Cloud Computing kann zu einem Compliance-Risiko werden

Gerade Finanzdienstleister können davon betroffen sein, warnt Joachim Gores. Der IT-Rechtsexperte der Wirtschaftskanzlei Kümmerlein Rechtsanwälte & Notare hat für Großunternehmen die Verträge von Anbietern im Cloud-Computing geprüft. „Der Datenschutz ist in der Mehrzahl der Fälle unzureichend geregelt und genügt oft nicht den gesetzlichen Anforderungen“, sagt Gores. „Das Bundesdatenschutzgesetz wird in den Vertragstexten oft einfach nur anders formuliert wiedergegeben. Aber in den seltensten Fällen treffen Anbieter die notwendigen Festlegungen, was sie konkret zur Umsetzung tun wollen.“

Unternehmen sollten sich daher nicht auf die Dienstleister verlassen oder das Thema nur aus der Technik-Perspektive betrachten, sondern solche Verträge im Detail verhandeln und aktiv mitgestalten. Sonst drohen Risiken für den Bestand und die Sicherheit der Unternehmensdaten. Dafür haften die verantwortlichen Geschäftsleiter und Vorstände. Das gilt besonders für die Finanzbranche mit ihren hohen Compliance-Anforderungen für sensible Daten.

In der Praxis sehen viele Anbieter im Cloud-Computing umfangreiche Vereinbarungen eher als Hindernis an: „Häufig legen sie die Vertragsinhalte pragmatisch fest, um den Kunden nicht zu überfordern“, weiß Gores. Dabei müssen neben dem Datenschutz auch Zuverlässigkeit und Leistungsfähigkeit der fremden Systeme abgesichert werden. Ein jederzeit möglicher Ausfall beim Datenzugriff oder eine mangelhafte Übertragungsleistung können die Arbeitsfähigkeit eines Unternehmens beeinträchtigen und wirtschaftliche Schäden auslösen. Von den Anbietern ist dabei im Zweifel wenig zu erwarten.

„Die Service-Level-Agreements vieler Verträge sehen nur vergleichsweise kleine Entschädigungen vor, die die tatsächlichen Kosten eines Ausfalls der Systeme oder eines Datenverlusts nicht annähernd erreichen“, bemängelt der Anwalt. Der Schutz des Unternehmens vor solchen Gefahren ist nicht allein Sache der IT-Mitarbeiter. „Gesetzgeber und Gerichte erwarten, dass sich die höchste Ebene im Konzern mit den Risiken beschäftigt und ihre Entscheidung für das Cloud-Computing durch eine entsprechende vertragliche Vorsorge absichert.“