Was in einen Cloud-Computing-Vertrag gehört

Unternehmen müssen die Leistungen, die Provider beim Cloud Computing erbringen sollen, genau definieren – sofern keine Standard-Cloud-Angebote genutzt werden, die normierte Verträge beinhalten. Hier müssen Unternehmen jedoch genau prüfen, wo und wie weit die Standard-SLA von einem eigenen Soll-SLA abweichen. Sind davon substantielle Punkte betroffen, kann das jeweilige Angebot nicht genutzt werden.

Die Eckpunkte eines Cloud-Computing-Vertrags
Der Hosting-Provider Easynet hat die wichtigsten Punkte zusammengefasst, die in den Dokumenten nicht fehlen dürfen.

Die technischen Daten müssen exakt festgelegt werden. Es geht um die nutzbaren Bandbreiten, die garantierte Verfügbarkeit, eventuelle Wartungs- und Reaktionszeiten, Datenvolumen und Klassifikation der Daten (strukturierte Daten, Multimedia etc.). Möglicherweise sind auch prozessbezogene Kennzahlen wichtig, etwa die Reaktionszeiten bei einem Online-Verkaufsvorgang. Für die verwendeten Parameter muss festgelegt werden, wie deren Einhaltung gemessen wird. Ein umfassendes und skalierbares Monitoring für die laufenden Prozesse sowie ein entsprechendes Reporting ist für die SLA unverzichtbar.

Der Speicherort ist enorm wichtig. Bei Microsoft können Cloud-Computing-Nutzer die Speicherung auf europäischem Boden vorschrieben. Die Daten gehören stets dem Kunden. Dieser Grundsatz muss im Vertragswerk festgehalten werden.

Bei Streitigkeiten ist der Gerichtsstand von grösster Bedeutung; die besten SLA nützen nämlich nichts, wenn sie auf den Antillen eingeklagt werden müssen. Mit dem Gerichtsstand entscheidet sich auch, welches Recht im Streitfall zur Anwendung kommt.

Der Provider muss klar darlegen, was er zur Herstellung einer hohen Datensicherheit unternimmt, insbesondere bei kritischen und personenbezogenen Daten. Das müssen Kunden zudem überprüfen können – dies soll in den SLA-Vereinbarungen festgehalten werden.

Die SLA müssen auch Angaben dazu enthalten, was mit den Daten nach Ende der Geschäftsbeziehung geschieht, ob beispielsweise der Provider bei strittigen Forderungen ein Zurückbehaltungsrecht hat: Für solche Fälle sollte man bereits in den SLA eine Schiedsstelle vereinbaren.

Microsoft Cloud Power: transparent und sicher
Seit kurzem lehnt Microsoft die Vertragsbestimmungen für Office 365 eng an die Vorstellungen des EU-Datenschutzes an. Die neuen Regeln enthalten zudem die von der EU entworfenen Standardklauseln («EU Model Clauses») zur Übermittlung personenbezogener Daten. Es handelt sich um von der Europäischen Kommission vorgegebene Vertragsklauseln, die den Datentransfer zwischen Unternehmen innerhalb und ausserhalb der Europäischen Union regeln. Die Vertragsklauseln stellen hohe Anforderungen an Anbieter Cloud-basierter Lösungen. Sie sorgen künftig für mehr Transparenz bei der Auftragsdatenverarbeitung der Online Services für Office 365. Dazu zählen beispielsweise ein sehr ausdifferenziertes Auditrecht oder die Offenlegung der Subunternehmerverträge.