Rechtliche Aspekte beim Cloud Computing

Laut einer Umfrage der Bitkom Research GmbH und der KPMG AG hat die Mehrheit der Unternehmen Sorge um Compliance-Anforderungen in Bezug auf die Nutzung von Cloud-Lösungen.

Durch die Nutzung von Cloud-Lösungen werden einige Rechtsgebiete berührt. Im Folgenden werden die einschlägigen gesetzlichen Aspekte erläutert, die beim Einsatz von Cloud Computing in deutschen Unternehmen zu beachten sind.

Cloud Computing und Abgabenordnung

Werden durch den Cloud Betreiber steuerrechtlich relevante Daten verarbeitet, so sind die Vorschriften der §§ 146 ff. AO zu beachten¹.

Finanzbuchführung im Inland
Nach § 146 Abs. 2 Satz 1 AO sind Bücher und sonstige erforderliche Aufzeichnungen im Geltungsbereich dieses Gesetzes zu führen und aufzubewahren. In Bezug auf die AO ist ein Outsourcing elektronischer Daten innerhalb Deutschlands daher unproblematisch².

Finanzbuchführung im Ausland
Nach § 146 Abs. 2a AO kann abweichend von § 146 Abs. 2 AO die zuständige Finanzbehörde auf schriftlichen Antrag des Steuerpflichtigen die Führung und Aufbewahrung elektronischer Bücher und sonstiger erforderlicher Aufzeichnungen oder Teilen davon außerhalb des Geltungsbereichs dieses Gesetzes bewilligen. Für diese Bewilligung ist es erforderlich, dass der Steuerpflichtige der zuständigen Finanzbehörde den Standort des Datenverarbeitungssystems und bei Beauftragung eines Dritten dessen Namen und Anschrift mitteilt. Zusätzlich muss der Steuerpflichtige seinen sich aus den §§ 90, 93, 97, 140 bis 147 und 200 Abs. 1 und 2 ergebenden Pflichten ordnungsgemäß nachgekommen. Der Datenzugriff nach § 147 Abs. 6 muss darüber hinaus in vollem Umfang möglich sein und die Besteuerung durch die Führung und Aufbewahrung außerhalb des gesetzlichen Geltungsbereichs darf nicht beeinträchtigt werden. Die Finanzbehörde hat die Möglichkeit, diese Bewilligung zu widerrufen. Wenn Umstände bekannt werden, die zu einer Beeinträchtigung der Besteuerung führen, kann die unverzügliche Rückverlagerung der elektronischen Bücher und sonstigen erforderlichen Aufzeichnungen in den Geltungsbereich dieses Gesetzes verlangt werden.

Ein Outsourcing elektronischer Daten ist im Rahmen der AO unter Berücksichtigung der genannten Voraussetzungen sowie vorangegangener Genehmigung demnach möglich.

 

Cloud Computing und Betriebsverfassungsgesetz

§ 87 des Betriebsverfassungsgesetzes (BetrVG) regelt die zwingenden Mitbestimmungsrechte von Betriebsräten.
Werden Daten mittels Outsourcing ausgelagert, so ist es zwingend erforderlich, digitale Zugriffssysteme zu installieren, um weiterhin den Zugriff auf die Unternehmensdaten zu ermöglichen. Dies schafft für den Arbeitgeber eine Zuordnungsmöglichkeit der einzelnen Benutzerkonten zu den jeweiligen Angestellten, wodurch z.B. das Arbeitsverhalten überwacht werden kann³.

Der Betriebsrat hat gemäß § 87 Abs. 1 Satz 6 BetrVG, soweit eine gesetzliche oder tarifliche Regelung nicht besteht, bei der Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen, mitzubestimmen.
Das Mitbestimmungsrecht gilt nicht, wenn lediglich eine theoretische Möglichkeit zur Überwachung der Arbeitnehmer durch diese technische Einrichtung besteht⁴. Es ist erst dann eine Mitbestimmung des Betriebsrates erforderlich, wenn die technische Einrichtung eine konkrete Funktion zur Überwachung des Verhaltens oder der Leistung von Arbeitnehmern beinhaltet⁵.

 

Datenschutzrechtliche Anforderungen

In Deutschland sind besondere Vorschriften zum Datenschutz aus dem Bundesdatenschutzgesetz (BDSG) zu beachten. Zweck dieses Gesetzes ist es, den Einzelnen vor der Beeinträchtigung seines Persönlichkeitsrechts im Umgang mit seinen personenbezogenen Daten zu schützen. Werden durch den Cloud-Anbieter personenbezogene Daten verarbeitet, sind diese Gesetzmäßigkeiten zu beachten.
Nach dem BDSG sind personenbezogene Daten Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person⁶.  

§ 4 BDSG Verarbeitung personenbezogener Daten
In § 4 BDSG wird die Verarbeitung personenbezogener Daten geregelt. Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten ist nur zulässig, wenn nach § 4 Abs. 2 BDSG dies von einer Rechtsvorschrift vorgesehen oder zwingend vorausgesetzt wird, die zu erfüllende Verwaltungsaufgabe oder der Geschäftszweck eine Erhebung bei anderen Personen oder Stellen erforderlich macht oder die Erhebung beim Betroffenen einen unverhältnismäßigen Aufwand erfordern würde und keine Anhaltspunkte dafür bestehen, dass überwiegende schutzwürdige Interessen des Betroffenen beeinträchtigt werden. Andernfalls dürfen personenbezogene Daten nur mit Einwilligung des Betroffenen erhoben werden. Bezüglich Cloud Computing ist es jedoch kaum möglich, in der Praxis von allen betroffenen Personen eine Einwilligung zur Verarbeitung einzuholen⁷.  

§ 11 BDSG Auftragsdatenverarbeitung
Findet eine Datenverarbeitung im Rahmen einer Auftragsdatenverarbeitung nach § 11 BDSG statt, ist eine Einwilligung der betroffenen Personen nach § 4 BDSG nicht erforderlich⁸. Gemäß § 11 Abs. 1 BDSG ist der Auftraggeber verantwortlich für die Einhaltung der Vorschriften des BDSG und anderer Vorschriften über den Datenschutz, wenn im Auftrag personenbezogene Daten durch andere Stellen erhoben, verarbeitet oder genutzt werden.
In § 11 Abs. 2 BDSG werden die Einzelheiten definiert, die bei einem Auftrag in schriftlicher Form festzulegen sind. Diese umfassen:

1.   den Gegenstand und die Dauer des Auftrages,
2.   den Umfang, die Art und den Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten sowie die Art der Daten und der Kreis der Betroffenen,
3.   die nach § 9 BDSG zu treffenden technischen und organisatorischen Maßnahmen,
4.   die Berichtigung, Löschung und Sperrung von Daten,
5.   die nach Abs. 4 bestehenden Pflichten des Auftragnehmers, insbesondere die von ihm vorzunehmenden Kontrollen,
6.   die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen,
7.   die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers,
8.   mitzuteilende Verstöße gegen die Vorschriften zum Schutz personenbezogener Daten oder die im Auftrag getroffenen Feststellungen durch den Auftragnehmer oder bei ihm beschäftigte Personen,
9.   der Umfang der Weisungsbefugnisse des Auftraggebers gegenüber dem Auftragnehmers,
10. die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags.

Der Auftraggeber hat sich dabei vor Beginn der Datenverarbeitung und im Anschluss regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen und die Ergebnisse zu dokumentieren.

Auftragserteilung in EU/EWR
Hat ein Auftragnehmer seinen Sitz in der Europäischen Union (EU) oder dem Europäischen Wirtschaftsraum (EWR), so greifen nach § 3 Abs. 8 Satz 3 BDSG bei einer Beauftragung ebenfalls die Vorgaben aus § 11 BDSG⁹.

Auftragserteilung in Drittstaaten (außerhalb EU/EWR)
Hat ein Auftragnehmer seinen Sitz in einem Drittstaat, also außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums oder soll in einem solchen Drittstaat eine Datenverarbeitung stattfinden, müssen zusätzliche Anforderungen erfüllt werden. Der § 11 BDSG greift an dieser Stelle nicht. Erfolgt eine Datenverarbeitung in einem Drittstaat, so greifen §§ 4b und c BDSG¹⁰.

Daraus geht hervor, dass bei einer Datenverarbeitung in Drittstaaten ein angemessenes Datenschutzniveau vorhanden sein muss. Die Verantwortung für die Zulässigkeit der Übermittlung trägt dabei die übermittelnde Stelle. Kann kein angemessenes Datenschutzniveau gewährleistet werden, so kann eine Übermittlung personenbezogener Daten unter den in § 4c aufgeführten Voraussetzungen dennoch zulässig sein.

§ 9 BDSG Technische und organisatorische Maßnahmen
Der § 9 BDSG behandelt die entsprechenden technischen und organisatorischen Maßnahmen, die erforderlich sind, um die Einhaltung der Vorschriften dieses Gesetzes zu erfüllen. Die Anlage zu § 9 BDSG enthält acht Maßnahmen, die bei der automatisierten Verarbeitung von personenbezogenen Daten in einem Unternehmen oder einer Behörde zu treffen sind:

1. Zutrittskontrolle: Die Verwehrung des Zutritts für Unbefugte zu Datenverarbeitungsanlagen, mit denen per-sonenbezogene Daten verarbeitet oder genutzt werden.
2. Zugangskontrolle: Schutz von Datenverarbeitungssystemen vor Nutzung durch Unbefugte.
3. Zugriffskontrolle: Sicherstellung, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten aus-schließlich auf die Daten zugreifen können, zu deren Zugang sie berechtigt sind und, dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.
4. Weitergabekontrolle: Sicherstellung, dass personenbezogene Daten bei der elektronischen Übertragung, während ihres Transports oder ihrer Speicherung auf Datenträgern nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können.
5. Eingabekontrolle: Sicherstellung, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind.
6. Auftragskontrolle: Sicherstellung, dass personenbezogene Daten, die im Auftrag verarbeitet wer-den, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können.
7. Verfügbarkeitskontrolle: Sicherstellung, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.
8. Trennungskontrolle: Sicherstellung, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.

Diese Maßnahmen sind auch bei einer Auslagerung in Form von Cloud Computing zu beachten und deren Einhaltung sicherzustellen.

 

Cloud Computing und Strafgesetzbuch

Nach § 203 Abs. 1 StGB ist die unbefugte Offenbarung eines fremden Geheimnisses, eines zum persönlichen Lebensbereich gehörendes Geheimnis oder eines Betriebs- oder Geschäftsgeheimnisses, das ihm als Angehöriger einer der folgenden aufgeführte Gruppen nach § 203 Abs. 1 Satz 1 bis 6 StGB anvertraut oder sonst bekannt geworden ist, strafbar.

     Tabelle 1: Betroffene Gruppen nach §203 Abs. 1 StGB
      Quelle: Eigene Darstellung

Ein Geheimnis umfasst in diesem Zusammenhang Tatsachen, die nur einem bestimmten Personenkreis bekannt sind und an deren Geheimhaltung die betroffene Person ein begründetes Interesse hat¹¹.

Bei der Offenbarung von Geheimnissen durch Personen, die zu keiner genannten Gruppe in § 203 Abs.1 und 2 StGB gehören, kann es sich lediglich um einen Anstifter nach § 26 StGB oder Gehilfen nach § 27 StGB handeln¹².  
Nach aktuellem Stand ist noch nicht hinreichend strafrechtlich geklärt, ob eine Auslagerung von Daten an einen Auftragnehmer nach § 11 BDSG davon betroffen ist¹³. Die Offenbarung eines Geheimnisses liegt dann vor, wenn es in irgendeiner Weise an einen Dritten gelangt. Bei digitalen Daten genügt die Einräumung der Verfügungsgewalt über die Daten. Dies kann über die Weitergabe von Datenträgern oder Daten erfolgen¹⁴.

Eine Ausnahme bildet die Weitergabe von fremden Geheimnisse an berufsmäßig tätige Gehilfen gemäß § 203 Abs. 3 Satz 2 StGB¹⁵. Ein berufsmäßig tätiger Gehilfe ist eine Person, die innerhalb des beruflichen Wirkungsbereichs eines Schweigepflichtigen nach § 203 Abs.1 Satz 1 StGB eine auf dessen berufliche Tätigkeit bezogene unterstützende Tätigkeit ausübt, die die Kenntnis fremder Geheimnisse mit sich bringt oder ohne die Überwindung besonderer Hindernisse ermöglicht¹⁶. Zu der Erforderlichkeit der organisatorischen Einbindung des Gehilfen in den Betrieb des Auftraggebers herrscht jedoch Uneinigkeit¹⁷. Weder durch Rechtsprechung noch Schrifttum ist es bislang abschließend geklärt, welche Voraussetzungen erfüllt sein müssen, um einen externen IT-Dienstleister als Gehilfen im Sinne des § 203 Abs. 3 StGB anzusehen¹⁸.
Aufgrund der beschriebenen Unklarheiten sind zwei mögliche Vorgehensweisen bei der Auslagerung von Daten denkbar¹⁹:

1. Auslagerung der Daten in verschlüsselter Form
Bei einer Auslagerung in verschlüsselter Form gelangen keine Daten an „nicht zum Wissen Berufene“. Verschlüsselte Daten sind gegen unberechtigten Zugriff besonders gesichert. Wird eine solche Verschlüsselung von Dritten rechtswidrig umgangen, liegt kein Verstoß gegen § 203 StGB vor²⁰.

2. Einführung eines doppelten Arbeitsverhältnis
Eine weitere Möglichkeit stellt die Einführung eines doppelten Arbeitsverhältnisses dar²¹.  

 

Cloud Computing und Telekommunikationsgesetz

Ob die Vorschriften des Telekommunikationsgesetzes (TKG) in Bezug auf Cloud Computing anwendbar sind, hängt maßgeblich damit zusammen, welche Art von Dienstleistung von einem Cloud-Anbieter erbracht wird und welche Dienste ein Arbeitgeber seinen Arbeitnehmern zur privaten Nutzung zur Verfügung stellt²².

Telekommunikationsdienst
Nach § 3 Nr. 24 sind Telekommunikationsdienste in der Regel gegen Entgelt erbrachte Dienste, die ganz oder überwiegend in der Übertragung von Signalen über Telekommunikationsnetze bestehen. Dies schließt Übertragungsdienste in Rundfunknetzen ein²³.

Cloud Anbieter als Dienstanbieter
Ein Dienstanbieter im Sinne des TKG wird ein Cloud-Anbieter in der Regel über das Anbieten von VoIP-Services²⁴. Nach § 3 Nr. 22 TKG bezeichnet Telekommunikation den technischen Vorgang des Aussendens, Übermittelns und Empfangens von Signalen mittels Telekommunikationsanlagen. Auch durch E-Mail Dienste kann ein Cloud-Anbieter zum Dienstanbieter gemäß TKG werden, da er im Sinne des § 3 Nr. 6 TKG geschäftsmäßig einen Telekommunikationsdienst erbringt²⁵. Damit ist er zur Wahrung des Fernmeldegeheimnisses verpflichtet²⁶.

Arbeitgeber als Dienstanbieter
Selbige Regelungen gelten auch für den Arbeitgeber, wenn er seinen Mitarbeitern die private Nutzung betrieblicher Kommunikationsmittel ermöglicht. Er erbringt damit einen Telekommunikationsdienst im Sinne des TKG und ist damit ebenfalls zur Wahrung des Fernmeldegeheimnisses verpflichtet²⁷.

Sonstige Software-Dienstleistungen
In der Regel werden jedoch keine Telekommunikationsdienstleistungen, sondern IT- bzw. Software-Dienstleistungen erbracht.
Die Nutzung von Telekommunikationsübertragungen als untergeordnete Hilfsdienste macht aus dem vertraglichen Produkt jedoch noch keinen Telekommunikationsdienst²⁸.