die fehlende Kompatibilität der Systeme zwischen den einzelnen Cloud-Providern begibt sich der Cloud-Nutzer in ein Abhängigkeitsverhältnis zum von ihm gewählten Cloud-Anbieter. Soll die Zusammenarbeit zwischen Cloud-Nutzer und Cloud-Provider in der Folge beendet werden – aus welchen Gründen auch immer – so besteht das Risiko, dass die Daten nicht oder nur mit entsprechendem Aufwand auf einen anderen Cloud-Provider oder ins eigene IT-System migriert werden können, was zu einem Datenverlust oder zu einer Datenbeschädigung führen kann⁴⁵. Auch in diesem Fall kann der Cloud-Nutzer seinen datenschutzrechtlichen Pflichten nicht vollumfänglich nachkommen⁴⁶. Es empfiehlt sich deshalb, mit dem Cloud-Provider eine vertragliche Vereinbarung in Bezug auf die Datenmigration zu treffen oder nur solche Cloud-Provider auszuwählen, die ein kompatibles System verwenden.

Wenn die Bearbeitung von Personendaten in der Cloud zu einer Persönlichkeitsverletzung führt, so stellt sich die Frage, wer in einem solchen Fall haftet. Dabei sind drei Konstellationen auseinander zu halten: i) das Verhältnis zwischen betroffener Person⁴⁷ und Cloud-Nutzer, ii) das Verhältnis zwischen Cloud-Nutzer und Cloud-Provider und iii) das Verhältnis zwischen der betroffenen Person und Cloud-Provider.

Gemäss Art. 12 Abs. 1 DSG darf derjenige, der Personendaten bearbeitet, die Persönlichkeit der betroffenen Person nicht verletzen. Dabei darf er insbesondere nicht a) Personendaten entgegen den Grundsätzen von Art. 4, Art. 5 Abs. 1 und Art. 7 Abs. 1 DSG bearbeiten, b) ohne Rechtfertigungsgrund Daten einer Person gegen deren ausdrücklichen Willen bearbeiten und c) ohne Rechtfertigungsgrund besonders schützenswerte Personendaten oder Persönlichkeitsprofile Dritten bekannt geben. Liegt eine Datenbearbeitung vor, die gegen Art. 12 DSG verstösst und liegt kein Rechtfertigungsgrund gemäss Art. 13 DSG vor, so kann die betroffene Person die Ansprüche gemäss Art. 15 DSG geltend machen. Ihr stehen dabei insbesondere ein Beseitigungs- (Art. 15 Abs. 1 DSG i.V.m. Art. 28a Abs. 1 Ziff. 1 ZGB), ein Unterlassung- (Art. 15 Abs. 1 DSG i.V.m. Art. 28a Abs. 1 Ziff. 2 ZGB) sowie ein Feststellungsanspruch (Art. 15 Abs. 1 DSG i.V.m. Art. 28a Abs. 1 Ziff. 3 ZGB) zu. Darüber hinaus kann die betroffene Person bei Verschulden des Datenbearbeiters auch Schadenersatzansprüche geltend machen (Art. 15 Abs. 1 DSG i.V.m. Art. 28a Abs. 3 ZGB und Art. 41 OR).

Um die konkreten Ansprüche der betroffenen Person bei Datenschutzverletzungen im Zusammenhang mit Cloud-Services zu verdeutlichen, soll vom folgenden Beispiel ausgegangen werden: Ein Patient A⁴⁸ ist in Behandlung beim Arzt B⁴⁹. Dieser verwendet für die Speicherung der Patientendaten die Cloud-Dienstleistungen des Unternehmens C⁵⁰. Durch eine Panne infolge einer Softwareaktualisierung bei C sind die Patientendaten von A auch für Dritte zugänglich.

Damit A gegenüber B Ansprüche⁵¹ geltend machen kann, muss eine Persönlichkeitsverletzung im Sinne von Art. 12 DSG vorliegen. Aufgrund des unbefugten Zugriffs von Dritten auf die Patientendaten von A, ist keine angemessene Datensicherheit mehr gewährleistet, was eine Verletzung von Art. 7 Abs. 1 DSG darstellt. Ausserdem werden besonders schützenswerte Personendaten – die Patientendaten von A – Dritten bekanntgegeben, wobei kein Rechtfertigungsgrund vorliegt⁵². Demnach ist eine Persönlichkeitsverletzung im Sinne von Art. 12 Abs. 1 lit a und c DSG gegeben.

A hat sämtliche Ansprüche gemäss Art. 15 DSG gegenüber B. Dabei ist zwischen den verschuldensunabhängigen (wie z.B. dem Beseitigungsanspruch oder dem Anspruch auf Sperrung der Datenbearbeitung) und den verschuldensabhängigen (wie z.B. dem Schadenersatzanspruch) Ansprüchen zu unterscheiden.

Als verschuldensunabhängige Ansprüche stehen A insbesondere ein Beseitigungs-, Unterlassungs- sowie Feststellungsanspruch zu Verfügung. Mit dem Beseitigungsanspruch kann A die Beseitigung einer bestehenden, d.h. bereits eingetreten aber noch fortdauerenden rechtswidrigen Persönlichkeitsverletzung verlangen (Art. 28a Abs. 1 Ziff. 2 ZGB), wobei kein Verschulden seitens B vorausgesetzt wird⁵³. Vorliegend hat A grundsätzlich einen Beseitigungsanspruch gegenüber B, da eine rechtswidrige Persönlichkeitsverletzung eingetreten ist und diese fortdauert, solange die Sicherheitslücke nicht behoben ist. Nichtsdestotrotz wird der Beseitigungsanspruch in der Praxis regelmässig daran scheitern, dass Sicherheitslücken in Cloud-Anwendungen zügig behoben werden und es daher an der Voraussetzung der Fortdauer der Persönlichkeitsverletzung mangelt⁵⁴.

Auch der Unterlassungsanspruch (Art. 28a Abs. 1 Ziff. 1 ZGB) dürfte ausser Betracht fallen, da diesbezüglich ein hinreichendes Rechtsschutzinteresse nur dann bejaht wird, wenn eine Verletzung unmittelbar droht, d.h. wenn das Verhalten des Beklagten die künftige Verletzung ernsthaft befürchten lässt⁵⁵. Sofern in der Vergangenheit nicht bereits ähnliche Sicherheitslücken aufgetreten sind, ist ein entsprechendes Rechtsschutzinteresse in der Regel zu verneinen.

Für den Feststellungsanspruch (Art. 28a Abs. 1 Ziff. 3 ZGB) ist erforderlich, dass die Persönlichkeitsverletzung abgeschlossen ist, sich diese jedoch weiterhin störend auswirkt⁵⁶. Auch hier dürfte es bei zügiger Behebung der Sicherheitslücken – sofern die Personendaten von A nicht weiterhin auf dem Internet verfügbar sind – am Rechtsschutzinteresse fehlen.

 

Sofern A durch die Persönlichkeitsverletzung einen Schaden erleidet, kann er gegenüber B einen Schadenersatzanspruch geltend machen (Art. 15 Abs. 1 DSG i.V.m. Art. 28a Abs. 3 ZGB und Art. 41 ff. OR). Die Problematik dürfte vorliegend beim Schaden liegen. A muss einen Schaden im Sinne der Differenztheorie erlitten haben, um überhaupt Schadenersatzansprüche geltend machen zu können. Findet A z.B. aufgrund der öffentlich zugänglichen Patientendaten keine Stelle, so stellt dies einen Schaden in Form von entgangenem Gewinn dar⁵⁷. Erleidet A jedoch keinen Schaden im Rechtssinne, so fallen Ansprüche nach Art. 41 ff. OR von vornherein ausser Betracht.

Eine Haftung setzt ein entsprechendes Verschulden von B voraus, wobei von einem objektivierten Sorgfaltsmassstab auszugehen ist⁵⁸. Welche Sorgfalt im konkreten Einzelfall geschuldet ist, hängt insbesondere von der Art der bearbeiteten Personendaten ab. Da im vorliegenden Beispiel besonders schützenswerte Personendaten (Patientendaten) bearbeitet werden, ist entsprechend ein höherer Sorgfaltsmassstab anzulegen.

 

Vorliegend kann A sich auf Art. 55 Abs. 1 OR stützen, da nicht B, sondern dessen Hilfsperson C (der Cloud-Anbieter) den Schaden verursacht hat⁵⁹. B kann sich von seiner Haftung befreien, wenn er beweist, dass er alle nach den Umständen gebotene Sorgfalt angewendet hat⁶⁰. Dabei hat er insbesondere nachzuweisen, dass er die gebotene Sorgfalt in Bezug auf die Auswahl, Instruktion und Überwachung von C eingehalten hat⁶¹. Sofern B die entsprechende Sorgfalt bei der Auswahl des Cloud-Anbieters hat walten lassen (z.B. Prüfung, ob C zertifiziert ist, Prüfung des Sicherheitskonzepts von C, etc.), er C vertraglich zur Einhaltung der relevanten Sicherheitsstandards verpflichtet hat und dies der erste Verstoss von C gegen das Datenschutzgesetz ist und B ihn abgemahnt hat, dann ist davon auszugehen, dass B seiner Sorgfaltspflicht nachgekommen ist, was eine Haftung nach Art. 55 Abs. 1 OR ausschliesst. Ist hingegen bekannt, dass die Cloud-Dienstleistungen von C regelmässig Sicherheitslücken aufweisen oder sind im Verhältnis zwischen B und C bereits Datenschutzverstösse vorgefallen, so ist B seiner Sorgfaltspflicht nicht vollumfänglich nachgekommen, was – sofern die weiteren Voraussetzungen gegeben sind – zu einer Haftung von B aufgrund von Art. 55 Abs. 1 OR führt⁶².

Zwischen B und C wird in aller Regel ein entsprechendes Outsourcing-Agreement (oder AGB) bestehen, welches die Dienstleistungserbringung durch C regelt⁶³. Gemäss Art. 10a Abs. 1 lit. a DSG darf die Datenbearbeitung nur dann an Dritte ausgelagert werden, wenn dieser die Daten nur so bearbeitet, wie der Auftraggeber selbst es tun dürfte⁶⁴. In der Praxis wird dabei dem Dritten in der Regel vertraglich die Pflicht überbunden, die Daten nur zum Zwecke der Vertragserfüllung zu bearbeiten und sich stets an die anwendbaren Datenschutzbestimmungen zu halten⁶⁵.

Verstösst C als Auftragsbearbeiter im Sinne von Art. 10a DSG gegen das Datenschutzgesetz, so liegt im Verhältnis zwischen B und C gleichzeitig eine Vertragsverletzung vor. Sollte B durch die Vertragsverletzung von C ein Schaden entstanden sein (z.B. Schadenersatzansprüche von A), so kann B gestützt auf Art. 97 Abs. 1 OR den Ersatz dieses Schadens von C verlangen⁶⁶. Hingegen stehen B – da er nicht betroffene Person im Sinne des DSG ist – keine Ansprüche aus dem Datenschutzgesetz gegenüber C zu.

Die Ansprüche nach Art. 15 DSG können gegen jede Person, die an der Verletzung mitwirkt, geltend gemacht werden⁶⁷. Das Schweizerische Datenschutzrecht kennt keine haftungsrechtliche Privilegierung des Auftragsbearbeiters. A kann somit auch gegen C vorgehen, der für die Panne die Hauptverantwortung trägt. Demnach stehen A auch gegenüber C – bei gegebenen Voraussetzungen – Unterlassungs-, Beseitigungs-, Feststellungs- sowie Schadenersatzansprüche zu. Es gelten in Bezug auf die Unterlassungs-, Beseitigungs- und Feststellungsansprüche die gleichen Überlegungen wie gegenüber B⁶⁸. Hingegen muss A seinen Schadenersatzanspruch gegenüber C auf Art. 41 Abs. 1 OR und nicht auf Art. 55 Abs. 1 OR stützen. A muss folglich einen Schaden, die Widerrechtlichkeit des Verhaltens von C, den Kausalzusammenhang zwischen Schaden und Verhalten von C sowie ein Verschulden desselben nachweisen. In Bezug auf das Verschulden gilt auch hier ein objektivierter Sorgfaltsmassstab, d.h. C hat diejenige Sorgfalt anzuwenden, die nach den Umständen erwartet werden kann⁶⁹. Auch hier ist aufgrund der Sensitivität der bearbeiteten Personendaten von einer erhöhten Sorgfaltspflicht auszugehen⁷⁰. Zur (Sorgfalts-)Pflicht von C gehört dabei, eine angemessene Datensicherheit zu gewährleisten, wobei die Angemessenheit anhand der Sensitivität der bearbeiteten Personendaten zu bestimmen ist. Da im vorliegenden Fall besonders schützenswerte Personendaten bearbeitet werden, sind die an C gestellten Anforderungen entsprechend höher. Hat C bei der Softwareaktualisierung, welche zur Panne geführt hat, nicht diejenige Sorgfalt angewendet, die aufgrund der Sensitivität der bearbeiteten Personendaten sowie der übrigen Umstände erwartet werden durfte, ist ein Verschulden von C zu bejahen. Kann A überdies das Vorhandensein der übrigen Haftungsvoraussetzungen nachweisen, so hat er gegenüber C einen entsprechenden Ersatzanspruch aus Art. 41 Abs. 1 OR.

Obwohl sich das Cloud Computing immer grösserer Beliebtheit erfreut, ist die Nutzung von Cloud-Dienstleistungen aus datenschutzrechtlicher Sicht nicht unbedenklich. Die datenschutzrechtlichen Risiken variieren dabei je nach Art der verwendeten Cloud. Insbesondere Public Clouds, bei welchen eine Vielzahl von Nutzern die gleiche Infrastruktur teilen, sind aus datenschutzrechtlicher Sicht mit Vorsicht zu geniessen.

Unternehmen, welche für die Bearbeitung von Kunden-, Arbeitnehmer- oder anderer Personendaten Cloud-Dienstleistungen in Anspruch nehmen, sollten sich dieser Risiken bewusst sein. Personen oder Unternehmen, die besonders sensitive Personendaten bearbeiten, sollten sich gut überlegen, ob sie für die Bearbeitung dieser Personendaten auf Cloud-Services zurückgreifen wollen. Insbesondere eine detaillierte vertragliche Regelung zum Schutz der Daten ist unerlässlich. Darüber hinaus ist zu empfehlen, auf Private Cloud-Lösungen zurückzugreifen, welche eine auf die Bedürfnisse des Nutzers zugeschnittene Lösung ermöglichen und damit auch einen angemessenen Schutz gewährleisten können.

---

Lic.iur. Philippe Fuchs ist Rechtsanwalt in Zürich.

 

Der Autor bedankt sich bei Georges D. Frick, MLaw, für die wertvollen Hinweise in Bezug auf die technischen Aspekte des Cloud Computings.

 

---