AntwortDas sog. Schrems-II-Urteils des Europäischen Gerichtshofs hat verdeutlicht, dass die Inanspruchnahme von US-Cloud-Diensten vor durchaus hohen datenschutzrechtlichen Hürden steht und in einigen Fällen keine datenschutzkonforme Lösung möglich ist. Basis-Anforderung ist, dass mit dem Dienstleister ein sog. Standardvertrag "EU controller to non-EU or EEA processor" (
Muster) und zudem auch ein Vertrag zur Auftragsverarbeitung (AVV) nach Artikel 28 DSGVO abgeschlossen werden muss. Nutzer müssen somit prüfen, ob der US-Cloud-Dienst in seinen Bedingungen einen solchen Standardvertrag anbietet und ob dieser auch die zusätzlichen Anforderungen an einen AVV nach Artikel 28 DSGVO erfüllt. Zusätzlich muss geprüft werden, ob der Cloud-Dienst Datenzugriffen durch US-amerikanische Nachrichtendienste unterliegt, die über das nach EU-Recht akzeptable Maß hinausgehen. Ist das der Fall, darf der Dienst nur in Anspruch genommen werden, wenn es gelingt, solche Zugriffe mit Hilfe von zusätzlichen Maßnahmen auszuschließen (Näheres zu diesen Anforderungen
hier). Gerade bei Cloud-Diensten, die über die bloße Speicherung hinausgehen, wird das in vielen Fällen nicht möglich sein (siehe die
Leitlinien des Europäischen Datenschutzausschusses 1/2020, Use Case 6; bislang leider nur auf Englisch). In einem solchen Fall muss die Nutzung des Cloud-Dienstes für personenbezogene Daten unterbleiben. Verbleiben Zweifel, sollte der Datenschutzbeauftragte oder ein fachkundiger Berater - ggf. bei einem Interessenverband - konsultiert werden. Sofern auch danach Zweifel an der Datenschutzkonformität bleiben, können Sie sich an unser Haus wenden.
