Alternative Cloud-Dienste: Wechselstrategie gut vorbereiten So geht „Onshoring“ von Cloud-Anbietern aus den USA

Anbieter zum Thema

Rödl Rechtsanwaltsgesellschaft Steuerberatungsges. mbH

Fsas Technologies GmbH

netfiles GmbH

Cloudgermany.de GmbH

Die politischen Entwicklungen in den Vereinigten Staaten geben Unternehmen Anlass, ihre frühere Entscheidung für US-amerikanische Cloud-Anbieter neu zu bewerten. Zu den rechtlichen Fragen, die sich rund um ein „Onshoring“ stellen – und Antworten darauf.

Europäische Unternehmen haben US-Cloud-Anbieter bislang häufig wegen ihrer Stellung als Marktführer ausgewählt. Europäische Mitbewerber wurden als nicht gleichwertig empfunden oder konnten, etwa mit Blick auf die Energiekosten für ihre Rechenzentren, nicht konkurrieren. Die zweite Trump-Administration ändert nun die Vorzeichen dieser Rechnung grundlegend. Neben der Frage, ob das EU-US Data Privacy Framework Bestand haben wird, beschäftigt Unternehmen, ob die EU als Reaktion auf Zölle der USA Abgaben auf die Nutzung amerikanischer Cloud-Dienste erheben könnte – Stichwort Digitalsteuer.

Ausgangspunkt: Vertragliche Vereinbarung

Aus rechtlicher Sicht sollten Unternehmen vor einer kaufmännischen Entscheidung einen Blick in ihre Verträge mit dem US-Cloud-Anbieter werfen.

• Wer ist ihr unmittelbarer Vertragspartner?

• Welche Kündigungsfrist beziehungsweise Vertragslaufzeit ist vereinbart?

• Wurden wirksame Vertragsänderungen vorgenommen?

• Welche Rechtsordnung ist gewählt?

• Ist im Streitfall der Weg zu den staatlichen Gerichten versperrt und muss ein Schiedsgericht angerufen werden?

Die Liste lässt sich fortführen. So ist im deutschen Recht etwa denkbar, Cloud-Leistungen für einen Zeitraum zu vereinbaren, ohne dass eine ordentliche Kündigung möglich ist – Mietverträgen über Gewerberäume nicht unähnlich. Gelegentlich lassen sich damit Rabatte auf die Listenpreise der Anbieter verhandeln. Ein „Onshoring“ muss gegebenenfalls auf die nahe oder ferne Zukunft verschoben werden, wenn der zugehörige Vertrag noch lange läuft. Ein Abwarten könnte sich indes auch aus anderen Gründen lohnen.

Grundsatz: Auftragsverarbeitung

Haben Unternehmen personenbezogene Daten an US-Cloud-Anbieter ausgelagert („Offshoring“), sind letztere regelmäßig Auftragsverarbeiter. Dies ist zumeist in einer Anlage zum Hauptvertrag näher geregelt, häufig als „Data Processing Agreement“, „Data Processing Addendum“ oder nur kurz als „DPA“ bezeichnet. Hierfür gibt es gesetzliche Mindestanforderungen.

Dazu zählt, die personenbezogenen Daten nach Wahl des Auftraggebers zu löschen – oder zurückzugeben, Art. 28 Abs. 3 UAbs. 1 lit. g Datenschutz-Grundverordnung (DSGVO). Über das „Ob“ einer Herausgabe personenbezogener Daten sollte es nach dem Willen des Gesetzgebers also keine Diskussion geben. Das „Wie“ hingegen können die Parteien des DPA bestimmen.

Podcast: Digitalsteuer-Debatte neu entfacht

Digitalsteuer Reloaded: Europas Konter gegen Trumps Zölle

Hier kann bereits die erste Hürde für ein Onshoring zu nehmen sein: Lässt sich das vertraglich zugesagte Format ohne Weiteres bei einem europäischen Cloud-Anbieter weiterverarbeiten? Sollte mit dem US-Cloud-Anbieter deutsches Recht vereinbart worden sein, kann sich der Auftraggeber insoweit immerhin auf eine günstige Rechtsprechung berufen (so zum Beispiel Oberlandesgericht München, Urteil vom 22. April 1999, Aktenzeichen 6 U 1657/99). Das OLG führte sinngemäß aus, dass es mit den Grundsätzen von Treu und Glauben unvereinbar sei, einem Vertragspartner den Zugang zu Daten zu verweigern, die dieser zur Wahrnehmung seiner berechtigten Interessen benötigt, sofern dem keine überwiegenden schutzwürdigen Interessen entgegenstehen.

Zukünftig: Data Act

Der Data Act widmet sein Kapitel VI dem Wechsel zwischen sogenannten Datenverarbeitungsdiensten. Auch US-Cloud-Anbieter sind davon betroffen, wenn sie Kunden in der Europäischen Union ihre Dienste anbieten, Art. 1 Abs. 3 lit. f Data Act. Geltung erlangt Kapitel VI ab dem 12. September 2025, Art. 50 S. 2 Data Act.

Entsprechend kann es sich für Unternehmen lohnen, abzuwarten, wie US-Cloud-Anbieter ihre Verträge im Hinblick auf dieses zwingende Recht anpassen werden. Insbesondere, wenn – eher selten – nicht personenbezogene Daten Auftragsgegenstand sind.

Gegenwärtig: Exit-Management

Schon vor dem Data Act war und ist es noch gute Praxis, die Beendigungsunterstützung („Exit-Management“) ausdrücklich vertraglich zu regeln. Gegenstand des Exit-Managements ist die Unterstützung des bisherigen Cloud-Anbieters bei der Migration von Daten und Diensten zu einem neuen Cloud-Anbieter oder zum Auftraggeber selbst. Marktüblich war und ist dabei eine zusätzliche Vergütung für das Exit-Management, hat doch der bisherige Anbieter hieran kein eigenes wirtschaftliches Interesse.

Der Data Act wird hier zukünftig in die Vertragsfreiheit der Parteien eingreifen und insbesondere die Konditionen für das Exit-Management beeinflussen. Mit der Folge, dass Anbieter dieses zunehmend in die Vergütung während der Vertragslaufzeit einkalkulieren werden.

Praktisch: Alternative(n)

Bei aller Planung des Weges weg vom US-Cloud-Anbieter dürfen Unternehmen nicht ihr „Ziel“ aus den Augen verlieren. Die beste Klausel zum Exit-Management ist ohne Wert, wenn die gewünschte Alternative zum US-Cloud-Anbieter technisch oder vertraglich nicht (rechtzeitig) zur Verfügung steht. Derartige Migrationsprojekte sind betriebswirtschaftlich und technisch ebenso anspruchsvoll wie rechtlich.

Hier liegen aber auch Chancen: Womöglich ist der neue Anbieter verhandlungsbereiter als der alte. Soll ein Anbieter außerhalb der EU oder des EWR gewählt und personenbezogene Daten verarbeitet werden, sind datenschutzrechtliche Fragen nach Kapitel V der DSGVO zu beantworten. Beispielsweise, ob es einen Angemessenheitsbeschluss der Europäischen Kommission gibt oder ob mit Standardvertragsklauseln geeignete Garantien geschaffen werden können. Im Rahmen der letzteren ist auch ein sogenannten Transfer Impact Assessment vorzunehmen. Aufschlussreich ist stets ein Blick in die Liste der weiteren Auftragsverarbeiter (Unterauftragsverarbeiter) des neuen Anbieters. So kann vermieden werden, dass der alte Anbieter auf Umwegen mittelbar wieder beauftragt wird.

Mitunter ist zusätzlich branchenabhängige Regulierung zu beachten, die den Kreis der in Frage kommende Anbieter enger ziehen kann. Nur eine der Unbekannten ist dabei, wie der Gesetzgeber die NIS2-Richtlinie in deutsches Recht umsetzen wird.

Strategische Planung für Unternehmer unerlässlich

Unternehmer sollten das Onshoring nicht überstürzen. Im günstigsten Fall zeichnen die bestehenden Verträge den Weg vom US-Cloud-Anbieter weg bereits vor. Im weniger günstigen Fall kann der Data Act den Weg für Unternehmen ebnen. Entscheidend ist, dass Unternehmen die Entwicklung der Sach- und Rechtlage im Blick behalten und rechtzeitig mit der Suche nach möglichen Alternativen beginnen.

Die Durchführung eines „Onshoring“ muss als Projekt sorgfältig geplant, umgesetzt und überwacht sein. Nicht selten stehen mit den Daten wichtige Betriebsgrundlagen auf dem Spiel. Gelingt das Onshoring, kann unter Umständen ein gewichtiger Eintrag aus der Risikolandkarte gestrichen werden, womit der Wert eines Unternehmens in der Regel insgesamt steigt.