Cloud Computing ist zu einem festen Bestandteil der IT‑Infrastruktur vieler großer und kleiner deutscher Unternehmen geworden. Ob Infrastructure as a Service (IaaS), Plattform as a Service (PaaS) oder Software as a Service (SaaS): Heute lassen sich so einfach wie nie Server, Speicher, Datenbanken oder eine umfassende Palette von Anwendungsservices mit der notwendigen Hardware anmieten. Dabei kommen vor allem die großen Public‑Cloud‑Anbieter aus den USA, einem unsicheren Drittstaat. Seit dem Schrems II Urteil des EuGHs ist die Nutzung von amerikanischen Anbietern jedoch zu einer Herausforderung geworden. Denn seit Schrems II ist das EU‑U.S. Privacy‑Shield ungültig. Das Privacy Shield diente als Grundlage für Datenübermittlungen in die USA, sofern die Übermittlung an US‑Unternehmen erfolgte, die eine gültige Privacy-Shield-Zertifizierung besaßen. Da auch kein Angemessenheitsbeschluss für die USA vorliegt, kann ein Datentransfer in die USA nur aufgrund von Standardvertragsklauseln oder internen Datenschutzvorschriften erfolgen. In diesem Zuge muss ein Transfer Impact Assessment vorgenommen werden.
Neben den vertraglichen Absicherungen müssen Unternehmen im internationalen Datenschutz auch angemessene technische und organisatorische Maßnahmen treffen, um die Datenübermittlung abzusichern. So kann es beispielsweise geboten sein, dass die übersendeten Daten nur verschlüsselt auf dem Server des Cloud‑Anbieters gespeichert werden. Neben der Public Cloud gibt es auch eine Private Cloud, für welche die Vorgaben des internationalen Datenschutzes gelten, etwa, wenn die US‑Muttergesellschaft eine zentrale Kundendatenbank inkl. Kundenmanagement-Software auf ihrem Server hostet und die EU‑Tochterunternehmen auf die darin gespeicherten Kundendaten Zugriff haben. Da der gesetzliche Begriff der Verarbeitung weit auszulegen ist, handelt es sich auch beim Abruf von Daten wie in diesem Beispiel um eine Verarbeitung, welche dementsprechend abgesichert werden muss.