Sichere und unsichere Staaten

Einige Staaten weisen ein von der EU als angemessen bewertetes Datenschutzniveau auf. Nutzt die Cloud-Lösungen nur Standorte innerhalb der EU oder den anerkannt "sicheren" Staaten, so gelten dafür dieselben Anforderungen wie innerhalb Deutschlands. Eine Übermittlung personenbezogener Daten außerhalb dieser Staaten unterliegt hingegen zusätzlichen Bestimmungen. "Drittstaaten", dazu zählen auch die USA, sehen teilweise ein wesentliches niedriges Datenschutzniveau vor. Manche verzichten ganz darauf. Nicht wenige Cloud-Anbieter nutzen Server-Standorte rund um den Globus. Die zusätzlichen Voraussetzungen für eine Datenübermittlung in "Drittstaaten" liegen selten vor.

Eine Möglichkeit, personenbezogene Daten trotzdem in Drittstaaten zu übermitteln, sind Vertragsregelungen für ein angemessenes Schutzniveau. So hat die EU Standard-Vertragsklauseln für unterschiedliche Konstellationen beschlossen. Verbindliche Unternehmensregelungen ("Binding Corporate Rules") können innerhalb eines Konzerns ein angemessenes Datenschutzniveau auch für Unternehmen in Drittstaaten bewirken. Daneben erteilt die zuständige deutsche Aufsichtsbehörde für bestimmte Datenverarbeitungen unter Umstände eine Genehmigung - ein im Zusammenhang des Cloud Computing aber kaum praktikabler Weg. Cloud-Anbieter in den USA können sich den Regelungen des "Safe Harbour" für ein angemessenes Datenschutzniveau unterwerfen. Allerdings hat ein deutscher Kunde zu prüfen, ob ein US-Anbieter diese Regeln praktisch anwendet.