Source: http://docplayer.org/460589-Cloud-computing-in-der-oeffentlichen-verwaltung-problemstellungen-und-perspektiven-diplomarbeit.html
Timestamp: 2017-07-23 09:37:16
Document Index: 362556382

Matched Legal Cases: ['Art 16', 'Art 8', 'Art 7', 'Art 8', 'Art 25', 'Art. 8', 'Art. 8', 'Art. 26', 'Art 8', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'EuG', 'Art. 1']

Cloud Computing in der öffentlichen Verwaltung Problemstellungen und Perspektiven. Diplomarbeit - PDF
Cloud Computing in der öffentlichen Verwaltung Problemstellungen und Perspektiven. Diplomarbeit
Download "Cloud Computing in der öffentlichen Verwaltung Problemstellungen und Perspektiven. Diplomarbeit"
1 Cloud Computing in der öffentlichen Verwaltung Problemstellungen und Perspektiven Diplomarbeit Zur Erlangung des akademischen Grades eines Mag. iur. rer. oec. an der rechtswissenschaftlichen Fakultät der Leopold-Franzens-Universität Innsbruck Eingereicht bei Univ.-Doz. Dr. Thomas Walzel v. Wiesentreu von Mario Miller Innsbruck, im September 20132 Inhaltsverzeichnis Abbildungsverzeichnis...4 Kapitel 1 Einleitung...5 Kapitel 2 - Grundlagen Was ist Cloud Computing? Erscheinungsformen von Cloud Computing Charakteristika Service Modelle Software-as-a-Service Platform-as-a-Service Infrastructure-as-a-Service Betriebsmodelle Public Cloud Private Cloud Hybrid Cloud Community Cloud Anwendungsbereich von Cloud Computing Allgemeine Anwendungsmöglichkeiten Anwendungsmöglichkeiten im Bereich der öffentlichen Verwaltung Rechtsgrundlagen Nationale Ebene Das Datenschutzgesetz Schutzbereich des DSG Akteure in der Cloud Auftraggeber Dienstleister Betroffener Datenverkehr mit dem Ausland Nationale Ebene - Das Telekommunikationsgesetz (TKG 2003) Europäische Ebene Die Richtlinie 95/46/EG Anknüpfungspunkte Anwendbarkeit des EU-Datenschutzrechts Ein Gesetzesentwurf für die Reform des EU-Datenschutzes - Die Datenschutzgrundverordnung3 2.3.4 Internationale Ebene Verhältnis zu Drittländern im Allgemeinen Verhältnis der Europäischen Union zu den USA...30 Kapitel 3 Datenschutz im Internationalen Spannungsfeld der Rechtsordnungen Internationaler Datenschutz Datenschutzrechtliche Problemstellungen im Bezug zu Drittstaaaten Der US Patriot Act FISA Der Foreign Intelligence Surveillance Act Weitere Beispiele für datenschutzrechtlich problematische Zugriffe durch ausländische Behörden Das Safe Harbor Abkommen Problemstellungen im Anwendungsbereich des Safe Harbor- Abkommens Unzureichender Datenschutz Mangelnde Durchsetzung der Safe Harbor-Grundsätze Mögliche Alternativen Service Level Agreements und Binding Corporate Rules Standardvertragsklauseln für die Übermittlung personen-bezogener Daten Kapitel 4 - Problemstellungen für die öffentliche Verwaltung in Österreich Datensicherheit und Datenschutz Mobile Endgeräte Mangelnde Umsetzung Vergaberecht...45 Kapitel 5 - Lösungsansätze Die Trusted Cloud Die nationale Cloud Die Gouvernment Cloud Zertifizierungen Effektive Verschlüsselung...52 Kapitel 6 - Zusammenfassung und Ausblick...55 Literaturverzeichnis...60 Eidesstattliche Erklärung4 Abbildungsverzeichnis Abbildungsverzeichnis Abbildung 1: Struktur von Cloud Computing als Rechnerverbund...8 Abbildung 2: Graphische Veranschaulichung der NIST-Definition...9 Abbildung 3: Cloud Computing Modelle...12 Abbildung 4: Hybrid Cloud im Überblick...14 Abbildung 5: Anwendungsmöglichkeiten von Cloud Computing...16 Abbildung 6: Beziehung zwischen den Akteuren der Cloud unter Verwendung von Service Level Agreements...39 Abbildung 7: Aufbau der hybriden Verwaltungscloud...52 Abbildung 8: Assymetrisches Verschlüsselungsverfahren5 Kapitel 1 Einleitung Kapitel 1 Einleitung Durch die Anforderung an Unternehmen sowie Behörden immer größere Datenmengen zu speichern, seien es personalbezogene oder kunden- bzw. bürgerbezogene Daten, als auch fiskalische oder sonstige unternehmensbezogene Informationen, steigt der Bedarf an einer effizienten Lösung zur Speicherung und Verwaltung von Datensätzen. Eine scheinbar perfekte Lösung bietet hier das sogenannte Cloud Computing. Ziel hierbei ist es, Ressourcen zu sparen, indem die eigene Datenverarbeitung auf externe Speicherorte ausgelagert wird. In Österreich nehmen Informations- und Kommunikationstechnologieunternehmen inzwischen einen enormen wirtschaftlichen Stellenwert ein. Mit einem Marktvolumen von 24 Milliarden Euro jährlich trägt diese Branche ganze neun Prozent zum Bruttoinlandsprodukt bei.1 Obwohl Cloud Computing daher, eine Vielzahl an neuen Verdienstmöglichkeiten für die Anbieter einerseits, und andererseits eine Resourcenersparnis für die Nutzer des Cloud-Angebots bietet, gibt es auch diverse Problemfelder, welche mit zunehmender Beliebtheit des Cloud Computing Lösungsansätze fordern. Neben den technischen Herausforderungen, auf die hier nur am Rande eingegangen werden kann, bestehen eine Reihe von rechtlichen Problemstellungen, insbesondere im Bereich des Vergaberechts öffentlicher Verwaltungen und den Bereichen des Datenschutzes und der Datensicherheit. Das zentrale Problem des Cloud Computing besteht darin, die Integrität und Vertraulichkeit der Datenverarbeitung des Cloud-Nutzers zu gewährleisten. Dies gilt nicht nur für die in besonderem Maße schutzwürdigen personenbezogenen, sondern für sämtliche Daten, bei denen es auf Vertraulichkeit und Integrität ankommt. 2 Ziel ist die Unterbindung unberechtigter und schädigender Zugriffe Dritter. 3 Insbesondere bei Kontraktion mit Cloud- Anbietern aus Drittstaaten kommt es zu datenschutzrechtlichen Unstimmigkeiten, da viele dieser Staaten die erforderlichen Datenschutzstandards der EU nicht gewährleisten. Anhand dieser Problemfelder wird in dieser Arbeit die Umsetzbarkeit, Effektivität und rechtliche Konformität von Virtualisierungslösungen der IT, wie insbesondere Cloud Scopetta, Lukrative Wolken ziehen auf, Trend (2012) 24. Weichert, Cloud Computing und Datenschutz - DuD 10 (2010) 680. Weichert, DuD 10 (2010)6 Kapitel 1 Einleitung Computing, erst allgemein, und dann im Bezug zur öffentlichen Verwaltungen, untersucht. 67 Kapitel 2 - Grundlagen Kapitel 2 - Grundlagen 2.1 Was ist Cloud Computing? Eine feststehende oder gar gesetzliche Definition des Begriffs Cloud Computing gibt es nicht. So bezeichnet Borges et al ihn als "Schlagwort zur Bezeichnung eines revolutionären Trends der Informationstechnologie".4 Weniger abstrakt formuliert, wird Cloud Computing als ein Rechnerverbund bezeichnet (siehe Abb.1), dessen Struktur sich, unter anderem, dynamisch an den Bedarf des Nutzers anpasst und dessen Verarbeitungskapazität in der Regel über das Internet zur Verfügung gestellt wird. 5 Im Detail handelt es sich um eine Zurverfügungstellung von virtualisierten Rechenzentren, Netzwerken, Datenspeichern und Softwarelösungen wie CRM (Customer Relationship Management) -, Sicherheits -, Resourcenplanungs -, sowie BI (Business Intelligence) -, als auch Mailsoftwarelösungen. 4 Borges/Brennscheidt, Rechtsfragen des Cloud Computing - ein Zwischenbericht, in Borges/Schwenk (Hg), Daten- und Identitätsschutz in Cloud Computing, E-Government und E-Commerce (2012) Vgl. Stögmüller, in Leupold/Glossner, Münchener Anwaltshandbuch IT-Recht2 (2011)8 Kapitel 2 - Grundlagen Abbildung 1: Struktur von Cloud Computing als Rechnerverbund Quelle: ( ) Von den vielen, durchaus unterschiedlichen Definitionen von Cloud Computing, hat sich in der Fachwelt jene des U.S. National Institute of Standards and Technology (NIST) durchgesetzt.6 Cloud Computing nach NIST wird zunächst durch das notwendige Vorhandensein von fünf Eigenschaften (Essential Characteristics), drei verschiedenen Service Modellen (Service Models), und schlussendlich vier unterschiedlichen Betriebsmodellen (Deployment Models)7 definiert (siehe Abb. 2). 6 7 Pollirer, Datenschutz und Cloud Computing (2011) 2. Mell/Grance ; The NIST Definition of Cloud Computing (2011) 3. 89 Kapitel 2 - Grundlagen Abbildung 2: Graphische Veranschaulichung der NIST-Definition Quelle: ( ) 2.2 Erscheinungsformen von Cloud Computing Charakteristika Folgende fünf Eigenschaften charakterisieren gemäß der NIST-Definition einen Cloud Service:8 1. On-demand Self Service: Die Provisionierung der Ressourcen (z. B. Rechenleistung, Storage) läuft automatisch ohne Interaktion mit dem Service Provider ab. 2. Broad Network Access: Die Services sind mit Standard-Mechanismen über das Netz verfügbar und nicht an einen bestimmten Client gebunden. 3. Resource Pooling: Die Ressourcen des Anbieters liegen in einem Pool vor, aus 8 https://www.bsi.bund.de/de/themen/cloudcomputing/grundlagen/grundlagen_node.html ( ). 910 Kapitel 2 - Grundlagen dem sich viele Anwender bedienen können (Multi-Tenant Model). Dabei wissen die Anwender nicht, wo die Ressourcen sich befinden, sie können allerdings vertraglich den Speicherort, also z.b. Region, Land oder Rechenzentrum, festlegen. 4. Rapid Elasticity: Die Services können schnell und elastisch zur Verfügung gestellt werden, in manchen Fällen auch automatisch. Aus Anwendersicht scheinen die Ressourcen daher unendlich zu sein. 5. Measured Services: Die Ressourcennutzung kann gemessen und überwacht werden und entsprechend bemessen, auch den Cloud-Anwendern zur Verfügung gestellt werden Service Modelle Software-as-a-Service Beim Software-as-a-Service (SaaS) wird die jeweilige Software im Netz für den Nutzer bereitgestellt und muss nicht auf den eigenen Rechner heruntergeladen und installiert werden. Meist wird über einen Webbrowser auf die jeweiligen Softwareanwendungen zugegriffen. Die Kontrollmöglichkeiten des Nutzers bezüglich der Anwendung selbst, als auch der Cloud Infrastruktur, sind hier sehr beschränkt. Mehr noch, die Kontrolle wird im SaaS-Fall nahezu vollständig aus den Händen gegeben. Um seinen regulatorischen Pflichten nachzukommen, bleibt dem Anwender wenig anderes übrig, als geeignete organisatorische und vertragliche Absprachen mit dem Provider zu treffen.9 9 Gremm, Sicherheit in der Cloud, Behörden Spiegel 11 (2012). 1011 Kapitel 2 - Grundlagen Platform-as-a-Service Platform-as-a-Service (PaaS) ist auf Applikationen ausgelegt, für welche der Cloud Service Provider (CSP) eine Plattform zur Verfügung stellt, wobei im Unterschied zum SaaS die Kontrolle über die Software des Nutzers auch bei diesem verbleibt. Die Plattform gibt den Nutzern die Möglichkeit über diese miteinander in Verbindung zu treten und zu interagieren Infrastructure-as-a-Service Infrastructure-as-a-Service beinhaltet das zur Verfügung stellen von umfassender ITInfrastruktur11, während ein Großteil der Software auf dem eigenen Rechner verbleibt. Sinn und Zweck dieses Cloud-Services ist es dem Cloud-Nutzer Rechenzeit, Speicherplatz, Netzwerk und andere IT-Komponenten zur Verfügung zu stellen, so dass dieser in die Lage versetzt wird, seine Softwareanwendungen nach seinem Belieben zu betreiben. Bei diesem Cloud-Service hat der Cloud-Benutzer zwar keinerlei Kontrolle in Bezug auf die Cloud-Infrastruktur, jedoch sehr wohl über Betriebssysteme, Speicher, eingesetzte Softwareanwendungen und unter Umständen eine eingeschränkte Kontrolle über einzelne Netzwerkkomponenten (z.b. Firewall) Borges/Schwenk, Daten- und Identitätsschutz in Cloud Computing, E-Government und E-Commerce (2012) Weichert, DuD 10 (2010) Pollirer, Datenschutz 1. 11 12 Kapitel 2 - Grundlagen Abbildung 3: Cloud Computing Modelle Quelle: ( ) Betriebsmodelle Public Cloud Eine Public Cloud, oder auch öffentliche Cloud, ist ein Angebot eines frei zugänglichen Providers, der seine Dienste offen über das Internet für jedermann zugänglich macht. 13 Hier besteht ein überaus geringes Niveau an Datenschutz und IT-Sicherheit im Vergleich zu den anderen Betriebsformen des Cloud Computing. Zu den führenden Anbietern öffentlicher Cloud-Lösungen gehören unter anderem, Sugar Sync, Dropbox, Google Drive und Apple s icloud Private Cloud Hierbei steht die Cloud Infrastruktur lediglich einem geschlossen Kreis von Personen bzw. Institutionen zur Verfügung. Es muss sich dabei aber nicht zwangsläufig lediglich um ein lokal geführtes Netzwerk handeln, sondern kann auch in Form einer Virtual Private Cloud auftreten. Diese ist dann zwar Teil einer Public Cloud, jedoch ist der Zugriff nur für berechtigte Teilnehmer der Private Cloud möglich. 13 ( ). 12 13 Kapitel 2 - Grundlagen Hybrid Cloud Als Hybrid Clouds (siehe Abb. 4), werden Mischformen der Public Cloud (siehe ) und der Private Cloud (siehe ) bezeichnet. So laufen bestimmte Services bei öffentlichen Anbietern über das Internet, während datenschutzrechtlich kritische Anwendungen und Daten im Unternehmen betrieben und verarbeitet werden. Die Herausforderung liegt hier in der Trennung der Geschäftsprozesse in datenschutzrechtlich kritische und unkritische Arbeitsabläufe. 14 Abbildung 4: Hybrid Cloud im Überblick Quelle: ( ) 14 ( ). 1314 Kapitel 2 - Grundlagen Community Cloud Einen Spezialfall stellt die sogenannte Community-Cloud dar. So werden Cloud- Infrastrukturen bezeichnet, die von mehreren Unternehmen genutzt und bereitgestellt werden, um gemeinsam auf bestimmte Dienste zugreifen zu können. Diese sind jedoch nicht öffentlich verfügbar, sondern beschränken sich auf einen definierten Nutzerkreis15, welcher dann von Synergieeffekten profitiert Anwendungsbereich von Cloud Computing Allgemeine Anwendungsmöglichkeiten Die Anwendungsmöglichkeiten des Cloud-Computing sind zahlreich (siehe Abb.5). Besonders Großunternehmen und Konzerne sind auf die Vernetzung von CloudServiceleistungen angewiesen um einen effektiven Ablauf der Geschäftstätigkeit zu gewährleisten. Komplexe Aufgabenbereiche wie bspw. Controlling, Personalmanagement oder Accounting werden dadurch in nicht unerheblichem Maße erleichtert. Durch den Einsatz von virtuellen Rechenzentren, der Möglichkeit der Fernwartung des Systems, internen Kommunikationskanälen sowie uneingeschränktem Zugriff auf Datensätze unabhängig vom Standort des Abrufenden, ist die Cloud Technologie heute aus Sicht der Global Players kaum mehr wegzudenken. Der entscheidende Vorteil besteht in der oftmals hohen Flexibilität welche die Cloud mit sich bringt, da die Serviceleistungen der Cloud-Service-Provider (CSP) in der Regel, je nach Bedarf genutzt werden können und somit Spitzen in der Datenverarbeitung abgefangen werden, welche die eigene IT an die Grenzen der Belastbarkeit bringen würden. Klein- und Mittelständische Unternehmen (KMU) sind zwar grundsätzlich noch zurückhaltender bei der Cloud-Nutzung als Großunternehmen, da durch einen Flickenteppich an unterschiedlichen resultierenden unterschiedlichsten Datenschutzgesetzen Verwaltungsauflagen in und den daraus den Europäischen Mitgliedsstaaten, ein enormer juristischer und administrativer Aufwand entsteht, dem 15 ( ). 1415 Kapitel 2 - Grundlagen viele KMU nicht gewachsen sind.16 Allerdings könnte sich dies, durch eine neue EUDatenschutzverordnung, grundlegend ändern (siehe dazu ). Die Vorteile, die Cloud Services für KMU bieten, sind durchaus überzeugend, da professionelle Cloud-Anbieter Verfügbarkeiten garantieren, die Selbständige oder KMU kaum bis gar nicht, selbst erbringen könnten. 17 Darüber hinaus kann es für kleine und mittlere Unternehmen ein Sicherheitsgewinn sein, da diese unter Umständen weder das Personal noch die Mittel haben, um das hohe Sicherheitslevel eines großen Rechenzentrums zu erreichen. Abbildung 5: Anwendungsmöglichkeiten von Cloud Computing Quelle: ( ) 16 Friedrich, International: EU-Datenschutzrecht soll vereinheitlicht werden, Versicherungswirtschaft 17 (2012) Brenner/Della Schiava/Fischer, Cloud Computing, Gewinn 10 (2011)16 Kapitel 2 - Grundlagen Anwendungsmöglichkeiten im Bereich der öffentlichen Verwaltung Behörden und Unternehmen folgen schon seit Jahren einem gut erkennbarem Trend dem Outsourcing von Unternehmensteilen bzw. Verwaltungseinheiten. Hier werden Aufgaben aus dem eigenen Wirkungskreis ausgegliedert und an andere Dienstleister übergeben, die im Auftrag des Auftraggebers die jeweiligen Dienstleistungen erbringen. Um nichts anderes handelt es sich beim Phänomen Cloud Computing, nämlich schlichtweg um eine Ausgliederung der eigenen IT- Dienstleistungen mit einer im Einzelfall, sehr unterschiedlicher Intensität und Ausprägung. Da die öffentliche Verwaltung auch ein Unternehmen im weiteren Sinn darstellt, hat diese ähnliche Anforderungen an die Cloud wie es bei Unternehmen der Fall ist (siehe 2.3.1). Neben dem sogenannten egovernment, also der Beziehung zwischen Behörden und Bürgern, spielen die interne Kommunikation und ein zeitnaher Datenzugriff eine wichtige Rolle bei der Ausführung der Aufgaben der Hoheitsverwaltung. Durch Virtualisierung der IT der Behörden kann eine dezentrale Fernwartung erfolgen, welche zu einer enormen Kosten- und Zeitersparnis führt. Darüber hinaus wird verhindert, dass durch unsachgemäße Verwendung oder gar Veränderung der IT-Struktur, Kommunikations- bzw sogar Kompatibilitätsprobleme zwischen verschiedenen Verwaltungseinheiten entstehen. Auch Fortbildungs- und Trainingsmaßnahmen der Belegschaft sind denkbare Einsatzgebiete.18 Experten rechnen mit einem Einsparpotential in der öffentlichen Verwaltung von 25 Prozent oder gar mehr. 19 Das österreichische Bundesrechenzentrum (BRZ) will bei diesem Einsparungspotential ansetzen und seine MORE FOR LESS-Strategie, also mehr Leistung für weniger Finanzmittel zu erbringen, bis 2027 dahingehend ausbauen, dass sich die Verwaltung diejenigen IT-Anwendungen trotz strapazierter Budgets leisten kann, welche Ihre Dienstleistungen optimal unterstützen.20 Im Zeitraum 2008 bis 2012 konnten Behörden, welche die Leistungen des BRZ in Anspruch genommen haben, bereits 130 Millionen Euro an IT Kosten einsparen.21 Insbesondere virtuelle Kosteneinsparungspotential Desktops für die sind hier öffentliche ein Mittel Verwaltung. mit enormen Durch zentrale 18 Stiel, Vorerst sind nur interne Clouds für die Öffentliche Verwaltung ein Thema, egovernment 2 (2010) Gehrt, Aus Bedenken werden Best Practices, Behörden Spiegel 12 (2012). 20 Baumgartner, BRZ 2027: Vom Rechenamt zur IT-Factory, Computerwelt 25 (2012). 21 Baumgartner, Computerwelt 25 (2012). 1617 Kapitel 2 - Grundlagen Rechenzentren kann hier die Desktop-Software einheitlich eingerichtet, koordiniert und bei Bedarf gegebenenfalls angepasst werden, ohne dass Änderungen an jeder Untereinheit selbst vorgenommen werden müssen. Somit kann Wildwuchs innerhalb einer Behörde vermieden werden. Weiteres Potential besteht im bereits erwähnten Bereich der internen Fortbildungs- und Trainingsmaßnahmen, welche sich durch hohe Flexibilität auszeichnen, da von jeglichem Ort und zu jeder Zeit, auf eine solche Maßnahme zugegriffen werden kann Scariot, Über den Wolken, egovernment Computing 2 (2010) 7. 1718 Kapitel 2 - Grundlagen 2.3 Rechtsgrundlagen Cloud-Computing tangiert neben einer überschaubaren Zahl internationaler Normen, eine nicht unerhebliche Anzahl von nationalen Rechtsquellen, wie das Telekommunikationsgesetz (TKG 2003), das Urheberrechtsgesetz (UrhG), die Gewerbeordnung (GewO), das Strafgesetz (StGB), das Unlauterer Wettbewerbsgesetz (UWG), das Gerichtsorganisationsgesetz (GOG), die Bundesabgabenordnung (BAO), das Aktiengesetz (AktG), das GmbH Gesetz (GmbHG), das Internationale Privatrecht (IPR), das Vertragsrecht (ABGB) und nicht zuletzt das Vergaberecht der öffentlichen Verwaltung (BVergG 2006). Jedoch handelt es sich bei dem Problemfeld des Datenschutzes, nach dem Datenschutzgesetz (DSG 2000), in Verbindung mit CloudComputing um eines der brisantesten. Inzwischen betreffen ungefähr 60 Prozent der Fälle und Verhandlungen von IT-Anwälten dieses Rechtsgebiet. 23 Daher soll hierauf im folgenden gezielt eingegangen werden. Da eine Rechtswahl im Bereich des Datenschutzes, wie sie im Zivilrecht möglich ist, ausgeschlossen ist, kommt es zur Anwendbarkeit des Datenschutzgesetzes auf Basis der reellen Verhältnisse zwischen CSP und Auftraggeber. 24 Dies betrifft insbesondere die Erhebung bzw. Verwendung der Daten und den Sitz des erhebenden Unternehmens Nationale Ebene Das Datenschutzgesetz Das Datenschutzgesetz (DSG 2000) regelt das Recht auf Datenschutz, die Datenverwendung, die Publizität, Rechte der Betroffenen, die Kontrollorgane, sowie Strafbestimmungen in Österreich bezüglich des Datenschutzes. Es handelt sich um die österreichische Umsetzung der europäischen Datenschutzrichtlinie 95/46/EG. Allerdings ist gerade diese Umsetzung oft nicht hinreichend durchgeführt worden und lässt Spielraum für Interpretation, wodurch die abgeleitete Norm hinter der Richtlinie zurückbleibt. Für die Anwendung des Datenschutzgesetzes ist deswegen, neben der nationalen Vorschrift, auch die Richtlinie 95/46/EG zu beachten, da eben dieser im 23 Rittweger, IT-Recht. Pioniere im Niemandsland, WirtschaftsWoche 51 (2012) Eckhardt, Datenschutz im "Cloud Computing" aus Anbietersicht, in Borges/Schwenk (Hg), Daten- und Identitätsschutz in Cloud Computing, E-Government und E-Commerce (2012)19 Kapitel 2 - Grundlagen Falle einer mangelhaften Umsetzung, unmittelbare Geltung zukommt oder gar unmittelbare Wirkung zukommen kann.25 1 DSG 2000 enthält eine Bestimmung im Verfassungsrang, das Grundrecht auf Datenschutz. Dieses Grundrecht bezweckt den Einzelnen vor missbräuchlicher Verwendung seiner personenbezogenen Daten zu bewahren. Allerdings handelt es sich hierbei nicht um ein absolutes Grundrecht, da es einige gesetzliche Einschränkungen erfährt. So normiert 1 Abs 2 Ausnahmen, zugunsten der Verwendung der Daten, im lebenswichtigen Interesse des Betroffenen, durch Zustimmung des Betroffenen oder zur Wahrung überwiegender berechtigter Interessen eines Anderen. Grundvoraussetzung für jegliche Verwendung von Daten nach dem DSG 2000, sei es offline oder online, ist, dass die jeweiligen Daten auf einer zulässigen rechtlichen Grundlage erhoben wurden oder die jeweils Betroffenen in die Erhebung eingewilligt haben. Weiters, haben die Daten sachlich richtig zu sein und dürfen diese nur nach ihrem Verwendungszweck eingesetzt werden. Es handelt sich hierbei um die sogenannte Zweckbindung personenbezogener Daten. Erlischt der jeweilige Zweck der Datenerhebung, geht die Legitimation zur Verwendung der Daten unter. Dies gilt laut 6 DSG 2000, welcher als Grundsatz der Datensparsamkeit qualifiziert wird und aus welchem die Pflicht zur Beseitigung von Datensätzen, bei denen der Erhebungszweck erloschen ist, resultiert. Somit wird dem Sammeln von Big Data ein gesetzlicher Riegel vorgeschoben. Hieraus werden auch die wesentlichen Betroffenenrechte, das Recht auf Einsicht bzw. Auskunft, das Recht auf Richtigstellung und das Recht auf Löschung abgeleitet. Darüber hinaus, besteht die Pflicht des Verwenders der Daten, geeignete Maßnahmen im Bereich Datensicherheit zu ergreifen, um die Informationen vor Verlust, unrechtmäßiger Weitergabe oder Zerstörung zu schützen. Obligatorisch ist die Meldung der verwendeten Daten an das Datenverarbeitungsregister, das von der österreichischen Datenschutzkommission verwaltet wird. Im Falle eines Missbrauchs ist dies auch die verantwortliche Stelle um eine Datenschutzbeschwerde einzubringen, welche sie dann zu überprüfen berechtigt und verpflichtet ist. Mit der Gesetzesnovelle des Datenschutzgesetzes im Jahre 2000 wurde eine Pflicht zur Unterrichtung der jeweiligen Betroffenen bei systematischer oder immanenter 25 Jahnel/Mader/Staudegger, IT-Recht3 (2012)20 Kapitel 2 - Grundlagen unrechtmäßiger Datenverwendung eingeführt. Diese Pflicht besteht allerdings nicht, wenn die Benachrichtigung der Betroffenen über einen Zugriff auf deren Daten, für den Auftraggeber einen unverhältnismäßigen Aufwand erfordern würde und es sich, bei dem entstandenen, um einen lediglich geringen Schaden handelt. Diese Formulierung lässt viel Spielraum für Interpretation und bildet somit nur eine wage Steigerung der Betroffenenrechte im Bereich des Datenschutzes Schutzbereich des DSG 2000 Im Schutzbereich des Datenschutzgesetzes (DSG 2000) stehen personenbezogene Daten. Dieser Begriff ist sehr weit gefasst. Personenbezogenheit im Sinne des DSG 2000 liegt schon vor, wenn der Anbieter, der Nutzer oder ein Dritter einen Personenbezug lediglich herstellen könnte. Damit wird es in der Praxis nur sehr wenige Cloud-Anwendungen geben, auf die das Datenschutzgesetz keine Anwendung findet. 26 Der Räumliche Anwendungsbereich wird durch 3 DSG 2000 wie folgt festgelegt:27 Die Bestimmungen dieses Bundesgesetzes sind auf die Verwendung von personenbezogenen Daten im Inland anzuwenden. Darüber hinaus ist dieses Bundesgesetz auf die Verwendung von Daten im Ausland anzuwenden, soweit diese Verwendung in anderen Mitgliedstaaten der Europäischen Union für Zwecke einer in Österreich gelegenen Haupt- oder Zweigniederlassung ( 4 Z 15) eines Auftraggebers ( 4 Z 4) geschieht. Daraus folgt, dass alternativ zum grundsätzlich anzuwendenden Territorialitätsprinzip, das Sitzstaatsprinzip zur Anwendung kommt, insofern ein Auftraggeber aus einem anderen EU-Mitgliedsstaat die Verwendung der Daten in Auftrag gegeben hat. Unter Verwendung ist jegliche Art von Nutzung zu verstehen, also unter anderem das Ermitteln, Speichern, Vergleichen, Abfragen Weitergaben, Überlassen, Benützen und Ändern. 3 Abs. 4 DSG 2000 schließt abweichende gesetzliche Regelungen im Verhältnis zu Drittstaaten nicht grundsätzlich aus. Als besonders schutzwürdig werden sogenannte sensible Daten angesehen. Darunter 26 Andréewitch: Cloud Computing Recht, Datenschutz & Compliance 12 (2010) ( ). 2021 Kapitel 2 - Grundlagen fallen Daten über die politische Meinung, den Gesundheitszustand, die Religion, die sexuelle Ausrichtung, eine Gewerkschaftsmitgliedschaft und die ethnische Herkunft einer Person. Für die Verwendung als sensibel eingestufter Daten normiert 9 DSG 2000 folgende Ausnahmetatbestände:28 Schutzwürdige Geheimhaltungsinteressen werden bei der Verwendung sensibler Daten ausschließlich dann nicht verletzt, wenn 1) der Betroffene die Daten offenkundig selbst öffentlich gemacht hat oder 2) die Daten in nur indirekt personenbezogener Form verwendet werden oder 3) sich die Ermächtigung oder Verpflichtung zur Verwendung aus gesetzlichen Vorschriften ergibt, soweit diese der Wahrung eines wichtigen öffentlichen Interesses dienen, oder 4) die Verwendung durch Auftraggeber des öffentlichen Bereichs in Erfüllung ihrer Verpflichtung zur Amtshilfe geschieht oder 5) Daten verwendet werden, die ausschließlich die Ausübung einer öffentlichen Funktion durch den Betroffenen zum Gegenstand haben, oder 6) der Betroffene seine Zustimmung zur Verwendung der Daten ausdrücklich erteilt hat, wobei ein Widerruf jederzeit möglich ist und die Unzulässigkeit der weiteren Verwendung der Daten bewirkt, oder 7) die Verarbeitung oder Übermittlung zur Wahrung lebenswichtiger Interessen des Betroffenen notwendig ist und seine Zustimmung nicht rechtzeitig eingeholt werden kann oder 8) die Verwendung der Daten zur Wahrung lebenswichtiger Interessen eines anderen notwendig ist oder 9) die Verwendung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen des Auftraggebers vor einer Behörde notwendig ist und die Daten rechtmäßig ermittelt wurden oder 10) Daten für private Zwecke gemäß 45 oder für wissenschaftliche Forschung oder Statistik gemäß 46 oder zur Benachrichtigung oder Befragung des Betroffenen gemäß 47 verwendet werden oder 28 ( ). 2122 Kapitel 2 - Grundlagen 11) die Verwendung erforderlich ist, um den Rechten und Pflichten des Auftraggebers auf dem Gebiet des Arbeits- oder Dienstrechts Rechnung zu tragen, und sie nach besonderen Rechtsvorschriften zulässig ist, wobei die dem Betriebsrat nach dem Arbeitsverfassungsgesetz zustehenden Befugnisse im Hinblick auf die Datenverwendung unberührt bleiben, oder 12) die Daten zum Zweck der Gesundheitsvorsorge, der medizinischen Diagnostik, der Gesundheitsversorgung oder -behandlung oder für die Verwaltung von Gesundheitsdiensten erforderlich ist, und die Verwendung dieser Daten durch ärztliches Personal oder sonstige Personen erfolgt, die einer entsprechenden Geheimhaltungspflicht unterliegen, oder 13) nicht auf Gewinn gerichtete Vereinigungen mit politischem, philosophischem, religiösem oder gewerkschaftlichem Tätigkeitszweck Daten, die Rückschlüsse auf die politische Meinung oder weltanschauliche Überzeugung natürlicher Personen zulassen, im Rahmen ihrer erlaubten Tätigkeit verarbeiten und es sich hierbei um Daten von Mitgliedern, Förderern oder sonstigen Personen handelt, die regelmäßig ihr Interesse für den Tätigkeitszweck der Vereinigung bekundet haben; diese Daten dürfen, sofern sich aus gesetzlichen Vorschriften nichts anderes ergibt, nur mit Zustimmung der Betroffenen an Dritte weitergegeben werden. Eine Verwendung sensibler Daten ist also abgesehen der angeführten Ausnahmetatbestände nur unter ausdrücklicher Zustimmung des Betroffenen zulässig. Es handelt sich also um ein grundsätzliches Verbot mit Erlaubnisvorbehalt. Allerdings ist auch ohne das Vorliegen personenbezogener oder sensibler Daten genauestens zu prüfen, ob diese für den Cloud-Einsatz geeignet sind, da möglicherweise Rechte Dritter, welche sich aus den sonstigen oben (siehe 2.3) genannten Rechtsquellen ergeben können, beeinträchtigt werden Akteure in der Cloud Die 4 Z 4 ff DSG 2000 unterscheiden zwischen Auftraggeber, Dienstleister und Betroffenem, denen unterschiedliche und teils auch gleiche Rechte und Pflichten zugerechnet werden. 2223 Kapitel 2 - Grundlagen Auftraggeber Auftraggeber sind "natürliche oder juristische Personen, Personengemeinschaften oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie allein oder gemeinsam mit anderen die Entscheidung getroffen haben, Daten zu verwenden...". Dieser wird oft als "Herr der Daten" 29 bezeichnet, da ihn die Pflicht der sorgfältigen Auswahl des Dienstleisters, bezüglich der Einhaltung von Qualitätsgrundsätzen ( 6), schutzwürdigen Geheimhaltungsinteressen ( 8) und der Prüfung der Zulässigkeit ( 7) trifft. Daneben bestehen Melde-, Auskunfts-, Offenlegungs- und Informationspflichten. Weiters müssen Betroffenenrechte wie das Recht auf Auskunft ( 26), Löschung bzw. Richtigstellung ( 27) und das Recht auf Widerspruch gegen die Datenverwendung ( 28) vom Auftraggeber eingeräumt werden. Darüber hinaus besteht die Pflicht des Auftraggebers ( 10) sich über den Dienstleister als möglichen Geschäftspartner zu informieren und zu prüfen, ob das nötige Schutzniveau eingehalten wird. In der Praxis führt dies zu einem vom Auftraggeber oft unkalkulierbaren Risiko, da diese Prüfung ein tiefgreifendes Mitwirken des CSP erfordert, welches einige Anbieter schon aus sicherheitstechnischen Bedenken verweigern Dienstleister Dienstleister sind "natürliche oder juristische Personen, Personengemeinschaften oder Organe einer Gebietskörperschaft, beziehungsweise die Geschäftsapparate solcher Organe, wenn sie Daten nur zur Herstellung eines ihnen aufgetragenen Werkes verwenden...". Für diese bestehen wie für den Auftraggeber Pflichten, welche sich aus 11 DSG 2000 ergeben. Auch hier besteht eine Pflicht nach 14 DSG 2000 entsprechend der des Auftraggebers, zur Sicherstellung der Datensicherheit, sprich zum Schutz der Daten vor Verlust, Zerstörung oder Veränderung. Der Gesetzgeber zählt demonstrativ Maßnahmen auf um dieser Verpflichtung nachzukommen. Dazu gehören neben anderen Protokollierungspflichten, ein sicheres Zutritts- und Zugriffsmanagement und eine geregelte Aufgabenverteilung. 29 Pollirer, Datenschutz 6. 2324 Kapitel 2 - Grundlagen Betroffener Betroffener ist "jede vom Auftraggeber (Z 4) verschiedene natürliche oder juristische Person oder Personengemeinschaft, deren Daten verwendet (Z 8) werden;" Die Rechte des Betroffenen beinhalten ein Recht auf Richtigstellung falsch erhobener oder nicht mehr aktueller Daten, dem Widerspruchsrecht gegenüber der Verwendung und dem Recht auf Löschung der verwendeten Daten. Voraussetzung hierfür ist natürlich überhaupt Kenntnis der Datenverwendung zu erlangen. Hierzu wird dem Betroffenen ein Recht auf Auskunft zu Teil, mit welchem er ermitteln kann, ob eine unrechtmäßige Verwendung stattgefunden hat. Zu erwähnen ist an dieser Stelle, dass Österreich eines der wenigen Länder der EU ist, welche natürliche und juristische Personen aus datenschutzrechtlicher Sicht gleich behandeln. Ob dies nach einer möglichen unionsweiten Vereinheitlichung durch eine in nicht mehr allzu weiter Ferne liegenden Neufassung der Datenschutzgrundverordnung der Europäischen Kommission Bestand haben wird, ist allerdings fraglich Datenverkehr mit dem Ausland Die Bedingungen des Verhältnisses zu einem Cloud-Anbieter eines Drittstaates werden durch 12 ivm 13 DSG 2000 geregelt. Daraus folgt, dass Vertragsstaaten des EWR grundsätzlich keiner Genehmigungspflicht nach 13 DSG 2000 unterliegen. Gleiches gilt für den Datenverkehr mit Empfängern in Drittstaaten mit angemessenem Datenschutz30. Ob ein angemessenes Datenschutzniveau vorliegt, wird nach 12 Abs 2 durch Verordnung des Bundeskanzlers festgestellt. Darüber hinaus beinhalten die 12 Abs 3 und Abs 4 Sonderfälle unter denen die Genehmigungspflicht entfällt. Am endete die Begutachtungsfrist für die Datenschutz-Angemessenheitsverordnung-Novelle. Nach diesem Entwurf sind Andorra, Argentinien, die Färöer Inseln, Guernsey, die Insel Man, Jersey, die Schweiz und Uruguay von der Einholung einer Genehmigung durch die Datenschutzkommission (DSK) befreit. Für Israel, Kanada und die USA gilt dies unter bestimmten 30 Pollirer, Datenschutz25 Kapitel 2 - Grundlagen Voraussetzungen.31 Für die Übermittlung und Überlassung von Daten in alle anderen Drittstaaten ist eine Genehmigung bei der Datenschutzkommission einzuholen, welche unter anderem davon abhängt, ob für den konkreten Datenverkehr angemessener Datenschutz besteht oder der Auftraggeber durch vertragliche Abreden glaubhaft machen kann, dass die schutzwürdigen Geheimhaltungsinteressen der vom geplanten Datenverkehr betroffenen, gewahrt werden Nationale Ebene - Das Telekommunikationsgesetz (TKG 2003) Das Telekommunikationsgesetz soll die Rechtsnormen des DSG 2000 ergänzen und wirkt im Bereich der Verarbeitung personenbezogener Daten in Verbindung mit öffentlichen Kommunikationsnetzen Rahmenbedingungen für den als lex specialis. Hier werden die Betrieb öffentlicher Kommunikationsnetze festgelegt. Neben verpflichtenden Maßnahmen zur Datensicherheit werden den Betreibern solcher Netze Pflichten zur Auskunft, Information und beim Umgang mit Sicherheitsverletzungen auferlegt. Inhaltlich wird zwischen Stammdaten, Vorratsdaten, Verkehrsdaten, Standortdaten, und Inhaltsdaten unterschieden. Letztere drei sind durch das Telekommunikationsgeheimnis geschützt. Im Falle von Vorratsdaten treffen den Betreiber von Kommunikationsnetzen neben den oben bereits erwähnten Verpflichtungen, die bereits aus 14 DSG 2000 resultieren, zusätzliche Pflichten, insbesondere sicher zu stellen, dass ein Zugang zu Vorratsdaten nur auf Basis des Vier-Augen-Prinzips durch autorisierte Personen stattfindet und dieser Zugriff revisionssicher bei der Datenschutzkommission protokolliert wird. Der Gesetzgeber verankert allerdings die Möglichkeit des staatlichen Zugriffs auf Vorratsdaten indem er, durch 94 TKG 2003, die Betreiber von Telekommunikationsnetzen dazu verpflichtet, Infrastruktur und Personal, zur Erhebung und Verarbeitung von Datensätzen für staatliche Stellen bereit zu stellen _2_ html ( ). 32 ( ). 2526 Kapitel 2 - Grundlagen Europäische Ebene Primärrechtlich wird bereits ein Grundrecht auf Datenschutz durch Art 16 Abs 1 AEUV und Art 8 GRC auf europäischer Ebene festgelegt, welches durch den Schutz der Privatsphäre in Art 7 GRC und Art 8 EMRK gestützt wird. 33 Konkretisiert wird dieses Grundrecht durch die Datenschutzrechtlichen Bestimmungen der RL 95/46/EG, welche in innerstaatliches Recht umgesetzt wurde und möglicherweise in nicht allzu ferner Zukunft durch die Datenschutzgrundverordnung abgelöst wird. Weitere wichtige Erkenntnisse gehen von der Rechtsprechung europäischer Verfassungsgerichte aus. Hier ist insbesondere das vom deutschen Bundesverfassungsgericht im Jahr 1983 entwickelte Recht auf informationelle Selbstbestimmung, welches signifikanten Einfluss auf die Entstehung des europäischen Datenschutzes hatte, hervorzuheben Die Richtlinie 95/46/EG Die Richtlinie 95/46/EG ( EU-Datenschutzrichtlinie ) soll innerhalb des europäischen Binnenmarktes Hindernisse bei der grenzüberschreitenden Datenverarbeitung beseitigen. Wegen des schnellen technischen Fortschritts und der unterschiedlichen Umsetzung der Richtlinie aus dem Jahr 1995 in den 27 Mitgliedstaaten besteht nun Verbesserungsbedarf, um eine geplante Harmonisierung zu gewährleisten. So erklärt beispielsweise Google in einer Stellungnahme: Die sechzehn Jahre alte EU-Richtlinie 95/46 zum Datenschutz sei in einzelnen Mitgliedsländern so unterschiedlich umgesetzt, dass ein Cloud-Anbieter sich mit 27 Vorschriften gründlich beschäftigen müsse. Dies führe sogar zu unterschiedlichen Ansichten der jeweiligen Datenschutzbehörden, etwa bezüglich des Safe-Harbor-Abkommens mit den USA von Lewinski, Europäisierung des Datenschutzrechts, DuD 8 (2012) Seeger, To cloud or not to cloud, ix 11 (2011)27 Kapitel 2 - Grundlagen Anknüpfungspunkte Anwendbarkeit des EU-Datenschutzrechts Hat der Cloud Service Provider (CSP) seinen Sitz in der Europäischen Union oder im Europäischen Wirtschaftsraum, fallen seine Leistungen, die er anbietet, unter die europäischen Datenschutzanforderungen. Dies gilt auch, wenn der CSP eines Drittstaates Auftragsdatenverarbeiter für ein europäisches Unternehmen ist oder physische Rechen- oder Speicherkapazität in einem EU-Mitgliedstaat nutzt Ein Gesetzesentwurf für die Reform des EU-Datenschutzes - Die Datenschutzgrundverordnung Die Europäische Kommission hat wegen des bestehenden Verbesserungsbedarfs am eine umfassende Reform des EU Datenschutzrechts vorgeschlagen.36 Am wurde nun ein Gesetzesentwurf durch das Europäische Parlament eingebracht, welcher zur Stärkung des Schutzes von personenbezogenen Daten beitragen soll. Weiter soll das neue rechtliche Rahmenwerk Wirtschaftswachstum, Innovation37 und Beschäftigungsniveau fördern. Neben der Stärkung der Nutzerrechte durch Vorgabe klar und eindeutiger Vertragsklauseln gegenüber Unternehmen, der Förderung von Anonymisierung und Pseudonymisierung, der Erweiterung des Anwendungsbereichs des EU-Rechts auf Sachverhalte mit Drittlandbezug, bei denen es schon genügt, dass die Dienstleistung eines Unternehmens auf das Anbieten in der EU abzielt, soll auch mit Hilfe der Errichtung einer Europäischen Datenschutzagentur, welche mit Weisungsbefugnis gegenüber inländischen Datenschutzbehörden ausgestattet sein wird, eine einheitliche Anwendung des EU-Datenschutzrechts gewährleistet werden.38 Viviane Reding, die für die Justiz zuständige Vizepräsidentin der Europäischen Kommission, geht von einem Wettbewerbsvorteil durch Datenschutz aus: "Nur wenn die Verbraucher darauf vertrauen können, dass ihre Daten gut geschützt sind, werden sie sie Unternehmen und Behörden weiterhin anvertrauen, online einkaufen und neue 35 Marnau/Schlehahn, Cloud Computing und Safe Harbor, DuD 5 (2011) Europäische Kommission, MEMO/12/41 (2012). 37 Kritisch dazu vgl. von Lewinski, Europäisierung des Datenschutzrechts, DuD 8 (2012) Europäische Kommission, MEMO/13/4 (2013). 2728 Kapitel 2 - Grundlagen Online-Dienste ausprobieren."39 Durch die Vorschläge der Kommission, die damit verbundene Vereinheitlichung des Rechts selbst und der Schaffung einer zuständigen, zentralen Datenschutzbehörde, sollen jährlich etwa 2,3 Milliarden Euro eingespart werden können.40 Dies scheint ein guter Ausgangspunkt für die längst fälligen Neuerungen des Datenschutzes, um auf den schnellen Wandel des Informationszeitalters, im wirtschaftlichen Bereich, zu reagieren 41 und damit durch ganzheitliche Regelungen nationale Einzelvorschriften obsolet zu machen.42 Kritiker beklagen jedoch den zu starken Einfluss von Lobbyisten, der seinen Ausdruck darin findet, dass Abgeordnete Datenschutzgesetze direkt aus Lobbypapieren der Handelsplattformen Amazon oder ebay abgeschrieben haben sollen. 43 Dix, geht noch weiter und bezeichnet die letztendliche Entscheidungsbefugnis der Kommission über Datenschutzstandards, welche durch die Datenschutzgrundverordnung eingeführt wird, als nicht rechtskonform im Hinblick auf sowohl die Europäische Grundrechte Charta, als auch auf den Vertrag von Lissabon, da diese Kompetenz seines Erachtens einem unabhängigen Datenschutzausschuss zustehen sollte.44 Zusätzlich bleibt abzuwarten, ob die Mitgliedsstaaten weitere Kompetenzeinschnitte im Wirkungskreis der öffentlichen Verwaltungen, insbesondere im Gesundheitswesen und im Fiskalwesen mittragen werden, da besonders in diesem Bereich noch sensible Unterschiede bestehen Klaus Dietzel, Wir wollen ein Google aus Europa, acquisa 56 (2012) 66. Klaus Dietzel, Wir wollen ein Google aus Europa, acquisa 56 (2012) 67. Kritisch dazu vgl. Biedermann, Zugriff aufs Wolkerl, Industriemagazin 5 (2013) 60. Rogall-Grothe, Ein neues Datenschutzrecht für Europa, Zeitschrift für Rechtspolitik 7 (2012) 193. Biedermann, Zugriff aufs Wolkerl, Industriemagazin 5 (2013) 59. Dix, Persönlichkeist- und Datenschutz im Internet - Anforderungen und Grenzen einer Regulierung, DuD 1 (2013)29 Kapitel 2 - Grundlagen Internationale Ebene Verhältnis zu Drittländern im Allgemeinen Auf internationaler Ebene besteht bezüglich des Cloud Computing bisher keine flächendeckende Regelungsmaterie, welche im Bereich Datenschutz angemessene Standards vorschreibt. Es bestehen daher lediglich zwischenstaatliche Verträge in bilateraler oder auch multilateraler Form. Als solche sind die Europäischen Rechtsnormen EMRK (Europäische Menschenrechtskonvention), das Übereinkommen über Computerkriminalität der EU und das Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten hervorzuheben. An dieser Stelle ist auch auf die Internationale Datenschutzkonferenz hinzuweisen, die zuletzt im Oktober 2012 in Urugay tagte und unter anderem Datenschutz bezüglich neuer Technologien zum Thema hatte.45 Zwar haben die dort gefassten Beschlüsse nur empfehlenden Charakter, jedoch wird durch diese verdeutlicht, dass ein Problembewusstsein im Bezug auf die Problematik, die Cloud Computing mit sich bringt, vorhanden ist. Gefordert wurde unter anderem mehr Datensicherheit, Transparenz und erhöhte Kontrollpflichten von Unternehmen und Behörden bei der Auslagerung von personenbezogenen Daten.46 Für die Anwendung europäischen Datenschutzrechts bei internationalen Sachverhalten verlangt die Europäische Kommission jedenfalls ein angemessenes Schutzniveau im jeweiligen Drittland. Dieses geforderte Schutzniveau umfasst insbesondere auch Betroffenenrechte wie sie in Art 25 RL 95/46 EC vorgeschrieben sind Reimer, DUD REPORT, DuD 1 (2013) Reimer, DuD 1 (2013) RL 95/46/EG der Europäischen Kommission, (1995). 2930 Kapitel 2 - Grundlagen Verhältnis der Europäischen Union zu den USA Seit dem 26. Juli 2000 besteht eine Vereinbarung zwischen der EU und dem Handelsministerium (Department of Commerce) der USA zu den Grundsätzen des sogenannten sicheren Hafens (Safe Harbor). 48 Diese Vereinbarung soll ein angemessenes Datenschutzniveau bei US-amerikanischen Unternehmen sicherstellen, indem sich Unternehmen auf die in der Safe Harbor Vereinbarung vorgegebenen Grundsätze, verpflichten. Durch die Verpflichtung und eine Meldung an die Federal Trade Commission (FTC) können sich die Unternehmen selbst zertifizieren. So zertifizierte US-Unternehmen schaffen damit grundsätzlich die Voraussetzungen, dass eine Übermittlung personenbezogener Daten aus Europa an sie unter denselben Bedingungen möglich ist, wie Übermittlungen innerhalb des europäischen Wirtschaftsraumes (EU/EWR). Das US-Handelsministerium veröffentlicht eine Safe Harbor Liste aller zertifizierten Unternehmen im Internet Entscheidung 2000/520/EG der Kommission gemäß der Richtlinie 95/46/EG (2000) Beschluss der obersten Aufsichtsbehörden für den Datenschutz, Prüfung der Selbst-Zertifizierung des Datenimporteurs nach dem Safe Harbor-Abkommen durch das Daten exportierende Unternehmen, (2010). 3031 Kapitel 3 Datenschutz im Internationalen Spannungsfeld der Rechtsordnungen Kapitel 3 Datenschutz im Internationalen Spannungsfeld der Rechtsordnungen 3.1 Internationaler Datenschutz Auf internationaler Ebene bestehen immanente Unterschiede in der Ausprägung des Schutzes personenbezogener Daten, was einerseits auf eine langjährige Überwachungstradition, wie sie in China oder verschiedenen arabischen Staaten vorherrscht, und andererseits auf einschneidende Geschehnisse und Entwicklungen wie den Terroranschlägen des 11. Septembers in den USA, zurückzuführen ist. Dabei werden kategorisch die Ängste und Informationsasymmetrien der Bürger genutzt, um die Entstehung eines adäquaten Datenschutzniveaus zu verhindern oder ein solches bestehendes weiter aufzuweichen. 3.2 Datenschutzrechtliche Problemstellungen im Bezug zu Drittstaaaten Der US Patriot Act Auf US Amerikanischer Ebene wurde im Jahr 2001 der Patriot-Act (Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act of 2001) verabschiedet, welcher eine wirksame Terrorismusbekämpfung durch gravierende Einschränkungen der Persönlichkeitsrechte ermöglichen soll. Teilweise relativiert, auf Grund verfassungswidriger Vorschriften, wurde der Patriot Act welcher ursprünglich nur vorübergehend bestehen sollte bis 2015 von der Regierung unter Präsident Obama, verlängert. Inhaltlich gestattet es diese Rechtsnorm den Strafverfolgungsbehörden, wie dem FBI oder der NSA, auf 3132 Kapitel 3 Datenschutz im Internationalen Spannungsfeld der Rechtsordnungen Daten von Personen zuzugreifen, welche unter Terrorverdacht stehen. Dabei handelt es sich nicht ausschließlich um Daten, welche in den USA verarbeitet werden, sondern es genügt als Anknüpfungspunkt ein Firmensitz des jeweiligen Unternehmens, in den Vereinigten Staaten. So können selbst Daten, die auf europäischen Servern gespeichert sind, ausgekundschaftet werden, obwohl es sich beim CSP lediglich um ein rechtlich selbstständiges europäisches Tochterunternehmen handelt. 50 Sogenannte gagging orders verbieten es Unternehmen darüber hinaus, Ihre Kunden über Zugriffe auf personenbezogene Daten zu informieren. Inzwischen weisen auch international tätige CSP, wie bspw. Microsoft U.K, darauf hin, dass Kunden zwar informiert werden, soweit dies möglich ist, jedoch hierfür keine Garantie besteht, soweit eine gagging order oder ein NSL (National Security Letter) dies verbietet. 51 Microsoft cannot provide those guarantees. Neither can any other company.52 Die Anbieter Dell und Apple sind hingegen nicht zu einer eindeutigen Stellungnahme bezüglich ihres Datenschutzniveaus bereit.53 Apple, "kommentiert dies nicht im Detail" und Dell sieht "keinerlei Anlass für eine Stellungnahme gegeben, da das Unternehmen kein Rechenzentrum in Deutschland betreibt."54 Andere Branchenriesen wie Salesforce, IBM, Amazon und Google, blieben hingegen jegliche Antwort schuldig.55 Besorgniserregend könnte es auch zu werten sein, dass inzwischen die Herstellung und Vermarktung von Datenbanklösungen zur Ausforschung von personenbezogenen Daten auf der Agenda vieler IT Konzerne einen erhöhten Stellenwert genießt. Anbieter wie Siemens, Microsoft oder SAP entwickeln hier Tools, in erster Linie für Sicherheitsbehörden, aber möglicherweise auch für den kommerziellen Einsatz, um es ungeschulten Anwendern zu ermöglichen, Beweise von Netzwerken und PCs, welche ausgeschaltet werden, zu sichern Hansen, Vertraulichkeit und Integrität von Daten und IT-Systemen im Cloud-Zeitalter, DuD 6 (2012) 410. kritisch dazu vgl. Biedermann, Zugriff aufs Wolkerl, Industriemagazin 5 (2013) Whittaker, Microsoft admits Patriot Act can access EU-based cloud data, ( ). 52 Whittaker, ( ). 53 ( ). 54 ( ). 55 ( ). 56 Kotteder, Die wissen alles über Sie (2011)33 Kapitel 3 Datenschutz im Internationalen Spannungsfeld der Rechtsordnungen FISA Der Foreign Intelligence Surveillance Act Der Foreign Intelligence Surveillance Act bildet die Rechtsgrundlage für das Ausspähen von Nicht-US-Bürgern außerhalb der USA. Durch den FISA werden explizit auch Remote Computing Services, also auch Clouds, erfasst. Diese Institution wird seit der NSA-Ausspähaffäre eher kritisch betrachtet, da Zugriffe auf Daten zwar durch geheime Gerichte bewilligt wurden, jedoch unklar ist, inwieweit diese Ausmaß und Inhalt der Zugriffe im jeweiligen Fall überschauen können Weitere Beispiele für datenschutzrechtlich problematische Zugriffe durch ausländische Behörden Nicht nur die USA haben die nötigen nationalen Rechtsgrundlagen geschaffen, um auf Datenbestände aus Sicherheitsaspekten heraus einzusehen. So bestehen selbst im Bereich des EWR mit dem britischen Regulation of Investigatory Powers Act (RIPA) und dem schwedischen FRA-Gesetz weitere äußerst kritisch, bezüglich des Datenschutzes zu sehende Instrumente zur Informationsgewinnung.57 Inhaltlich sind bei diesen Gesetzesgrundlagen die Pflicht zur Herausgabe von Kryptoschlüsseln unter Androhung von Haftstrafen, im Falle des RIPA, und die anlasslose Überwachung von Kommunikationsmitteln und Weitergabe der dadurch gewonnenen Erkenntnisse durch die FRA, auch an Drittstaaten, hervorzuheben. 58 Durch solche Maßnahmen wird das Grundrecht auf Datenschutz Einzelner mehr und mehr ausgehöhlt bis letztendlich nur eine leer Hülle zurückbleibt. Daher scheint es nicht mehr verwunderlich, wenn die britische Tageszeitung Guardian über ein im Jahre 1997 geschlossenes Geheimabkommen zwischen der Europäischen Union und den UKASA-Staaten59 berichtet, welches die Zurverfügungstellung von Infrastruktur zur flächendeckenden Überwachung von Telekommunikation in der EU zum Gegenstand hat Hansen, Datenschutz im Cloud Computing, in Borges/Schwenk, Daten- und Identitätsschutz in Cloud Computing, E-Government und E-Commerce (2012) Hansen, Datenschutz bereits 1948 geschlossener Geheimpakt zwischen den USA und Großbritannien zur Informationsgewinnung durch Lauschaktionen welchem sich ferner Australien, Neuseeland und Kanada angeschlossen haben 60 Kotteder, Die34 Kapitel 3 Datenschutz im Internationalen Spannungsfeld der Rechtsordnungen Praktisches Instrument hierzu bildet die umstrittene Vorratsdatenspeicherung, welche durch eine EU-Richtlinie, auf drängen der Versammlung der Innenminister, abseits vom Einfluss nationaler Parlamente auf europäischer Ebene beschlossen wurde und erst nachträglich durch nationale Gesetzgeber legitimiert wurde. Kritiker gehen davon aus, dass eine Initiative auf nationaler Ebene wohl kaum eine Mehrheit gefunden hätte und sprechen von einem "Trick mit der EU-Verordnung". 61 Datenschutzrechtlich ist eine anlasslose Speicherung von Verbindungsdaten wie sie durch die Vorratsdatenspeicherung erfolgte, als nicht zulässig zu bewerten und ist nicht nur einfach-gesetzlich höchst zweifelhaft, sondern verstößt unter anderem auch gegen das Grundrecht auf Schutz Personenbezogener Daten nach Art. 8 GRC, als auch gegen das Menschenrecht in Art. 8 EMRK auf Achtung des Privat- und Familienlebens. Demzufolge ist es nur konsequent, dass die Vorratsdatenspeicherung inzwischen von nationalen Verfassungsgerichten auf schwerwiegende Straftaten und auf ein richterlich genehmigtes, transparentes Verfahren, beschränkt wurde Das Safe Harbor Abkommen Seit dem 26. Juli 2000 besteht eine Vereinbarung zwischen der EU und dem Handelsministerium (Department of Commerce) der USA zu den Grundsätzen des sicheren Hafens (Safe Harbor). 63 Ziel dieses Abkommens ist es US-Amerkanischen Unternehmen die Möglichkeit zu geben, durch Zertifikate ein der Europäischen Union angemessenes Datenschutzniveau nachzuweisen und somit die Voraussetzungen für die Speicherung oder Verarbeitung personenbezogener Daten europäischer Auftraggeber zu gewährleisten. Dies ist notwendig, da durch die oben erwähnten Gesetzesnormen (siehe und 3.2.2) zu stark in Persönlichkeitsrechte, insbesondere in das Recht auf Privatsphäre eingegriffen wird und somit ein angemessenes Schutzniveau in den USA nicht erreicht werden kann. Als zertifizierende Stelle dient die FTC, die Federal Trade Commission, welche die Unternehmen, die sich den Grundsätzen des Safe Harbor-Abkommens unterwerfen in eine Liste der zertifizierten Unternehmen aufnimmt. 61 Kotteder, Die Kotteder, Die Entscheidung 2000/520/EG der Kommission gemäß der Richtlinie 95/46/EG (2000) 7. 3435 Kapitel 3 Datenschutz im Internationalen Spannungsfeld der Rechtsordnungen Problemstellungen im Anwendungsbereich des Safe HarborAbkommens Unzureichender Datenschutz Die Safe Harbor-Lösung mag auf den ersten Blick eine Möglichkeit bieten ein gewisses Maß an Datenschutz zu gewährleisten, jedoch darf hierbei nicht übersehen werden, dass es sich in erster Linie um eine Selbstzertifizierung durch die Unternehmen handelt und somit die relevanten Schutzmaßnahmen überprüft werden sollten, was selten zu gewährleisten ist. Eine Alternative sind sogenannte SAS-70-Typ-II-Zertifikate wie sie von Google oder Salesforce, zwei der führenden CSP, verwendet werden, wobei hier das jeweilige Datenschutzniveau durch unabhängige Dritte kontrolliert wird.64 Auch Cloud-Verträge, welche sich an den Safe Harbor-Grundsätzen orientieren und die dem Kunden möglicherweise ein Gefühl von Sicherheit bezüglich seiner Daten geben, stellen keine Garantie für einen zuverlässigen Umgang mit fremden Daten dar. Durch ihre lediglich zivilrechtliche Wirkung kann zwar unter Umständen der Provider der Daten unsachgemäß verarbeitet hat, auf Schadensersatz in Anspruch genommen werden, allerdings wird das Geheimhaltungsinteresse sensibler Daten meist höher gewichtet sein als eine mögliche Entschädigungszahlung. Des weiteren wird eine staatliche Intervention unter dem Schutz des Patriot Act, wie durch das Federal Bureau of Investigation, oftmals, wie in erwähnt, mangels Informationsfluss, auf Grund von Schweigegeboten, nicht einmal entdeckt werden. Darüber hinaus werden die Cloud-Anbieter selbst kein Datenschutzrechtsverletzungen Interesse publik zu daran machen und haben, sich eventuelle somit einen Wettbewerbsnachteil gegenüber anderen Anbietern, bei denen ein Datenleck nicht, jedenfalls zumindest noch nicht, bekannt wurde, zuzufügen. 64 Wieduwilt, Zwischen Wolkenhimmel und Haftungshölle, (2010). 3536 Kapitel 3 Datenschutz im Internationalen Spannungsfeld der Rechtsordnungen Mangelnde Durchsetzung der Safe Harbor-Grundsätze Für die Durchsetzung der Safe Harbor-Grundsätze in den USA ist die Federal Trade Commission zuständig, welche an Hand in der Vergangenheit gelegener Ereignisse jedoch nicht sehr effektiv erscheint. So wurde in einer Studie belegt, dass lediglich 54 von 1597 Unternehmen, welche eine gültige Zertifizierung vorgaben, die Safe Harbor Anforderungen im Punkt Durchsetzung zumindest formal erfüllten 65. In der Praxis drohen Unternehmen bei einem Verstoß allenfalls marginale Folgen von Seiten der FTC. Verstöße gegen die Anordnungen und Vorschriften der FTC können mit einer Geldbuße von bis zu ,- USD geahndet werden, wobei jeder weitere Tag mit Nichtbeachtung einen weiteren strafbewehrten Verstoß darstellt Mögliche Alternativen Service Level Agreements und Binding Corporate Rules In sogenannten Service Level Agreements wird das Verhältnis des Kunden zum CSP (siehe Abb. 6), insbesondere Leistungsumfang, Leistungsort, Mindestsicherheitsstandards sowie die Art der Leistung individuell vertraglich ausbedingt, um die Sicherheit der eigenen Daten zumindest juristisch abzusichern. Im Falle von Binding Corporate Rules (BCR) unterwerfen sich Unternehmen selbst verbindlichen Unternehmensregeln, wodurch ein angemessenes Schutzniveau auf Basis des Art. 26 Abs. 2 EUDSRL per Vertrag hergestellt werden soll. 67 Im Falle eines Verstoßes gegen diese Verpflichtung zur Einhaltung der BCRs, muss ein von der Unternehmensgruppe im Vorhinein benanntes Unternehmen für alle verbundenen Unternehmen der Gruppe einstehen und für den gegebenenfalls entstandenen Schaden haften. Allerdings werden immer mehr Stimmen laut, die davon ausgehen, dass weder die Privatautonomie, noch die Selbstregulierung des Marktes durch die 65 Connolly, Galexia Studie: Safe Harbor Fact or Fiction, (2008) Marnau/Schlehahn, DuD 5 (2011) Weichert, DuD 10 (2010)37 Kapitel 3 Datenschutz im Internationalen Spannungsfeld der Rechtsordnungen unsichtbare Hand, noch unverbindliche Verhaltenskodizes wie die Netiquette, zur Sicherung des Rechts auf informationelle Selbstbestimmung, beziehungsweise des Grundrechts auf Datenschutz, beitragen.68 Abbildung 6: Beziehung zwischen den Akteuren der Cloud unter Verwendung von Service Level Agreements Quelle: Königs, Hans-Peter, IT-Risikomanagement mit System, Springer Wiesbaden 2013, S Dix, DuD 1 (2013)38 Kapitel 3 Datenschutz im Internationalen Spannungsfeld der Rechtsordnungen Standardvertragsklauseln für die Übermittlung personenbezogener Daten Bei Standardvertragsklauseln handelt es sich um von der Europäischen Kommission im Jahre 2001 entwickelte vorformulierte Verträge für die Übermittlung personenbezogener Daten an Auftragsverarbeiter in Drittländern, welche zum Ziel hatten, die inzwischen unzureichend gewordenen gesetzlichen Mindeststandards der RL 95/46/EG zu ergänzen und zu präzisieren. Seit Mai 2010 gelten neue Standardvertragsklauseln. Diese werden als gesonderte Vereinbarung neben dem zu Grunde liegenden Vertrag über die Erbringung der eigentlichen Leistung geschlossen. Sie regeln Rechte und Pflichten der Parteien beim Umgang mit personenbezogenen Daten und müssen grundsätzlich unverändert übernommen werden. Im Anhang zu den Klauseln befinden sich zwei Formulare, in denen Einzelheiten zu den Parteien, den exportierten Daten, der Datenverarbeitung und den Sicherheitsvorkehrungen beim Importeur einzutragen sind Helbing, Compliance im Internationalen Datentransfer, Risk, Compliance & Audit, 3 (2010)39 Kapitel 4 - Problemstellungen für die öffentliche Verwaltung in Österreich Kapitel 4 - Problemstellungen für die öffentliche Verwaltung in Österreich 4.1 Datensicherheit und Datenschutz Der Cloud Security Alliance (CSA) zufolge bestehen die größten Gefahren für die Datensicherheit im Missbrauch der Cloud Infrastruktur für das Hosting von Malware, in unsicheren Benutzerschnittstellen, böswilligen Insidern und auch in geteilten Technologien, dem sogenannten Resourcenpooling, wobei für unterschiedliche Cloud Lösungen ein und dieselbe physische Ressource verwendet wird. 70 Darüber hinaus spielen Datenverlust und der Diebstahl von Benutzerkonten eine signifikante Rolle.71 Um alle Gefahren beim Einsatz von Cloud Services zu berücksichtigen, müssen Anwender die Sicherheitsvorkehrungen der Anbieter analysieren und in die eigene Betrachtung miteinbeziehen.72 Findet diese Analyse des Risikos überhaupt nicht oder nicht in der nötigen Form statt, weil durch den Cloud Provider nicht alle benötigten Informationen bereitgestellt werden, bleibt ein unschätzbares Risiko für die Datensicherheit eines Unternehmens oder einer Behörde.73 Es bestehen also grundsätzlich ähnliche Risiken im Bereich Datensicherheit wie in herkömmlichen IT-Infrastrukturen, jedoch gehen diese nun nicht mehr einzig von der eigenen Behörde, sondern auch vom beauftragten Dienstleister aus. Schwächen der bisher angebotenen Konzepte werden einerseits in der Systematik der Clouds und andererseits im Internet begründet. Durch IT-Virtualisierung welche beim Cloud Computing angewendet wird, werden Daten und Applikationen irgendwo prozessiert. Gerade dieses Irgendwo bildet einen Unsicherheitsfaktor, welcher für Unternehmen wie auch Behörden untragbar ist. 74 Für Administratoren wird die hauseigene IT oft zur Gratwanderung, einerseits ein Modell zu entwickeln, welches von den einzelnen Geschäftseinheiten akzeptiert wird und andererseits vorgegebene Hülsbömer, Wie macht man Cloud Computing sicher?, Computerwoche 49 (2012). Hülsbömer, Computerwoche 49 (2012). Hülsbömer, Computerwoche 49 (2012). Hülsbömer, Computerwoche 49 (2012). 74 Scariot, egovernment Computing 2 (2010) 7. 3940 Kapitel 4 - Problemstellungen für die öffentliche Verwaltung in Österreich Sicherheitsziele einzuhalten und somit die Netzwerksicherheit zu gewährleisten. Neben der fehlenden Rechtssicherheit bezüglich des Datenschutzes bei großen CloudDienstleistern mit Anknüpfungspunkten in Drittstaaten, gibt es auch ganz allgemein Reibungspunkte mit dem Datenschutz beim Einsatz virtualisierter IT oder ausgelagerten Daten. Selbst bei der Private Cloud, der Variante mit der höchsten Kontrollmöglichkeit bleiben datenschutzrechtliche Bedenken. So ist es doch denkbar, dass ein Serveradministrator einer Hardwarekomponente, die mehrere Klienten beherbergt, auf Ressourcen zugreifen kann, für die er eigentlich keine Berechtigung hat. Hier könnte nur eine strikte Mandantentrennung und eine gegen Manipulationen abgesicherte Protokollierung jeglicher Zugriffe Abhilfe schaffen. Ob Daten nach Ende der datenschutzrechtlich zulässigen Zeit, beispielsweise bei Entfallen des Zwecks der Erhebung oder bei einem Wechsel des Cloud Service Providers rückstandsfrei gelöscht werden können, nimmt zusätzlich einen wesentlichen Stellenwert ein. Sollte dies nicht gewährleistet sein, entfällt die Interoperabilität zwischen Public Cloud und öffentlicher Verwaltung vermutlich grundsätzlich. Jedenfalls wird die physische Zerstörung der Datenträger als der einzig sichere Weg zur rückstandslosen Beseitigung von Datensätzen angesehen.75 Darüber hinaus wäre beispielsweise die Auslagerung von Gesundheitsdaten des Versicherungswesens, wegen ihrer besonderen Schutzwürdigkeit, problematisch. Die elektronische Gesundheitsakte (ELGA) stellt hierzu das Österreichische Projekt zur optimalen Weiterentwicklung des Gesundheitssystems dar, allerdings fehlen unter anderem noch die nötigen Voraussetzungen zur Protokollierung von Zugriffen und die Einsichtnahme durch den Patienten in solche Protokolle. 76 Zwar gibt es Ansätze von Versicherungen und Krankenkassen über ein Zustimmungsmodell die erforderliche Legitimation für die Verwendung sensibler Daten vom Betroffenen selbst einzuholen, jedoch ist dies insoweit fragwürdig, als dass eine Einwilligung als Rechtsgrundlage ausgeschlossen wäre, sofern zwischen den Betroffenem und der verarbeitenden Stelle ein Abhängigkeitsverhältnis besteht.77 Ob ein solches in diesem Fall vorliegt, ist strittig. Datenschutzbehörden jedenfalls gehen davon aus, dass ein solches im Verhältnis des 75 Moritz, Best Practices der Datenentsorgung, ix, 7 (2013) Pfeiffer/Auer, Herausforderungen bei der Umsetzung der elektronischen Patientenakte und Gesundheitskarte in Österreich (2009) Friedrich, International: EU-Datenschutzrecht soll vereinheitlicht werden, Versicherungswirtschaft 17 (2012)41 Kapitel 4 - Problemstellungen für die öffentliche Verwaltung in Österreich Versichertem zu seinem Versicherer anzunehmen ist. 78 Daher wurde, vorerst, auf eine flächendeckende Einführung der ELGA verzichtet und es den Patienten selbst überlassen, ob diese eine solche Gesundheitskarte wünschen. Kritiker befürchten darüber hinaus durch zentrale Einsichtmöglichkeiten durch Leistungsbewilligungen oder Speicherung die von Krankenkassen auch höhere Gesundheitsdaten und Einschränkungen von Beitragssätze für Patienten mit Risikogenetik.79 Das 2003 in Deutschland gestartete Projekt ELENA (Elektronischer Entgeltnachweis), darf in diesem Behördendiensten Zusammenhang herangezogen als Negativbeispiel werden, da nicht zur zuletzt Umsetzung von auf von Grund datenschutzrechtlichen Bedenken, die Einführung des neuen IT-basierten Systems, zunächst zwei mal verschoben und dann 2011 gänzlich eingestellt wurde. 80 Im Detail waren die übermittelten Daten zu umfangreich und gingen daher über den Zweck der Erhebung hinaus. In Kombination mit dem Fehlen einer zureichenden Verschlüsselungstechnik war das Unterfangen ELENA in dieser Form nicht mehr tragbar. Mit der Beendigung des Projekts mussten alle bereits erhobenen Daten gelöscht und die Kryptographischen Schlüssel zur Einsichtnahme zerstört werden Friedrich, Versicherungswirtschaft 17 (2012) Kotteder, Die Mertens, Schwierigkeiten mit IT-Projekten der Öffentlichen Verwaltung Neuere Entwicklungen, Informatik Spektrum 35 (2012) Mertens, Informatik Spektrum 35 (2012)42 Kapitel 4 - Problemstellungen für die öffentliche Verwaltung in Österreich 4.2 Mobile Endgeräte Durch die fortschreitende technische Entwicklung im Bereich mobiler Endgeräte sind heute schon eine Vielzahl solcher Geräte im Einsatz. Da diese über durchaus beschränkte Ressourcen in den Bereichen Speicher, Grafik, Prozessor und RAM, verglichen mit einem Personal Computer, aufweisen, werden eine Vielzahl von Anwendungen virtualisiert und somit in die Cloud ausgelagert. Durch die steigende Benutzung im privaten Bereich sind Mitarbeiter verleitet ihr Smartphone und/oder Tablet und die damit verbundenen durchaus praktischen Funktionen auch im beruflichen Umfeld einzusetzen, ohne dabei Bedacht auf mögliche Gefahren für ihre eigene und die Datensicherheit ihres Arbeitgebers, zu nehmen. Anbieter wie Dropbox, Google, oder Microsoft Live sind nur einige der gängigen Anbieter, welche jedoch wie in bereits erwähnt nur zweifelhaften Datenschutz und Datensicherheit gewährleisten. Auch Datenschutzexperten halten den Einsatz mobiler Endgeräte wie Smartphones oder Tablets für bedenklich, da bei diesen, standardmäßig Daten wie Telefonbücher oder -Kontakte unverschlüsselt auf Clouds außerhalb des EWR ausgelagert werden.82 Der Bequemlichkeit, welche die Cloud-Anbindung dem Nutzer bietet, sei gegenübergestellt, dass die Cloud-Nutzung, hat man erst mal ein Konto eingerichtet, oftmals eine dauerhafte ist, da sich eine solche Nutzeridentität, ohne zurücksetzen des Endgeräts nur schwerlich, im Sinne eines sogenannten Walled Garden, wieder abkoppeln lässt.83 Darüber hinaus, ist es nach derzeitigem Stand relativ einfach auf Mobilgeräte, ohne Wissen des Eigentümers, zuzugreifen, da die Übertragung meist über Drahtlosverbindungen wie Bluetooth, Wireless-LAN oder das als unsicher eingestufte GSM/UMTS abläuft. Oftmals veraltete Verschlüsselungsmechanismen dieser Übertragungstechniken öffnen Angreifern Tür und Tor zur internen IT. Auch Schadsoftware (Malware) wie Trojaner, die oftmals durch gefälschte Softwareupdates auf das Endgerät gelangen, stellen eine erhebliche Bedrohung dar. Allein für das Betriebssystem Google Android, welches zu den gängigsten gehört, wurden im dritten Quartal 2012 über verschiedene Sicherheitssoftwareanbieter F-Secure entdeckt. Schadsoftware-Samples durch den Hansen, Datenschutz Kossel/Weber, Raus aus der Cloud-Falle, c't 11 (2013) Reimer, DuD 1 (2013)43 Kapitel 4 - Problemstellungen für die öffentliche Verwaltung in Österreich Nicht zuletzt sind es vom Benutzer als Standardprogramme angesehene Applikationen auf dem mobilen Endgerät, welche ihnen schon vom Desktop PC bekannt sind, die Probleme bereiten. Die Schwachstellen entstehen durch die Implementierung dieser Programme für Mobile Betriebssysteme wie Google Android, BlackBerry 10 OS oder Firefox OS, weil die Sicherheitsaspekte dieser Plattformen derzeit noch nicht ausgereift sind oder der Nutzer auf solche aus Unkenntnis verzichtet. Daher ist es verwunderlich, dass trotzdem der Trend in Unternehmen fortbesteht, das sogenannte Bring Your Own Device (BYOD) zu tolerieren oder gar zu fördern, obwohl erhebliche Sicherheitsbedenken bestehen.85 Hier hat die Informationstechnik meist noch Nachholbedarf die Sicherheit im Unternehmen bzw. innerhalb der Behörde zu gewährleisten. Technisch möglich wäre dies inzwischen durch die virtuelle Aufteilung des Tablets oder Smartphones in einen strikt getrennten geschäftlichen und privaten Bereich. 86 Alternativ wäre es auch möglich, eine interne Einheitslösung durch den Arbeitgeber vorzugeben, welche den gewohnten bequemen und praktischen Cloud-Lösungen, die die Angestellten von zu Hause bereits gewohnt sind und auf die sie nicht mehr verzichten wollen, in nichts nachsteht, aber der Sicherheitspolitik des Unternehmens beziehungsweise der Behörde entspricht. 85 Vollmar, Cloud Computing und Consumerization: Handlungsbedarf der IT, Information Management und Consulting Sonderausgabe (2012) Vollmar, Cloud Computing und Consumerization: Handlungsbedarf der IT, Information Management und Consulting Sonderausgabe (2012)44 Kapitel 4 - Problemstellungen für die öffentliche Verwaltung in Österreich 4.3 Mangelnde Umsetzung Eine von Ricoh Europe veröffentlichte europaweite Studie zeigt, dass 52 Prozent der Führungskräfte im öffentlichen Sektor der Meinung sind das Dokumentenmanagement werde durch den Einsatz von Cloud-Technologien erschwert.87 Lediglich 44 Prozent der Arbeitnehmer der Behörden bestätigen, ihre Dokumentenprozesse wären sicher.88 Weiters sind 83 Prozent der Angestellten in diesem Bereich der Meinung, veraltete Arbeitsmethoden hinderten sie daran ihre Effizienz und Effektivität voll auszunutzen. 89 Diese Einschätzung könnte in einer mangelnden Integration des jeweiligen CloudSystems in die Arbeitsstruktur, einer mangelhaften Umsetzung der Cloud-Konzepte oder auch einem Defizit in Sachen Datensicherheit begründet sein. Gerade in letzterem Bereich sehen Experten mögliche Probleme, insbesondere im Schlüsselmanagement, welches diesen zu Folge, den Mitarbeitern zu kompliziert erscheint und dazu führt, dass unter anderem s mit sensiblem Inhalt unverschlüsselt verschickt werden.90 Trotz alledem bleibt Österreich Vorreiter beim Einsatz von Cloud Technologien in der öffentlichen Verwaltung. Dies wird vor allem durch die Auszeichnung des dem Bundesrechenzentrum zuzuordnenden Projekt portal.at mit dem Eurocloud Europe Award deutlich. Dieses bietet Nutzern der öffentlichen Verwaltung Zugang zu über 400 Anwendungen und mehr als 40 Intranet- und Internetportalen ( ). 88 ( ). 89 ( ). 90 Jäger, Compliance durch versiegelte Cloud, Industrie Management 29 (2013) Felser, Eurocloud Europe Award für BRZ, Computerwelt 21 (2012). 4445 Kapitel 4 - Problemstellungen für die öffentliche Verwaltung in Österreich 4.4 Vergaberecht Die öffentliche Hand ist verpflichtet ihre Vorhaben, welche sie nicht selbst durchführt, konsequent nach den Vergaberichtlinien für öffentliche Auftraggeber auszuschreiben. Dies gilt natürlich auch für die Vergabe von Aufträgen an externe Cloud Dienstleister. Hier ist genau zu prüfen unter welchen Umständen von einer Vergabe an den kosteneffizientesten Vergabevorschriften Anbieter zu abgewichen verstoßen. Beim werden Cloud kann, Computing ohne handelt gegen es sich grundsätzlich um eine Dienstleistung, wodurch die Vergabe solcher Leistungen durch die öffentliche Hand unter das BVergG fällt. Des weiteren ist die Qualifikation eines Cloud Dienstes auch als Lieferung möglich, sofern der Cloud Service in Form einer Miete ausgestaltet ist. Auch diese fällt in der Regel unter das Bundesvergabegesetz. Die Erforderlichkeit der Ausschreibung an sich und die Art der Ausschreibung richtet sich nach dem geschätzten Auftragsvolumen. Bei komplexen Cloud Lösungen wird in der Regel ein Verhandlungsverfahren mit Bekanntmachung durchgeführt, da hier das Leistungsbild nicht klar definiert werden kann, was durch die Skalierbarkeit des Cloud Computing oft vorkommen dürfte. Bei dem genannten Verfahren handelt es sich um ein zweistufiges Verfahren, welches sich in die Präqualifikationsphase, welche eine Grobauswahl der Bewerber beinhaltet und in eine Angebotsphase gliedert, in welcher über die eingehenden Angebote entschieden wird.92 Handelt es sich lediglich um standardisierte Cloud-Leistungen, kommen sowohl offene, als auch nicht offene Verfahren in Frage. Der Inhalt des Auftrags und die Kriterien für die Vergabe müssen im Vorhinein festgelegt werden und dürfen nicht zu einer ungerechtfertigten Bevorzugung bestimmter Anbieter führen. Problematisch ist der Ausschluss von Anbietern aus anderen EU-Mitgliedsstaaten, da ein solcher vergaberechtlich grundsätzlich verboten ist und im Einzelfall gerechtfertigt werden muss. Darüber hinaus, ist es im Falle von Cloud Computing wichtig, von den Bietern eine Auflistung ihrer Subunternehmer und Konzernverhältnisse im Angebot aufführen zu lassen, um die oben (siehe 3.3) erwähnten datenschutzrechtlichen Probleme der CSP in Drittstaaten zu verhindern und Anknüpfungspunkte für ausländische Rechtsordnungen zu vermeiden. Andernfalls wäre durch die Vergabe nach dem 92 Schiefer/Blaha, Öffentliche Auftragsvergabe, in Höllwarth (Hg), Leitfaden Cloud Services (2012)46 Kapitel 4 - Problemstellungen für die öffentliche Verwaltung in Österreich Bundesvergabegesetz, in Konsequenz, eine Verletzung des Datenschutzgesetzes denkbar, wenn über den CSP auf schutzwürdige Daten zugegriffen werden könnte. Unklar ist inwieweit Behörden Verwaltungstätigkeiten überhaupt an nicht öffentlichrechtliche Auftragnehmer übergeben dürfen, da zwar laut Verfassungsgerichtshof, der Kernbereich der Verwaltung nicht beliehen, also ausgelagert werden darf, aber eine abschließende Aufzählung der Kernbereiche bisher nicht vorliegt.93 Hilfsfunktionen dürften meines Erachtens jedenfalls ohne Bedenken ausgegliedert werden, solange die Entscheidungsbefugnis von der Behörde selbst wahrgenommen wird. Jedoch besteht die Gefahr, dass speziell bei der Vergabe von Aufträgen, welche auf Cloud-Lösungen bezogen sind, sich die Produkte während der lang dauernden Ausschreibung, zwischenzeitlich, substanziell verändert haben und möglicherweise veraltet sind Langer, Die funktionelle Privatisierung der Sicherheitsvorsorge, (2010) Rüdiger, Der Staat holpert in die Cloud, VDI 23 (2013) 4. 4647 Kapitel 5 - Lösungsansätze Kapitel 5 - Lösungsansätze. 5.1 Die Trusted Cloud Die zukünftige Entwicklung wird in Richtung der Trusted Cloud tendieren, also in Richtung der Cloud des Anbieters, welcher die höchste Sicherheit für Daten und den bestmöglichen Schutz von Betroffenenrechten bietet. Ob ein Dienstleister beispielsweise in Indien oder ein örtlicher Dienstleister insgesamt sicherer ist oder nicht, wird der Kunde in der Regel nicht beantworten können, jedoch bieten lokale Anbieter den Vorteil, dass Rechtsentwicklungen besser vorhersehbar sind als in Drittstaaten.95 Auch wenn die Tiefe der Diskussion über den Patriot Act und die dadurch resultierende Unsicherheit im Bereich Datenschutz umstritten ist und teilweise als überzogen abgetan wird, ist jedenfalls nicht von der Hand zu weisen, dass Unternehmen als auch Behörden im Zweifelsfall die Lösung für sich in Anspruch nehmen werden, welche tendenziell ein geringeres Risiko darstellt. Cloud Computing ist Vertrauenssache und dieses Vertrauen müssen sich die Unternehmen, die solche Dienstleistungen anbieten erst verdienen. Daher ist es nicht verwunderlich, dass im Bereich der öffentlichen Hand meist zaghaft, kleinere Projekte in diesem Bereich durchgeführt werden um Fehlerquellen zu beseitigen und die Funktionalität der CloudSysteme langfristig zu dokumentieren. 95 Kempf, Schere beim Datenschutz schließt sich, Behörden Spiegel 3 (2012). 4748 Kapitel 5 - Lösungsansätze 5.2 Die nationale Cloud Die Dominanz nicht-europäischer Unternehmen im Geschäft mit der "Wolke" stellt eine ernsthafte Bedrohung für die Unabhängigkeit, Kontrolle und Robustheit des Wirtschaftsstandorts der europäischen Staatengemeinschaft dar, da auf Grund der derzeitigen Gesetzeslage in Drittstaaten personenbezogene Daten nicht sicher ausgelagert werden können. IT-Dienstleister müssen daher gewährleisten, dass Daten mit Personenbezug den europäischen Rechtsraum nicht verlassen.96 Auch deutsche Behörden wollen die Vorteile der Cloud-Dienste, ganz nach dem Vorbild des österreichischen Bundesrechenzentrum, zur Steigerung von Effektivität und Senkung ihrer Kosten einsetzen. Bisher sind hier Sicherheitsbedenken noch das größte Hindernis, weswegen derzeit nötigen Sicherheitsstandards erfüllt, eine sogenannte "Bundescloud", welche die beim Bundesamt für Sicherheit in der Informationstechnik (BSI) diskutiert wird. Diese soll strenge Sicherheitskriterien beinhalten, welche den Umgang mit vertraulichen Dokumenten und Daten von Regierungsstellen und Behörden regeln. Die niederländische Regierung scheint gleichfalls skeptisch und lehnt es derzeit ab an amerikanische Cloud Anbieter Aufträge zu vergeben, da diese wie oben angeführt, enormes Unsicherheitspotential bergen. Daher wird auch hier die Einführung einer nationalen Cloud nur eine Frage der Zeit sein. Darüber hinaus hat sich die französische Regierung bereits zu einem nationalen Alleingang entschieden und gründete mit Hilfe von Rüstungskonzernen und der France Télécom den nationalen Cloud Dienstleister Andromède.97 Die Sicherheitsanforderungen einer nationalen Cloud beinhalten Rechenzentrumssicherheit, Serversicherheit, Netzsicherheit, sowie Anwendungssicherheit und Plattformsicherheit. Dem aus der Implementierung dieser Sicherheitsmaßnahmen resultierenden wirtschaftlichen Wettbewerbsnachteil gegenüber herkömmlichen Cloud Services, kann mit dem Argument entgegnet werden, die nationale IT-Sicherheit werde dadurch weiter verbessert und bringe so einen Standortvorteil für nationale Clouds bzw. Euro-Clouds und deren Wirtschaftsstandorte. 96 Veit, Cloud Computing in der Öffentlichen Verwaltung - Daten dürfen den Rechtsraum der EU nicht verlassen, GOVCOM 3 (2012). 97 Berke, Cloud Computing - Schutz für deutsche Daten, Wirtschafts Woche 51 (2011) 8. 4849 Kapitel 5 - Lösungsansätze 5.3 Die Gouvernment Cloud Durch die Einrichtung einer durch die Hoheitsverwaltung selbst implementierten, behördenübergreifenden Cloud, welche eine eigene Cloud Infrastruktur, eigene Sicherheitsmechanismen und Servicepersonal beinhaltet, könnte eine Vielzahl von Gefahrenquellen systematisch ausgeschlossen werden. Eine öffentliche Ausschreibung wäre hinfällig, was mögliche Probleme des Vergaberechts von vorneherein ausschließen würde. Darüber hinaus könnte, im Falle einer ausgereiften Umsetzung dieses Modells, ein bisher unerreichtes Niveau an Datenschutz und Datensicherheit im Bereich der hoheitlichen Cloud Nutzung erreicht werden. Die Gouvernment Cloud kann so auch der Flut parallel geführter Benutzeridentitäten und Zugriffsrechten ein Ende machen, welche sich durch Flickenteppich-artige Umsetzung einzelner Cloud-Dienste zusammensetzt und zwangsläufig zu Sicherheits- und Compliance-Lücken führt. Eine sichere Zugriffskontrolle, welche in der hoheitlichen Aufgabenbewältigung notwendig ist, baut immer auf gesicherter, also auch aktueller und konsistenter Verwaltung von Identitätseinträgen auf.98 In der Praxis können elektromechanisch versiegelte Serverschränke mit flüchtigen Speichern dazu beitragen, die Datensicherheit zu erhöhen, da sensible Daten bei diesen Systemen automatisch gelöscht werden bevor Unbefugte, physisch auf Server zugreifen können.99 Der gleichen Sicherheitsmechanismen bedient sich die optimal eingerichtete Cloud im Falle von Systemwartungen durch Administratoren. Nach dem Herunterfahren der Stromzufuhr, kann der jeweilige Serverschrank, welcher gewartet werden muss, erst nach 15 Sekunden geöffnet werden, in denen die derzeit auf dem Server befindlichen Daten gelöscht werden.100 Die Struktur einer solchen Cloud wäre optimalerweise die einer Hybrid Cloud (siehe Abb. 7), bestehend aus einer Public Cloud, welche weniger kritische Anwendungen mit starken Leistungsschwankungen beherbergt und einer Private Cloud, in welcher sensible Daten abgelegt werden können. Wobei für den Bereich der Public Cloud verstärkt Verschlüsselungs- und Datensafe-Technologien zum Einsatz kommen sollten. 98 Schöndlinger, Das A & O der Verwaltungssicherheit - Konsistenz über alle Identitäten und Rechte, GOVCOM 11 (2012) Jäger, Industrie Management 29 (2013) Jäger, Industrie Management 29 (2013) 50 Kapitel 5 - Lösungsansätze Abbildung 7: Aufbau der hybriden Verwaltungscloud Quelle: Schulz, Sönke, Öffentliche IT im Wandel, ISPARAT Studie, 2010, S Mehr anzeigen
RECHTLICHE ASPEKTE DER DATENHALTUNG von Andreas Dorfer, Sabine Laubichler Gliederung 2 Definitionen Rechtliche Rahmenbedingungen C3-Framework Servicemodelle 3 Software as a Service (SaaS) salesforce.com, Mehr Datenschutzrecht. Grundlagen. Dr. Gregor König, LLM., Datenschutzkommission. 15. November 2012
Datenschutzrecht Grundlagen Dr. Gregor König, LLM., Datenschutzkommission 15. November 2012 Inhalt Grundlagen Datenschutzrecht Rollen und Pflichten Datenschutzrecht Betroffenenrechte Soziale Netzwerke Mehr Cloud-Update 2012. Rechtssicher in die Wolke. RA Jan Schneider Fachanwalt für Informationstechnologierecht
Cloud-Update 2012 Rechtssicher in die Wolke Fachanwalt für Informationstechnologierecht Cloud Conf 2011, Frankfurt am Main den 21. November 2011 Cloud-Update 2012 Rechtssicher in die Wolke Fachanwalt für Mehr Cloud Computing. Oliver Berthold und Katharina Wiatr, Berliner Beauftragter für Datenschutz und Informationsfreiheit. Dozenten
Rechtssicher in die Cloud Aktuelle Lösungsansätze für rechtskonforme Cloud Services Fachanwalt für Informationstechnologierecht Cloud Conf 2011, München den 21. November 2011 Ist Cloud Computing nicht... Mehr Cloud Services. Cloud Computing im Unternehmen 02.06.2015. Rechtliche Anforderungen für Unternehmern beim Umgang mit Cloud-Diensten 02.06.
Kirstin Brennscheidt Cloud Computing und Datenschutz o Nomos Inhaltsverzeichnis Abkürzungsverzeichnis I Einleitung 1. Motivation und Begriff des Cloud Computing 11. Gegenstand der Untersuchung III. Gang Mehr Datenschutzrecht im Digitalen Binnenmarkt. 16. Salzburger Telekom-Forum 27. August 2015
Datenschutzrecht im Digitalen Binnenmarkt 16. Salzburger Telekom-Forum 27. August 2015 Datenschutz in der EU Aktuelle Rechtsgrundlagen: - Art 8 GRC: Jede Person hat das Recht auf Schutz der sie betreffenden Mehr Cloud 2012 Schluss mit den rechtlichen Bedenken!
Mobile Personal Clouds with Silver Linings Columbia Institute for Tele Information Columbia Business School New York, 8. Juni 2012 Giovanni Buttarelli, Stellvertretender Europäischer Datenschutzbeauftragter Mehr RECHTLICHE ASPEKTE BEIM CLOUD COMPUTING Technik-Evolution bringt Business-Revolution
RECHTLICHE ASPEKTE BEIM CLOUD COMPUTING Technik-Evolution bringt Business-Revolution Dr. Johannes Juranek, Partner bei CMS Reich-Rohrwig Hainz Rechtsanwälte GmbH Ebendorferstraße 3, 1010 Wien WS 2011 1. Mehr EuGH Urteil: Safe-Harbour gewährt kein angemessenes Datenschutz Niveau.
EuGH Urteil: Safe-Harbour gewährt kein angemessenes Datenschutz Niveau. Heute hat der EuGH in der Rechtssache C-362/14 (Maximillian Schrems gegen die irische Datenschutz- Aufsichtsbehörde) eine weitreichende Mehr Cloud Computing und Datenschutz
Cloud Computing und Datenschutz Kurzvortrag CeBIT 2012 Christopher Beindorff Rechtsanwalt und Fachanwalt für IT-Recht Beindorff & Ipland Rechtsanwälte Rubensstraße 3-30177 Hannover Tel: 0511-6468098 Fax: Mehr Heiter bis wolkig Datenschutz und die Cloud
Rechtliche Anforderungen an Cloud Computing in der Verwaltung Dr. Sönke E. Schulz Geschäftsführender wissenschaftlicher Mitarbeiter 19. Berliner Anwenderforum egovernment 19./20. Februar 2013 Bundespresseamt, Mehr ao. Univ.-Prof. Dr. Wolfgang Brodil www.brodil.at
www.brodil.at Grundsätzliches Arbeitnehmerbegriff Zur-Verfügungstellen der Arbeitskraft In persönlicher Abhängigkeit Weisungsbindung in persönlicher Hinsicht Eingliederung Kontrollunterworfenheit Rechtsgrundlagen Mehr Digitalisierung: Kundendaten und Mitarbeiterdaten in der Cloud Rechtliche Problemfelder
Digitalisierung: Kundendaten und Mitarbeiterdaten in der Cloud Rechtliche Problemfelder Rechtsanwalt Marcus Beckmann Beckmann und Norda - Rechtsanwälte Rechtsanwalt Marcus Beckmann Rechtsanwalt Marcus Mehr Datenschutz. Dr. Gregor König, LLM., Datenschutzkommission. E-Control
Smart Grids und Smart Metering Datenschutz Dr. Gregor König, LLM., Datenschutzkommission E-Control 16. Juni 2010 Inhalt Smart Grids Grundrecht auf Datenschutz Prinzipien i i der Zulässigkeit it der Verwendung Mehr Vertrauenswürdiges Cloud Computing - ein Widerspruch? www.datenschutzzentrum.de. Die Verantwortlichkeit für Datenverarbeitung in der Cloud
Vertrauenswürdiges Cloud Computing - ein Widerspruch? Was ist Cloud Computing? Geltung des BDSG für Cloud Computing Inhaltsüberblick Die Verantwortlichkeit für Datenverarbeitung in der Cloud Auftragsdatenverarbeitung Mehr 17 HmbDSG - Übermittlung an Stellen außerhalb der Bundesrepublik Deutschland
Cloud Computing: IT-Sicherheit und Datenschutzrecht - Lassen sich Verträge zum Cloud Computing datenschutzkonform und rechtssicher gestalten? Rechtsanwalt Dr. Oliver Hornung Rechtsanwalt Dr. Matthias Nordmann Mehr I. Für Benutzer mit Wohnsitz in den Vereinigten Staaten von Amerika gelten die Bestimmungen dieses Absatzes I:
Datenschutz- und Sicherheitsrichtlinien Schutz und Sicherheit von personen- und gesundheitsbezogenen Daten haben für Outcome Sciences, Inc. d/b/a Outcome ( Outcome ) höchste Priorität. Outcome behandelt Mehr Datenschutz in der Cloud Rechtlicher Rahmen und Compliance
Datenschutz in der Cloud Rechtlicher Rahmen und Compliance Austrian Cloud Congress 2015 Wien, 05.11.2015 Mag. Jakob Geyer Rechtsanwaltsanwärter Agenda Basics des Datenschutzrechts Grundlagen Nutzung von Mehr 1. bvh-datenschutztag 2013
1 CLOUD COMPUTING, DATENSCHUTZ ASPEKTE DER VERTRAGSGESTALTUNG UND BIG DATA Rechtsanwalt Daniel Schätzle Berlin, 20. März 2013 1. bvh-datenschutztag 2013 Was ist eigentlich Cloud Computing? 2 WESENTLICHE Mehr Rechtssicherheit in der Benutzung von Archiven
Rechtssicherheit in der Benutzung von Archiven Datenschutzrechtliche Aspekte im Zusammenhang mit der Archivierung von personenbezogenen Daten Jakob Geyer, willheim l müller Rechtsanwälte Linz, 11. Juni Mehr ccc cloud computing conference 2011 Cloud Computing Neue Impulse für die Wirtschaft
Datenschutz und Datensicherheit rechtliche Aspekte 13. OSL-Technologietage 24. September 2015 PENTAHOTEL Berlin-Köpenick Überblick Grundlagen Datenschutz Grundlagen Datensicherheit Clouds In EU/EWR In Mehr Technisch möglich! Rechtlich erlaubt?
Technisch möglich! Rechtlich erlaubt? Betriebsrat und Datenschutz 8. Juni 2009 Gerda Heilegger AK Wien, Abt Sozialpolitik Die 3 Säulen S des Schutzes der Privatsphäre re Individualrechtliche Grenzen ABGB, Mehr UNSAFE HARBOR: DATENVERARBEITUNG VON ONLINE-SHOPS NACH DEM EUGH-URTEIL
UNSAFE HARBOR: DATENVERARBEITUNG VON ONLINE-SHOPS NACH DEM EUGH-URTEIL Dr. Martin Schirmbacher HÄRTING Rechtsanwälte Daniel Schätzle HÄRTING Rechtsanwälte Unsafe Harbor: Datenverarbeitung nach dem EuGH-Urteil Mehr Outsourcing und Tracking in einer vernetzten Welt
Outsourcing und Tracking in einer vernetzten Welt Infobörse 2 Referent: Dr. Sven Polenz, ULD Moderation: Harald Zwingelberg, ULD Übersicht 1.1 Auftragsdatenverarbeitung öffentlicher/nichtöffentlicher Stellen Mehr 26.04.2012. Was ist eigentlich (neu am) Cloud Computing? Vertragsbeziehungen Datenschutz Nutzungsrechte Folgen für die Vertragsgestaltung ÜBERBLICK
1 CLOUD COMPUTING - RECHTLICHE RAHMENBEDINGUNGEN Dr. Martin Schirmbacher Berlin, 24. April 2012 Gliederung 2 ÜBERBLICK Was ist eigentlich (neu am) Cloud Computing? Vertragsbeziehungen Nutzungsrechte Folgen Mehr Das Grundrecht auf Datenschutz im Unternehmen
Das Grundrecht auf Datenschutz im Unternehmen unter besonderer Berücksichtigung gesellschaftsrechtlicher Umstrukturierungen von Dr. iur. Maximilian Auer VERLAG ÖSTERREICH Wien 2011 Vorwort 3 Inhaltsverzeichnis Mehr Grundsätze und europarechtliche Rahmenbedingungen Gesetzestext mit Materialien Datenschutz-Verordnungen und Richtlinien im Anhang
2008 AGI-Information Management Consultants May be used for personal purporses only or by libraries associated to dandelon.com network. Datenschutzgesetz Grundsätze und europarechtliche Rahmenbedingungen Mehr EUROPEAN NETWORK OF CLOUD ASSOCIATIONS
EuGH erklärt Datentransfer in die USA für illegal 6. Oktober Rechtsanwalt Arnd Böken EuGH erklärt Datentransfer in die USA für illegal Am 6. Oktober 2015 hat der Europäische Gerichtshof (EuGH) entschieden, Mehr > Typische Fallstricke beim Cloud Computing. Ulf Leichsenring
> Typische Fallstricke beim Cloud Computing Ulf Leichsenring > Agenda > Sicherheitsaspekte beim Cloud Computing > Checkliste der Hauptsicherheitsaspekte > Rechtliche Sicherheitsaspekte > Datenschutzaspekte Mehr Checkliste zum Datenschutz
Checkliste zum Datenschutz Diese Checkliste soll Ihnen einen ersten Überblick darüber geben, ob der Datenschutz in Ihrem Unternehmen den gesetzlichen Bestimmungen entspricht und wo ggf. noch Handlungsbedarf Mehr DIGITALE PRIVATSPHAERE
DIGITALE PRIVATSPHAERE WISSEN Die enorme Ausbreitung des Internets über die letzten beiden Jahrzehnte stellt uns vor neue Herausforderungen im Hinblick auf Menschenrechte, insbesondere der Abwägung zwischen Mehr Rechtsanwälte Steuerberater Wirtschaftsprüfer
Workshop Cloud-Computing Die Herausforderung für die Daten- und Rechtssicherheit GI-Fachgruppe Management 20. November 2009 Dr. Christiane Bierekoven, Rödl & Partner Rechtsanwälte Steuerberater Wirtschaftsprüfer Mehr Datenschutz in der Cloud Datenschutzrechtliche Besonderheiten bei Services aus der Cloud und der Vertragsgestaltung
Datenschutzrechtliche Besonderheiten bei Services aus der Cloud und der Vertragsgestaltung Channel-Sales Kongress Cloud Computing, München 9. Mai 2012 Rechtsanwalt Dr. Sebastian Kraska Externer Datenschutzbeauftragter Mehr Inhalt. Datenschutz ist Grundrechtsschutz 4. Wessen Daten werden geschützt? 5. Wer muss den Datenschutz beachten? 6
Dr. Thomas Petri Einführung in die Datenerfassung und in den Datenschutz Hochschule für Politik, Sommersemester 2011, Foliensatz 2-2 bis 2-4 (1.6.2011) 1 Grobübersicht 1. Einführung, europa- und verfassungsrechtliche Mehr Datenschutz für Künstler- und
Datenschutz für Künstler- und Eventagenturen Dr. Günther FEUCHTINGER Abteilung Rechtspolitik www.wko.at/rp der Wirtschaftskammer Wien 1 Dr. Günther FEUCHTINGER/Datenschutz für Künstler- und Eventagenturen Mehr Big Data Was ist erlaubt - wo liegen die Grenzen?
Big Data Was ist erlaubt - wo liegen die Grenzen? mag. iur. Maria Winkler Themen Kurze Einführung ins Datenschutzrecht Datenschutzrechtliche Bearbeitungsgrundsätze und Big Data Empfehlungen für Big Data Mehr Cloud Computing aus Sicht von Datensicherheit und Datenschutz
Datenschutz in der Cloud Stephan Oetzel Teamleiter SharePoint CC NRW Agenda Definitionen Verantwortlichkeiten Grenzübergreifende Datenverarbeitung Schutz & Risiken Fazit Agenda Definitionen Verantwortlichkeiten Mehr II 1 Verantwortung der Leitung II 1.13 Datenschutzkonzept. Gültigkeitsbereich Verantwortlich Team
Gültigkeitsbereich Verantwortlich Team Zweck AWO RV Halle Merseburg und alle Tochtergesellschaften GF Datenschutzbeauftragter ist Prozessverantwortlich Alle MA sind durchführungsverantwortlich Zweck des Mehr Datenschutzrichtlinie für die Plattform FINPOINT
Datenschutzrichtlinie für die Plattform FINPOINT Die FINPOINT GmbH ( FINPOINT ) nimmt das Thema Datenschutz und Datensicherheit sehr ernst. Diese Datenschutzrichtlinie erläutert, wie FINPOINT die personenbezogenen Mehr Datenverwendung und Datenweitergabe - was ist noch legal?
RA Andreas Jaspers Geschäftsführer der Gesellschaft für Datenschutz und Datensicherung (GDD) e.v. Pariser Str. 37 53117 Bonn Tel.: 0228-694313 Fax: 0228-695638 E-Mail: jaspers@gdd.de Die GDD e.v. Die GDD Mehr AUSZUG AUS DEM BUNDESDATENSCHUTZGESETZ
AUSZUG AUS DEM BUNDESDATENSCHUTZGESETZ Auszug aus dem Bundesdatenschutzgesetz in der Fassung vom 14.01.2003, zuletzt geändert am 14.08.2009 1 Allgemeine und gemeinsame Bestimmungen (1) Zweck dieses Gesetzes Mehr Datenschutz-Unterweisung
Datenschutz-Unterweisung Prof. Dr. Rolf Lauser Datenschutzbeauftragter (GDDcert) öbuv Sachverständiger für Systeme und Anwendungen der Informationsverarbeitung im kaufmännisch-administrativen Bereich sowie Mehr Betriebliche Sicherheitsvorschriften für Dienstleister isd DSG 2000
Betriebliche Sicherheitsvorschriften für Dienstleister isd DSG 2000 Version November 2013 1. Anwendungsbereich Dieses Dokument regelt die Überlassung von Daten zum Zweck der Verarbeitung als Dienstleistung Mehr Rechtssicher in die (Geo-) Cloud so geht s! RA Jan Schneider Fachanwalt für Informationstechnologierecht
Rechtssicher in die (Geo-) Cloud so geht s! RA Jan Schneider Fachanwalt für Informationstechnologierecht Geoinformation in der Cloud Die Praxis von Morgen Deutsches Zentrum für Luft- und Raumfahrt, Bonn, Mehr Praktische Rechtsprobleme der Auftragsdatenverarbeitung
Praktische Rechtsprobleme der Auftragsdatenverarbeitung Linux Tag 2012, 23.05.2012 Sebastian Creutz 1 Schwerpunkte Was ist Auftragsdatenverarbeitung Einführung ins Datenschutzrecht ADV in der EU/EWR ADV Mehr KURZBEWERTUNG DER EUROPÄISCHEN DATENSCHUTZVERORDNUNG
1 l 5 KURZBEWERTUNG DER EUROPÄISCHEN DATENSCHUTZVERORDNUNG Die wichtigsten Regelungen im Überblick Am 14. April 2016 hat das Europäische Parlament nach mehr als vierjähriger Ver-handlung die Datenschutzverordnung Mehr Das Facebook Urteil des EuGH EuGH, Ut. v. 06.10.2015, Rs. C-352/14 (Schrems)
Das Facebook Urteil des EuGH EuGH, Ut. v. 06.10.2015, Rs. C-352/14 (Schrems) Vortrag zum öffentlich-rechtlichen Kolloquium der Fakultät III der Universität Bayreuth am 03.11.2015 Prof. Dr. Heinrich Amadeus Mehr IT-Outsourcing aus der Perspektive einer bdsb. Bettina Robrecht Datenschutzbeauftragte 17. März 2012
IT-Outsourcing aus der Perspektive einer bdsb Bettina Robrecht Datenschutzbeauftragte 17. März 2012 Agenda I. Überblick: Definitionen und anwendbares Recht II. Outsourcing innerhalb der EU/EWR III. Outsourcing Mehr Übermittlung personenbezogener Daten ins Ausland
Übermittlung personenbezogener Daten ins Ausland September 2014 Wichtige Datenschutzinformationen für Ihr Unternehmen Inhalte Datenschutzinformationen September 2014 Inhaltsverzeichnis Begrüßung Ihr Datenschutzbeauftragter Mehr DATENSCHUTZERKLÄRUNG
DATENSCHUTZERKLÄRUNG Wir freuen uns über Ihr Interesse an unserer Website. Der Schutz Ihrer Privatsphäre ist für uns sehr wichtig. Nachstehend möchten wir Sie ausführlich über den Umgang mit Ihren Daten Mehr Cloud Computing Datenschutz und IT-Sicherheit
Cloud Computing Datenschutz und IT-Sicherheit Cloud Computing in der Praxis Trends, Risiken, Chancen und Nutzungspotentiale IHK Koblenz, 23.5.2013 Helmut Eiermann Leiter Technik Der Landesbeauftragte für Mehr Datenschutz und Privacy in der Cloud
Wiesbaden DiKOM am 08.05.2012 Was Kommunen beim Datenschutz beachten müssen Rüdiger Wehrmann Der Hessische Datenschutzbeauftragte Seit 1970 Oberste Landesbehörde Dem Hessischen Landtag zugeordnet Aufsichtsbehörde Mehr Herausforderung Datenschutz in einem global agierenden Unternehmen
Herausforderung Datenschutz in einem global agierenden Unternehmen Fabrizio Lelli Data Protection Officer / lic. iur. Datenschutz-Forum Schweiz, Basel, 7. November 2006 Die nachfolgende Präsentation stellt Mehr Cloud Computing. Datenschutzrechtliche Aspekte. Diplom-Informatiker Hanns-Wilhelm Heibey
Cloud Computing Datenschutzrechtliche Aspekte Diplom-Informatiker Hanns-Wilhelm Heibey Berliner Beauftragter für Datenschutz und Informationsfreiheit Was ist Cloud Computing? Nutzung von IT-Dienstleistungen, Mehr Secorvo. Partner und Unterstützer
Partner und Unterstützer Datenschutz Anspruch und Wirklichkeit im Unternehmen Karlsruher IT-Sicherheitsinitiative, 31.03.2004 Dirk Fox fox@secorvo.de Secorvo Security Consulting GmbH Albert-Nestler-Straße Mehr %HVRQGHUH$UWHQ3HUVRQHQEH]RJHQHU'DWHQ
%HVRQGHUH$UWHQ3HUVRQHQEH]RJHQHU'DWHQ Bestimmte Daten dürfen nur mit ausdrücklicher Einwilligung bzw. nur in Ausnahmefällen verarbeitet werden. Hierzu gehören zum Beispiel Krankheitsdaten selbstverständlich Mehr Vertrauen bestärken: Wege zur Auditierung von Cloud-Diensten. RA Dr. Jan K. Köcher Datenschutzauditor (TÜV) koecher@dfn-cert.de
1. DFN Workshop Datenschutz Rechtliche Aspekte der Auftragsdatenverarbeitung Hamburg, 28.11.2012 Dr. Jens Eckhardt Rechtsanwalt und Fachanwalt für IT-Recht JUCONOMY Rechtsanwälte 1 1 Grundverständnis der Mehr Rechte und Pflichten der Schule und von BelWü bei der Auftragsdatenverarbeitung (Stand: 22.03.2013)
1. Pflichten von BelWü (Auftragnehmer) 1.1. Der Auftragnehmer darf Daten nur im Rahmen dieses Vertrages und nach den Weisungen der Schule verarbeiten. Der Auftragnehmer wird in seinem Verantwortungsbereich Mehr Cloud-Computing/SaaS und Datenschutz: zwei Gegensätze?
Gesetzliche Grundlagen des Datenschutzes Informationelle Selbstbestimmung Bundesdatenschutzgesetz Grundgesetz Gesetzliche Grundlagen des Datenschutzes allg. Persönlichkeitsrecht (Art. 1, 2 GG) Grundrecht Mehr Das Grundrecht auf Datenschutz im Europarecht Wirkungen und Problemfelder. Ao. Univ.-Prof. Dr. Alina-Maria Lengauer, LLM
Das Grundrecht auf Datenschutz im Europarecht Wirkungen und Problemfelder Ao. Univ.-Prof. Dr. Alina-Maria Lengauer, LLM Das Grundrecht auf Datenschutz im Europarecht 1. Zur Genese des Grundrechtes auf Mehr Datenschutz-Vereinbarung
Datenschutz-Vereinbarung zwischen intersales AG Internet Commerce Weinsbergstr. 190 50825 Köln, Deutschland im Folgenden intersales genannt und [ergänzen] im Folgenden Kunde genannt - 1 - 1. Präambel Die Mehr Datenschutzgerechtes CloudComputing -Risiken und Empfehlungen -
Datenschutzgerechtes CloudComputing -Risiken und Empfehlungen - Dr. Thomas Reinke Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (Bereich Technik und Organisation) Mehr American Chamber of Commerce in Italy und US-Vertretung Rom, 21. Juni 2012. Giovanni BUTTARELLI Stellvertretender Europäischer Datenschutzbeauftragter
12. Konferenz Biometrics Institute, Australien Sydney, 26. Mai 2011 Auf dem Weg zu einem umfassenderen Datenschutz in Europa einschließlich Biometrie eine europäische Perspektive Peter Hustinx Europäischer Mehr 1 Rechtliche und steuerrechtliche Betrachtung... 2 1.1 Der Entwurf der EU-Kommission zu einer einheitlichen europäischen Datenschutzverordnung...
1 Rechtliche und steuerrechtliche Betrachtung... 2 1.1 Der Entwurf der EU-Kommission zu einer einheitlichen europäischen Datenschutzverordnung... 2 1.1.1 Rechtsnatur und Anwendungsbereich der neuer EU- Mehr Guter Datenschutz schafft Vertrauen
Oktober 2009 Guter Datenschutz schafft Vertrauen 27.10.2009 ruhr networker e.v. in Mettmann K.H. Erkens Inhalt Handlungsbedarf, Aktualität Grundlagen oder was bedeutet Datenschutz Pflichten des Unternehmens Mehr (Rechts-)Sicher in die Cloud
(Rechts-)Sicher in die Cloud Datenschutzrechtliche Aspekte von Cloud Computing RA lic. iur. Nicole Beranek Zanon, Exec. MBA HSG Nicole Beranek Zanon RA lic. iur., EMBA HSG 2 Warum in die Cloud? 3 4 Häufige Mehr Auszug aus dem. Bundesgesetz über den Schutz personenbezogener Daten (Datenschutzgesetz 2000 - DSG 2000)
Auszug aus dem Bundesgesetz über den Schutz personenbezogener Daten (Datenschutzgesetz 2000 - DSG 2000) Grundrecht auf Datenschutz 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Mehr Datenschutzrechtliche Vereinbarung nach 11 BDSG zur Verarbeitung personenbezogener Daten
Cloud-Computing - rechtliche Aspekte Forum 7-it RA Rainer Friedl München, 16. November 2015 Verpflichtung zur IT-Compliance: Haftung des Vorstands/Geschäftsführer für IT-Risiken» Vorstandspflicht bei AGs Mehr Weil der Informationsbedarf in Staat und Gesellschaft enorm gewachsen ist, hat sich die automatisierte Datenverarbeitung längst zu einer Art
1 2 3 Weil der Informationsbedarf in Staat und Gesellschaft enorm gewachsen ist, hat sich die automatisierte Datenverarbeitung längst zu einer Art Nervensystem der Gesellschaft entwickelt. Neben vielen Mehr Die neue EU-Datenschutzgrundverordnung
und der IT-Sicherheit Musterlösung zur 1. Übung im SoSe 2007: BDSG (1) 1.1 Voraussetzungen zur automatisierten DV (1) Anmerkung: Automatisierte Datenverarbeitung = Erhebung, Verarbeitung oder Nutzung unter Mehr Cloud Computing und Datenschutz
Cloud Computing und Datenschutz 2. April 2011 Dr. Fabian Niemann Bird & Bird LLP, Frankfurt a.m. Datenschutzbehörden und die Wolke Werden Stellen außerhalb der Europäischen Union mit einbezogen, so sind Mehr Beispiele aus der anwaltlichen Praxis
Die Nutzung von personenbezogenen Daten in Deutschland, der Schweiz und cross-border Beispiele aus der anwaltlichen Praxis Auftragsdatenverarbeitung zwischen Anbieter von IT- Lösungen und TK-Provider schweizerisches Mehr Grundzüge des Datenschutzrechts
Linde Praktikerskripten Grundzüge des Datenschutzrechts von Kaja Unger, Prof. Dr. Werner Hauser 1. Auflage 2011 Grundzüge des Datenschutzrechts Unger / Hauser schnell und portofrei erhältlich bei beck-shop.de Mehr Datenflut und Datenschutz - Rechtsfragen
Der Bayerische Landesbeauftragte für den Datenschutz - Rechtsfragen Deutscher Ethikrat 21.05.2015 Datenflut -Big Data im Gesundheitsbereich Big Data beschreibt aktuelle technische Entwicklungen, die die Mehr Wahlprüfstein DIE LINKE
Wahlprüfstein DIE LINKE Aktion Freiheit statt Angst e.v. Rochstr. 3 10178 Berlin 1. Anonyme Kommunikation Derzeit ist es in Deutschland erlaubt aber technisch nur schwer möglich, das Internet anonym zu Mehr Tabelle: Maßnahmen und Datenschutz-Kontrollziele zu Baustein 1.5 Datenschutz
Tabelle: Maßn und Datenschutz-Kontrollziele zu Baustein 1.5 Datenschutz (Verweis aus Maß M 7.5) Basierend auf den IT-Grundschutz-Katalogen Version 2006 Stand: November 2006, Stand der Tabelle: 22.08.07 Mehr X. Datenvermeidung und Datensparsamkeit nach 3a BDSG
Berliner Beauftragter für Januar 2002 Datenschutz und Informationsfreiheit (BlnBDI) Hinweise zur Vorabkontrolle nach dem Berliner Datenschutzgesetz (BlnDSG) Das am 30.7.2001 novellierte Berliner Datenschutzgesetz Mehr CeSeC Certified Secure Cloud
CeSeC Certified Secure Cloud - Der sichere Weg in die Cloud - 1 Bayerischer IT-Sicherheitscluster e.v. 05.10.2015 Was macht der Bayerische IT-Sicherheitscluster e.v.? Bündelung der IT-Sicherheits-Kompetenz Mehr (Text von Bedeutung für den EWR) (2014/908/EU)
16.12.2014 L 359/155 DURCHFÜHRUNGSBESCHLUSS R KOMMISSION vom 12. Dezember 2014 über die Gleichwertigkeit der aufsichtlichen und rechtlichen Anforderungen bestimmter Drittländer und Gebiete für die Zwecke Mehr Gesundheits- und Medizin Apps: Stellen sie ein Sicherheitsrisiko dar?
Gesundheits- und Medizin Apps: Stellen sie ein Sicherheitsrisiko dar? Apps für Smartphones werden immer populärer und erleichtern uns den schnellen Zugriff auf bestimmte Informationen. Seit ein paar Jahren Mehr Datenschutz bei Collaborative Work am Beispiel von GoToMeeting
In Kooperation mit Datenschutz bei Collaborative Work am Beispiel von GoToMeeting Münchner Fachanwaltstag IT-Recht Datenschutzrechtliche Fragen eines USamerikanischen SaaS-Anbieters aus Kunden-, Anbieter- Mehr Grundbegriffe und Grundprinzipien des Datenschutzrechts Bundesdatenschutzgesetz (BDSG)
Grundbegriffe und Grundprinzipien des Datenschutzrechts Bundesdatenschutzgesetz (BDSG) Valerij Serediouk SE Designing for Privacy HU WS 09 / 10 1 Gliederung Einführung Zweck und Anwendungsbereich des BDSG Mehr 2017 © DocPlayer.org Datenschutzbestimmungen | Nutzungsbedingungen | Feedback