Outsourcing und Cloud: rechtliche Aspekte
Ein Unternehmen lagert seinen E-Mail-Server an Google aus, nutzt AWS für seine Produktionsdatenbanken und beauftragt ein externes Unternehmen mit dem IT-Support. All das ist Outsourcing oder Cloud-Nutzung – und all das erzeugt rechtliche Verpflichtungen, die über den rein technischen Vertrag hinausgehen. DSGVO, Haftung, Kündigung, Datensouveränität und Exit-Strategie: diese Fragen müssen vor dem Vertragsschluss geklärt sein.
1) Outsourcing vs. Cloud – der Unterschied
| IT-Outsourcing | Cloud-Dienste | |
|---|---|---|
| Definition | Übertragung von IT-Aufgaben an externe Dienstleister | Nutzung von IT-Ressourcen über das Internet (IaaS, PaaS, SaaS) |
| Vertragstyp | Dienstvertrag oder Werkvertrag, meist mit SLA | Nutzungsvertrag (oft Standardvertrag), Subscription |
| Individualisierung | Hoch – maßgeschneidert | Gering – Standardbedingungen |
| Datenschutz | AVV nötig wenn personenbezogene Daten | AVV meist als Standardvertrag vom Anbieter |
| Beispiele | Managed IT-Support, Rechenzentrum-Betrieb | AWS, Azure, Google Cloud, Microsoft 365 |
2) Rechtliche Checkliste: Was vor dem Vertragsschluss zu klären ist
3) Besonderheiten bei Branchen mit erhöhten Anforderungen
Bestimmte Branchen unterliegen zusätzlichen gesetzlichen Anforderungen beim Outsourcing und Cloud-Einsatz:
- Kreditinstitute und Finanzdienstleister: Bankaufsichtliche Anforderungen an die IT (BAIT) und EBA-Guidelines verlangen besondere Vertragsgestaltung, Prüfrechte und Notfallpläne.
- Krankenhäuser und Gesundheitseinrichtungen: Gesundheitsdaten sind besonders schutzbedürftig (Art. 9 DSGVO) – Cloud-Nutzung nur mit expliziter Rechtsgrundlage und verschärften TOMs.
- KRITIS-Betreiber: Betreiber kritischer Infrastruktur (Energie, Wasser, Telekommunikation) unterliegen dem IT-Sicherheitsgesetz und müssen besondere Sicherheitsmaßnahmen nachweisen.
Zusammenfassung
Outsourcing und Cloud-Nutzung erzeugen rechtliche Pflichten: AVV bei Verarbeitung personenbezogener Daten, Regelung für Drittlandtransfers, SLA-Qualität, Exit-Strategie, Haftungsregelungen, Audit-Rechte und anwendbares Recht. Die Exit-Strategie ist besonders wichtig, um Vendor Lock-in zu vermeiden: Datenexport-Formate und -fristen müssen vertraglich festgelegt sein. Branchen mit erhöhten Anforderungen (Banken, Gesundheit, KRITIS) haben zusätzliche gesetzliche Vorgaben. Details zu Vertragstypen in Werkvertrag vs. Dienstvertrag vs. Kaufvertrag.