Checkliste für Cloud Nutzer

Teil I - Unternehmensprozesse:

1. Cloud-Fähigkeit

• Habe ich intern geklärt, welche Daten in den Applikationen verarbeitet werden, die in die Cloud sollen? Handelt es sich um unternehmensinterne Daten, bei denen ich gegebenenfalls Zustimmungen der Mitarbeiter/ des Betriebsrats noch einholen könnte oder über das BDSG Erlaubnistatbestände bestehen oder geht es um Transaktionsdaten, die mein Geschäftsmodells beeinflussen ?
  

• Bestehen im Unternehmen potentielle Widerstände gegen die Verlagerung von Applikationen in die Cloud? Habe ich die richtige Projektorganisation, mittels derer ich mit dem Anbieter auf Augenhöhe verhandeln und den Auswahlprozess effizient gestalten kann (inklusive rechtlicher Beratung)?
  

• Erhöhen sich meine Risiken tatsächlich durch die Nutzung einer Cloud-Lösung oder existieren bereits heute Risiken im Unternehmen, die signifikant höher sind oder durch eine Cloud-Lösung sogar verringert werden könnten (Datenverfügbarkeit, Datenintegrität, Vertraulichkeit)?
  

2. Auswirkungen der Cloud Entscheidung

• Haben die Applikationen und Daten Auswirkungen auf Erklärungen, die das Management im Rahmen der Compliance-Prüfung abgibt (zum Beispiel bezüglich des Vorhandenseins von Risikofrühwarnsystemen oder finanziellen Reporting-Systemen?)
  

• Was sind meine Auswahlkriterien für Anbieter? Welche dieser Kriterien werden von den potentiellen Anbietern wie abgedeckt?
  

• Gibt es Auswirkungen dieser Abdeckung auf die rechtliche Bewertung von Risiken, womöglich mit Auswirkungen auf die Notwendigkeit der buchhalterischen Risikovorsorge?
  

• Wie ist das Ausstiegsszenario: Habe ich Ausstiegshürden oder droht gar ein „Customer Lock-in“ oder unterstützt der Anbieter den Wechsel möglicherweise sogar aktiv?
  

Teil II – Rechtliches / Compliance

3. Rechtliche Kriterien der Cloud-Entscheidung

• Art der verarbeiteten Daten (Transaktionsdaten, Stammdaten, personenbezogene Daten, sensible Daten, Geschäftsgeheimnisse)
  

• Möglichkeiten der Anonymisierung/ Pseudonymisierung/ Verschlüsselung
  

• Qualität der Service-Level-Zusagen, Absicherung durch Übernahme von Haftung oder technische Vorkehrungen
  

• Weitere ”Hebel” gegenüber dem Anbieter wie Performance Garantien, freiwillige Selbstverpflichtungen, Referenzprojektvereinbarungen, Vertragsstrafen ?
  

• Sicherheit durch Möglichkeit, rechtlich vor Ort vorzugehen (Gerichtsstand, anwendbares Recht)?
  

• Verhandlungsbereitschaft/ Flexibilität der Anbieter in Vertragsfragen ?
  

4. Zentrale Punkte bei der Vertragsgestaltung von Cloud Verträgen

• Leistungsbeschreibung
  

• Service-Level-Vereinbarungen, Haftung
  

• Sicherheitskonzept (Integrität, Verfügbarkeit, Vertraulichkeit)
  

• Datenschutzkonzept, Auftragsdatenverarbeitungs-Vereinbarung
  

• Vergütungsregeln, Preissteigerungsklauseln, echtes „pay-as-you-go“ oder doch feste Abnahmemengen?
  

• Reporting, Audit-Rechte
  

• Laufzeit, Kündigungsmöglichkeiten
  

• Exit- und Übergabeszenario, Löschungsprozeduren
  

• Anwendbares Recht und Gerichtsstand