PI · Portabilität und Interoperabilität
PI-02 Vertragliche Vereinbarungen zur Bereitstellung von Cloud-Kundendaten
Geändert gegenüber C5:2020
Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
Basiskriterium
Specified which data types the criterion applies to.
Realigned criterion to be about the provisioning of cloud service customer data, not just the provisioning after the termination of the contractual relationship.
Extended the aspects to be defined in contractual agreements by the delivery methods of the data, the right of contract termination, and the cloud service customer data remaining the property of the cloud service customer throughout the contractual relationship.
Specified requirements regarding conditions and time frames for the provisioning of cloud service customer data to be applicable throughout the entire duration of the contractual relationship.
Bullet points are now sorted to ease discussions about specific list items.
Zusatzkriterium
Added requirement regarding the provision of cloud service derived data upon contract termination.
Wortlaut in C5:2020
Basiskriterium
In contractual agreements, the following aspects are defined with regard to the termination of the contractual relationship, insofar as these are applicable to the cloud service:
- Type, scope and format of the data the Cloud Service Provider provides to the cloud customer;
- Definition of the timeframe, within which the Cloud Service Provider makes the data available to the cloud customer
- Definition of the point in time as of which the Cloud Service Provider makes the data inaccessible to the cloud customer and deletes these; and
- The cloud customers' responsibilities and obligations to cooperate for the provision of the data.
The definitions are based on the needs of subject matter experts of potential customers who assess the suitability of the cloud service with regard to a dependency on the Cloud Service Provider as well as legal and regulatory requirements.
Zusatzkriterium
The design of the aspects is based on legal and regulatory requirements in the environment of the Cloud Service Provider. The Cloud Service Provider identifies the requirements regularly, at least once a year, and checks these for actuality and adjusts the contractual agreements accordingly.
Ergänzende Information zu allen Unterkriterien
Art und Umfang der von diesem Kriterium umfassten Cloud-Kundendaten sowie die Verantwortlichkeiten für deren Bereitstellung hängen vom Servicemodell des Cloud-Dienstes oder von den bereitgestellten Diensten und Funktionen ab:
Im Fall von IaaS- und PaaS-ähnlichen Diensten ist der Cloud-Kunde grundsätzlich dafür verantwortlich, die im Cloud-Dienst gespeicherten Cloud-Kundendaten vor Beendigung des Vertragsverhältnisses zu extrahieren und zu sichern (vgl. korrespondierendes Kundenkriterium).
Die Verantwortung des Cloud-Anbieters ist typischerweise auf die Bereitstellung von Cloud-Kundendaten für die Konfiguration der Infrastruktur oder Plattform beschränkt, die der Cloud-Kunde innerhalb seiner Umgebung eingerichtet hat (z. B. Konfiguration von Netzen, Images virtueller Maschinen und Container).
Bei SaaS stützt sich der Cloud-Kunde typischerweise auf vom Cloud-Anbieter bereitgestellte Exportfunktionen. Vom Cloud-Kunden erzeugte Daten sollten in demselben Format verfügbar sein, in dem sie im Cloud-Dienst gespeichert sind. Andere solcher Cloud-Kundendaten, einschließlich relevanter Protokolldateien und Metadaten, sollten in einem anwendbaren Standardformat wie CSV, JSON oder XML verfügbar sein.
Rechtliche Anforderungen können beispielsweise den EU Data Act umfassen. In Deutschland lassen sich gesetzliche Vorgaben zur Aufbewahrung beispielsweise der Abgabenordnung (§147 AO) und dem Handelsgesetzbuch (§ 257 HGB) entnehmen. Diese sehen eine Aufbewahrungspflicht von sechs oder zehn Jahren vor.
Falls vertragliche Vereinbarungen die im Basiskriterium aufgeführten Aspekte nicht enthalten und diese aufgrund des Servicemodells anwendbar sind, ist das Kriterium nicht erfüllt und eine Abweichung ist vom Auditor festzuhalten.
Basiskriterium
In vertraglichen Vereinbarungen werden für die Bereitstellung von Cloud-Kundendaten nach Beendigung des Vertragsverhältnisses die folgenden Aspekte definiert, soweit diese auf den Cloud-Dienst anwendbar sind:
- Art, Umfang und Format der Cloud-Kundendaten, die der Cloud-Anbieter dem Cloud-Kunden bereitstellt;
- Methoden zur Bereitstellung der Cloud-Kundendaten an den Cloud-Kunden;
- Bedingungen und Zeitrahmen für die Bereitstellung von Cloud-Kundendaten über die Dauer des Vertragsverhältnisses hinweg;
- Recht zur Kündigung des Vertrags und Definition des Zeitrahmens, innerhalb dessen der Cloud-Anbieter dem Cloud-Kunden die Cloud-Kundendaten nach Vertragsbeendigung zur Verfügung stellt;
- Definition des Zeitpunkts, ab dem der Cloud-Anbieter die Cloud-Kundendaten für den Cloud-Kunden unzugänglich macht und diese nach Vertragsbeendigung löscht;
- Die Verantwortlichkeiten und Mitwirkungspflichten der Cloud-Kunden für die Bereitstellung der Cloud-Kundendaten; und
- Cloud-Kundendaten bleiben während des gesamten Vertragsverhältnisses Eigentum des Cloud-Kunden. Nach dessen Beendigung sind die Cloud-Kundendaten wieder das alleinige Eigentum und der alleinige Besitz des Cloud-Kunden.
Die Definitionen orientieren sich an den Bedürfnissen von sachverständigem Personal potenzieller Cloud-Kunden, die die Eignung des Cloud-Dienstes im Hinblick auf eine Abhängigkeit vom Cloud-Anbieter sowie rechtliche und regulatorische Anforderungen bewerten.
Ergänzende Information
Falls der Cloud-Anbieter als Cloud-Vermittler agiert, sollte vertraglichen Klauseln zur Datenportabilität besondere Beachtung geschenkt werden, die die Komplexität des jeweiligen Cloud-Vermittler-Szenarios berücksichtigen. Dies kann unter anderem die Definition von Folgendem umfassen:
- Verantwortung für den Export von Cloud-Kundendaten;
- Falls mehrere zugrunde liegende Cloud-Anbieter vorhanden sind, den Exportumfang, das konsolidierte Format, etwaige Vollständigkeitsgrenzen und den Umgang mit vom Cloud-Vermittler erzeugten Artefakten wie aggregierten Protokollierungen;
- Ob Cloud-Kunden direkt über APIs auf die Cloud-Dienste zugrunde liegender Cloud-Anbieter zugreifen können oder auf die Exportschnittstelle des Cloud-Vermittlers angewiesen sind und ob es zeitliche oder nutzungsbezogene Einschränkungen gibt; und
- Zeitrahmen für die Bereitstellung von Exporten der Cloud-Kundendaten an den Cloud-Kunden.
Zusatzkriterium
PI-02.01AC
Zusatz, erweiterndDie Ausgestaltung der Aspekte basiert auf rechtlichen und regulatorischen Anforderungen im Umfeld des Cloud-Anbieters. Der Cloud-Anbieter identifiziert die Anforderungen regelmäßig, mindestens einmal im Jahr, prüft diese auf Aktualität und passt die vertraglichen Vereinbarungen entsprechend an.
PI-02.02AC
Zusatz, erweiterndDer Cloud-Anbieter stellt dem Cloud-Kunden bei Beendigung des Vertragsverhältnisses auch abgeleitete Cloud-Dienstdaten zur Verfügung. Die Bereitstellung dieser abgeleiteten Cloud-Dienstdaten ist ebenfalls in den vertraglichen Vereinbarungen definiert und umfasst die im Basiskriterium genannten Aspekte.
Korrespondierende Kriterien für Kunden
Was Cloud-Kunden auf ihrer Seite umsetzen.
Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass die Daten, auf die sie vertraglich Anspruch haben, am Ende des Vertrags vom Cloud-Anbieter angefordert oder über definierte Schnittstellen abgerufen werden (Art und Umfang der Daten entsprechen den vertraglichen Vereinbarungen, die vor der Nutzung des Cloud-Dienstes geschlossen wurden) und dass sie in Übereinstimmung mit den für diese Daten geltenden rechtlichen Anforderungen gespeichert werden.
Verwandte Kriterien
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen