Frage von Frau K. G., Inhaberin eines Dienstleistungsunternehmens in Z.: «Wir sind bei der Evaluation einer Cloud Computing-Lösung für unser Dienstleistungsunternehmen ziemlich weit fortgeschritten. Beim letzten Brainstorming kam die Frage auf: Was geschieht, wenn der Cloud-Anbieter pleitegeht?» 
 

Ausländisches oder inländisches Recht?

Bei ausländischen Cloud-Anbietern mit ausländischen Rechenzentren kommt bei einer Pleite das jeweilige ausländische Insolvenzrecht mit ausländischem Gerichtsstand zum Tragen. Aus dieser Sicht lohnt es sich, auf eine reine «Swiss Cloud» zu setzen: Ein Schweizer Cloud-Anbieter mit Rechenzentren in der Schweiz ohne jegliche Unteranbieter im Ausland. Bei einer solchen reinen «Swiss Cloud» kommt das schweizerische Konkursrecht mit einem schweizerischen Gerichtsstand zum Tragen. 
 

Kein Anspruch auf Herausgabe der Daten

David Schwaninger und Stephanie S. Lattmann erläutern im Beitrag «Cloud Computing: Ausgewählte rechtliche Probleme in der Wolke», im «Jusletter» vom 11. März 2013, weshalb in der Schweiz beim Konkurs des Cloud-Providers kein gesetzlicher Anspruch auf die Herausgabe der Daten besteht. Demnach werden im Schweizer Konkursrecht im Konkursfall alle Forderungen, welche nicht eine Geldzahlung zum Gegenstand haben, in Geldforderungen von entsprechendem Wert umgewandelt. Diese so kalkulierten Geldforderungen werden dann zusammen mit allen weiteren Forderungen in den Kollokationsplan aufgenommen. Je nachdem, ob und wie viel Geld bei der Verwertung der Konkursmasse noch eingenommen werden kann, erhalten die Gläubiger anteilsweise etwas für ihre Forderungen zurückerstattet – die Konkursdividende. 
Weil die dem Cloud-Anbieter anvertrauten Daten keine körperlichen Gegenstände sind, können sie nicht mit einer Aussonderungsklage herausverlangt werden. Deshalb werden sie ohne Herausgabeanspruch wie beschrieben in eine geldwerte Forderung umgewandelt. Diese Forderung fällt in die 3. Konkursklasse. Das ist schlecht, denn für diese Konkursklasse fällt bei solchen Pleiten oft keine Konkursdividende an. 
Es ist allerdings denkbar, dass die Konkursverwaltung das Geschäft des Cloud-Anbieters zumindest für beschränkte Zeit weiterführt. Eine rechtliche Verpflichtung dazu besteht jedoch nicht. Ebenfalls wird ein Cloud-Nutzer allenfalls die Möglichkeit erhalten, seine Daten gegen zusätzliches Entgelt doch noch zu beziehen - aber auch darauf besteht nicht zwingend ein Anspruch. Entsprechend ist das Risiko eines nie ganz auszuschliessenden Konkurses bei der Auswahl des Cloud-Anbieters und bei der Gestaltung der Verträge gebührend zu berücksichtigen. 
 

Vertragliche Vorkehrungen

Aufgrund der Rechtsprechung und der Erfahrung besteht somit die Gefahr, dass ausgelagerte Daten im Konkurs eines Cloud-Anbieters gegebenenfalls nicht zurückgegeben werden. Überdies besteht sogar das Risiko einer Verwertung der Daten oder Teilen davon. Für den Cloud-Nutzer empfiehlt es sich deshalb vertraglich festzuhalten, dass alle Daten, die er dem Cloud-Anbieter übermittelt, als vertraulich oder geheim gelten und nicht ohne schriftliche Zustimmung an Dritte weitergegeben werden dürfen. Im Vertrag wäre auch festzuhalten, dass die Vertraulichkeits- oder Geheimhaltungspflichten des Cloud-Anbieters auf sämtliche Personen zu über binden sind, welche Zugang zu den Daten haben. Im Falle eines Konkurses des Cloud-Anbieters kann eine solche Klausel dazu beitragen, dass Daten nicht einer Verwertung zugeführt werden. 
Kommt dazu: Auch durch eine genügende Verschlüsselung der Daten kann deren Verwertung verhindert werden. 
 

Backup ausserhalb der Cloud

Damit der Cloud-Nutzer auf jeden Fall stets Zugriff auf seine Daten hat, sollte in den als nützlich empfundenen regelmässigen Abständen ausserhalb der Cloud und des Cloud-Anbieters eine mit Sicherheit lesbare Sicherungskopie der Daten erstellt werden. Dadurch ist überdies auch gewährleistet, dass der Cloud-Nutzer seine Daten in Zukunft allenfalls auf einen anderen Provider oder in seine eigene IT-Infrastruktur migrieren kann.