Datenbearbeitung in der Cloud: Pflichten nach Schweizer Datenschutzgesetz

Wo Cloud-Nutzung überhaupt ins Datenschutzrecht fällt

Technisch umfasst Cloud-Computing die Möglichkeit, Anwendungen und Software, Speicherkapazitäten, Entwicklungstools, Netzwerkkapazitäten oder Rechnerleistung über ein Netzwerk – etwa das Internet – bedarfsorientiert von einem Cloud-Anbieter zu beziehen. Der EDÖB nennt als typische Anwendungen Tools für die Online-Zusammenarbeit zwischen Mitarbeitenden sowie Online-Verwaltungstools für E-Mail-Adressen im Newsletter- und Kundenberatungseinsatz. Dazu zählen Online-CRM-Systeme, das Hochladen von Videos auf Streaming-Plattformen und das Ablegen von Dateien auf einem über das Internet abrufbaren Server.

Datenschutzrechtlich relevant wird die Nutzung erst, wenn dabei Personendaten in die Cloud übertragen werden. Eine Auftragsbearbeitung entsteht nach verbreiteter Praxis, sobald ein Dienstleister auf Personendaten Zugriff hat oder sie bearbeiten kann. Entscheidend ist nicht die Bezeichnung des Vertrags, sondern die Weisungsgebundenheit: Der Anbieter darf über Mittel und Zwecke der Bearbeitung nicht selbst entscheiden. Dass ein Cloud-Anbieter seine Services vorkonfiguriert anbietet, ändert an seiner Rolle nichts.

Die blosse Nutzung eines Cloud-Dienstes ist somit für sich noch keine Auftragsbearbeitung. Die Pflichten aus Art. 9 DSG greifen, wenn Personendaten betroffen sind und der Anbieter sie weisungsgebunden bearbeitet – etwa wenn Personaldossiers, Kundendaten oder Kontaktlisten in einer Cloud-Anwendung geführt werden und der Anbieter darauf zugreifen kann. Werden in der Cloud ausschliesslich Daten bearbeitet, die keine Personendaten sind, stellt sich die Frage der Auftragsbearbeitung nicht.

Rollen im Dreieck Kunde, Anbieter und betroffene Person

Verantwortlicher ist nach Art. 5 DSG, wer über die wesentlichen Parameter einer Datenbearbeitung entscheidet, also über Zwecke und Mittel; er ist primär für die Einhaltung des Datenschutzes verantwortlich. Das Unternehmen, das Cloud-Dienste anbietet, handelt in der Regel als Auftragsbearbeiter des Kunden im Sinne von Art. 9 DSG. Der Kunde wiederum kann selbst Verantwortlicher sein oder – etwa als IT-Dienstleister für einen Dritten – seinerseits Auftragsbearbeiter; in dieser Rolle muss er die Anforderungen erfüllen, die der Verantwortliche für dessen Datenbearbeitungen festgelegt hat.

Die Auslagerung lässt die Verantwortung nicht verschwinden: Der Kunde trägt als Verantwortlicher dafür ein, dass die Bearbeitungen, die der Cloud-Anbieter in seinem Auftrag vornimmt, datenschutzkonform erfolgen und die Rechte betroffener Personen dadurch nicht geschmälert werden. Die haftungsrechtliche Folge ist nicht bloss theoretisch: Nach der im schweizerischen Recht geltenden Ordnung richten sich Bussen – anders als unter der DSGVO – nicht gegen das Unternehmen selbst, sondern gegen natürliche Personen, mit einem Höchstbetrag von 250 000 Franken.

Nicht jede Weitergabe von Daten innerhalb eines Unternehmens ist Auftragsbearbeitung. Die Datenbearbeitung innerhalb derselben juristischen Person – Filiale, Verwaltungseinheit, Mitarbeitende – stellt grundsätzlich keine Bearbeitung durch einen Auftragsbearbeiter dar. Wer Konzernstrukturen, Tochtergesellschaften oder externe Dienstleister einbezieht, verlässt diesen Bereich und muss die Rollen je Empfänger gesondert bestimmen.

Verantwortlicher und Auftragsbearbeiter: wer entscheidet was

Die Pflichten des Verantwortlichen nach Art. 9 DSG

Art. 9 Abs. 1 DSG lässt die Übertragung an einen Auftragsbearbeiter nur unter zwei kumulativen Voraussetzungen zu: Die Daten müssen so bearbeitet werden, wie der Verantwortliche selbst es tun dürfte, und keine gesetzliche oder vertragliche Geheimhaltungspflicht darf die Übertragung verbieten. Der erste Punkt verlangt eine Weisungsbindung – der Auftragsbearbeiter bearbeitet die übertragenen Daten ausschliesslich gemäss den Weisungen des Auftraggebers – und zusätzlich eine Regelung dazu, wie diese Weisungen übergeben werden. Der zweite Punkt betrifft Konstellationen, in denen Daten gesetzlichen oder vertraglichen Geheimhaltungspflichten unterliegen, etwa dem Berufs-, Bank- oder Amtsgeheimnis; hier ist vorgängig zu prüfen, ob die Auslagerung solcher Daten die Geheimhaltungspflicht des Verantwortlichen verletzt.

Art. 9 Abs. 2 DSG verlangt, dass sich der Verantwortliche insbesondere vergewissert, dass der Auftragsbearbeiter die Datensicherheit gewährleisten kann. Der EDÖB fasst die Pflichtenlage so zusammen: Der Verantwortliche muss seinen Auftragsbearbeiter sorgfältig auswählen, ihn angemessen instruieren und soweit nötig überwachen; analog zur Geschäftsherrenhaftung nach Art. 55 OR muss er Verstösse gegen das DSG verhindern. Praktisch braucht es dafür eine Dokumentation, die drei Dinge belegt: die Prüfung, die zur Auswahl geführt hat, die erteilten Weisungen samt Instruktionsweg und die durchgeführten Kontrollen.

Der Auftragsbearbeiter kann seinerseits dieselben Rechtfertigungsgründe geltend machen wie der Verantwortliche (Art. 9 Abs. 4 DSG). Das hilft bei der Prüfung, ob eine konkrete Bearbeitung überhaupt zulässig ist, entbindet den Verantwortlichen aber nicht von seinen Absicherungspflichten.

Voraussetzungen und Pflichten nach Art. 9 DSG

Weiterübertragung an Unterauftragsbearbeiter

Nach Art. 9 Abs. 3 DSG darf der Auftragsbearbeiter die Bearbeitung nur mit vorgängiger Genehmigung des Verantwortlichen einem Dritten übertragen. Der Genehmigungsvorbehalt ist nicht deklaratorisch: Ohne vorgängige Zustimmung ist die Weiterübertragung unzulässig, und der Verantwortliche verliert die Kontrolle über die Dienstleisterkette.

Cloud-Dienste werden als standardisierte Lösungen bereitgestellt. Art. 9 Abs. 3 DSG verlangt eine vorgängige Genehmigung. In der Praxis ist zu regeln, wie der Verantwortliche diese Genehmigung erteilt und wie er sicherstellt, dass auch Änderungen in der Dienstleisterkette von der Genehmigung erfasst bleiben. Zusätzlich ist der Instruktionsweg zu regeln: Weisungen des Verantwortlichen laufen über den Hauptauftragsbearbeiter, der sie an seine Unterauftragsbearbeiter weitergeben muss.

Zur Kontrolle gehört eine aktuelle Übersicht, welche weiteren Stellen in die Bearbeitung eingebunden sind – Rechenzentrumsbetreiber, Supportorganisationen, Backup- und Monitoring-Dienste, E-Mail-Versand oder Abrechnung. Jede dieser Stellen muss in der Liste auftauchen, unabhängig davon, ob sie direkt vom Kunden oder vom Anbieter beigezogen wird.

Datensicherheit als zentrale Prüffrage

Ausgangspunkt ist Art. 8 DSG: Der Verantwortliche gewährleistet die Datensicherheit durch technische und organisatorische Massnahmen.

Bei einer Auslagerung tritt Art. 9 Abs. 2 DSG hinzu, der die Vergewisserung über die Fähigkeit des Auftragsbearbeiters verlangt.

Der EDÖB konkretisiert das dahingehend, dass der Verantwortliche sich nicht nur vergewissern, sondern die vom Auftragsbearbeiter getroffenen technischen und organisatorischen Massnahmen zum Schutz seiner Systeme und der bearbeiteten Daten prüfen und vertraglich absichern muss.

Zu regeln ist ebenso der Umgang mit Sicherheitsvorfällen, weil der Anbieter Verletzungen der Datensicherheit melden muss, damit der Verantwortliche seine Meldepflicht gegenüber dem EDÖB nach Art. 24 Abs. 1 DSG wahrnehmen kann.

Der EDÖB hat seinen Leitfaden zu den technischen und organisatorischen Massnahmen (TOM) aktualisiert und erweitert; als Massnahme nennt er unter anderem das Anketten von Computern im Büro.

Der Leitfaden bezieht sich nicht allein auf die Gewährleistung der Datensicherheit nach Art. 8 Abs. 1 DSG, sondern auf das Datenschutz-Management im Allgemeinen nach Art. 7 Abs. 1 DSG.

Nach eigener Darstellung soll er helfen, Massnahmen zu realisieren, die einen optimalen und angemessenen Schutz der Personendaten sicherstellen und den aktuellen Regulierungen und Standards entsprechen. Verbindlich ist der Leitfaden indes nicht. Der EDÖB hält selbst fest, er sei kein Rechtsratgeber, gebe die Vorgaben des Datenschutzgesetzes vor allem zu Informationszwecken wieder und solle sie weder ausführen noch kommentieren oder präzisieren; er sei keine Grundlage für die Anwendung oder Auslegung der Regeln.

In der Fachdiskussion wird darauf hingewiesen, dass einiges im Leitfaden nicht dem geltenden schweizerischen Datenschutzrecht entspricht und dass er im Zusammenhang mit Cloud-Software einseitig wirkt. Ebenso wird darauf hingewiesen, dass der EDÖB beim Grundsatz der Rechtmässigkeit über die Rechtslage gemäss der Helsana+-Rechtsprechung hinausgeht.

Als nützliche Orientierung gelten demgegenüber die Klarstellung zur Anonymisierung – Personendaten unumkehrbar so zu verändern, dass sie ohne unverhältnismässigen Aufwand nicht mehr Rückschlüsse auf eine konkrete Person zulassen – und die Übersicht, welche Bedeutung ISO 27001 und andere Standards haben können.

Für die Prüfung heisst das: Zertifizierungen und Standardwerke wie ISO 27001 sind ein Indiz und erleichtern die Auswahl, ersetzen die Beurteilung der konkreten Verhältnisse aber nicht. Zu prüfen sind die tatsächlich eingesetzten Massnahmen, die Nachweise über deren Wirksamkeit, die Regelung der Vorfallmeldung an den Verantwortlichen und die Frage, ob die Massnahmen zu Art und Umfang der bearbeiteten Personendaten passen.

Datenbekanntgabe ins Ausland bei grenzüberschreitenden Clouds

Für die Bekanntgabe von Personendaten ins Ausland braucht es einen anerkannten Datenschutz im Zielland oder Garantien wie Standardvertragsklauseln (Art. 16 und 17 DSG). Findet bei der Nutzung von Cloud-Diensten eine Datenbekanntgabe ins Ausland statt, muss vor der Bekanntgabe geprüft werden, ob sie den gesetzlichen Anforderungen genügt. Diese Prüfung ist vor der ersten Übermittlung und nicht nachträglich vorzunehmen und bei jeder Änderung der Dienstleisterkette zu wiederholen.

Die Prüfung gehört zudem in die Information der betroffenen Personen: Art. 19 DSG verlangt bei der Beschaffung von Personendaten eine angemessene Information darüber, wer die Daten bearbeitet, zu welchem Zweck, an wen sie bekannt gegeben werden und in welche Länder. Wer Personendaten in einer Cloud bearbeitet, deren Betreiberin oder Unterauftragsbearbeiter im Ausland sitzen, muss diese Länder benennen können – was eine aktuelle Dienstleisterliste voraussetzt.

Die typischen Stolpersteine liegen nicht beim Hauptsitz des Anbieters allein. Zu prüfen sind der Support durch Teams in anderen Ländern, Backups in einer anderen Region, Unterauftragsbearbeiter mit eigenem Sitz im Ausland sowie Zugriffsmöglichkeiten ausländischer Konzern- oder Dienstleistungsgesellschaften auf die Daten. Jeder dieser Zugriffe kann eine Bekanntgabe ins Ausland darstellen oder eine nachträglich zu genehmigende Weiterübertragung sein. Wer als Kunde selbst Auftragsbearbeiter ist, muss zusätzlich die Vorgaben des Verantwortlichen zur Auslandsbekanntgabe einhalten.

Prüfpunkte bei einer Datenbekanntgabe ins Ausland

Was der Anbieter schuldet – und was der Kunde daraus macht

Der Auftragsbearbeiter muss seinen Verpflichtungen gegenüber dem Verantwortlichen nachkommen. Konkret schuldet er die Bearbeitung ausschliesslich nach Weisung, die Meldung von Verletzungen der Datensicherheit an den Verantwortlichen – damit dieser seine Meldepflicht gegenüber dem EDÖB nach Art. 24 Abs. 1 DSG erfüllen kann – und den Verzicht auf eine Bearbeitung für eigene Zwecke. Will er die Daten für eigene Zwecke nutzen, braucht er dafür einen eigenen Rechtfertigungsgrund; die Rechtfertigungsgründe des Verantwortlichen kann er nach Art. 9 Abs. 4 DSG geltend machen, aber nur für die übertragene Bearbeitung, nicht als Freipass für neue Zwecke.

Auf der Kundenseite hat es sich bewährt, aus der Buchhaltung eine Abrechnungsliste anzufordern, um die Auftragsbearbeitungsverhältnisse zu erfassen. Anhand dieser Liste lässt sich prüfen, welche Dienstleister tatsächlich Personendaten bearbeiten; mit ihnen ist gegebenenfalls ein Auftragsbearbeitungsvertrag zu schliessen. Die Liste ist auch die Grundlage für die Beurteilung der Dienstleisterketten und der Auslandsbekanntgaben.

In einem zweiten Schritt sind die Rollen je Dienstleister festzuhalten und die Verträge sowie die Weisungswege zu prüfen: Wer erteilt Weisungen, über welchen Kanal, mit welcher Frist, und wie werden Änderungen der Unterauftragsbearbeiter angezeigt. Keine Auftragsbearbeitung liegt vor, wenn der Dienstleister eigenverantwortlich mit den anvertrauten Daten umgeht, der Verantwortliche ihm also die inhaltliche Ausgestaltung überlässt – die Entscheidung über Mittel und Zweck der Datenbearbeitung – und über Weisungs- und Kontrollrechte weder rechtlich noch tatsächlich verfügt. Als klassische Fälle gelten Finanz-, Steuer- und Beratungsdienstleistungen; sie gehören in der Übersicht in eine eigene Kategorie, damit sie nicht versehentlich als Auftragsbearbeitung abgewickelt werden.

Von der Abrechnungsliste zur Auftragsbearbeitungs-Übersicht