Was ist die TOM in einer gehosteten Cloud Software - Frage an DSBs

Hallo,
jeder Softwareanbieter hat eine eigene interne Tom, aber bei einer webbasierten Softwarelösung als Auftragsverarbeiter auch die TOMs der Hostingpartner wie Amazon AWS, Telekom, ...  
Mir ist unklar, was der Auftraggeber oder seine Nutzer zu sehen bekommen muss und wie man das praktisch umsetzt.

Ob wir z.B. eine Zutrittskontrolle in unseren Büroräumen haben spielt doch nur zweitrangig eine Rolle, da wäre es doch richtiger, dass der Nutzer erfährt, wie seine Daten geschützt werden. Versucht mal herauszufinden, wie AWS seine Zugänge zu deren verschieden Rechenzentren sichert!
Ein Link zu AWS widerspricht genau so der Transparenzpflicht wie ein Gemisch der beide TOMs oder die Aufführung beider TOM. 

Bin gespannt.