Source: https://www.edv-vertrag.de/datenschutz/sicherheit-in-der-cloud/
Timestamp: 2019-09-21 11:35:07
Document Index: 266156150

Matched Legal Cases: ['§ 4', '§ 4', '§ 11', '§ 11', '§ 43', '§ 9', '§ 9']

Rechtsanwalt Oliver Wanke - Sicherheit in der Cloud
Das Thema Datenschutz und Sicherheit sind wohl derzeit die meist diskutierten Themen beim Cloud Computing. Da diese Themen meist sehr unanschaulich sind, sorgt dies auch für erhebliche Verunsicherung.
Cloud Computing ist letztlich nur ein neues Produkt / eine Dienstleistung mit bestimmten Eigenschaften. Soweit diese Eigenschaften Relevanz für Datenschutz und Sicherheit haben, muss man sich diese klarmachen und entscheiden, wie man mit diesen Eigenschaften umgeht.
Beispiel: Die Erfindung des Telefons. Diese beschleunigte den Informationsaustausch immens. Wollte man jedoch nicht, dass das Fräulein vom Amt mithört, musste man sich entscheiden, ob man für bestimmte Informationen auf das Telefon verzichtete oder eine Geheimsprache wählte.
Die Besonderheiten des Cloud Computings:
1. Prinzip: Ortsunabhängigkeit (territoriale Virtualisierung)
D.h. die Hardware, auf der letztlich die Daten verarbeitet und gespeichert werden, kann sich überall auf der Welt befinden. Einige Bestimmungen des Datenschutzes knüpfen an den Ort der Datenverarbeitung an.
Im Gegensatz hierzu steht der Grundsatz, dass gesetzliche Bestimmungen (z.B. das Bundesdatenschutzgesetz) eines Landes grundsätzlich nur auf dessen Hoheitsgebiet Geltung haben.
Territorialitätsprinzip: Gesetzliche Bestimmungen gelten nur für das Staatsgebiet. Das bedeutet nichts anderes, als dass der in Deutschland tätige Unternehmer sich an die deutschen Gesetze halten muss.
Der Schutz einer ausländischen Rechtsordnung gilt oft nur für deren Staatsangehörige.
Hieraus ergeben sich beim Cloud Computing folgende wesentliche Problemstellungen:
-> Unkenntnis, wo sich die Daten konkret befinden
-> mangelhafter gesetzlicher Schutz der Daten
2. Prinzip: Arbeitsteilung /Outsourcing
An der Leistungserbringung sind meist viele verschiedene Dienstleister beteiligt. Bestimmungen des Datenschutzes fordern, dass Subunternehmer vom Auftraggeber in bestimmter Weise vertraglich verpflichtet und kontrolliert werden (Regelungen zur Auftragsdatenverarbeitung)
Hieraus ergibt sich das Problem:
->mangelnde Transparenz
Die Vertragsgestaltung für Cloud Computing – Cloud Contracting – muss diese Problempunkte abfangen und eine praktikable Lösung bereitstellen.
Bezogen auf die für den Datenschutz relevanten Regelungen muss sich der Unternehmer, der Cloud Computing umsetzen möchte, über die Unterschiede zwischen Datenschutz und der Datensicherheit klar werden.
Datenschutz:betrifft im Wesentlichen die gesetzlichen Regelungen zum Schutz personenbezogener Daten;
Datensicherheit:Betrifft im Wesentlichen technische und organisatorische Maßnahmen zum Schutz von Daten vor
- Zerstörung, d.h. Gewährleistung der Verfügbarkeit,
- Verfälschung, d.h. Gewährleistung der Integrität,
- unzulässiger Weitergabe, d.h. Gewährleistung der Vertraulichkeit,
Datenschutz und Datensicherheit haben beide eine juristische und eine technische Dimension.
Konkretes Vorgehen für den Unternehmer:
Um überhaupt festzustellen, welche Regelungen für die Umsetzung des Cloud Computings notwendig sind, müssen folgende Fragen beantwortet werden:
1. Schritt: Welche Daten sollen in die Cloud?
Die datenschutzgerechte und sichere Umsetzung von Cloud Computing kann mit erheblichem vertraglichem und technischem Aufwand verbunden sein. Möglichweise sind bestimmte Lösungen überhaupt nicht rechtssicher umzusetzen. Es ist daher empfehlenswert,die Daten zu identifizieren, die in die Cloud „kommen“ sollen und diese Daten nach ihrer Bedeutung und datenschutzrechtlichen Einordnung zu bewerten (Differenzieren nach der Kritikalität der Daten).
Folgende Daten-Kategorien bieten sich an, da hieran bestimmte gesetzliche Anforderungen bestehen:
• öffentliche Daten (Public Data)
• Geschäftsgeheimnisse
• qualifizierte personenbezogene Daten
Öffentliche (npbD) Daten sind für Jedermann bestimmt. Bei diesen Daten spielt der Datenschutz keine und die Datensicherheit nur hinsichtlich des Datenverlustes eine untergeordnete Rolle.
Für Geschäftsgeheimnisse ist die technische Datensicherheit von wesentlicher Bedeutung.
Sind personenbezogene Daten vom Cloud Computing betroffen, stellen sich die Fragen des Datenschutzes. Umfangreiche gesetzliche Regelungen sind zu beachten.
2. Schritt: welche gesetzlichen Anforderungen sind umzusetzen?
Auslandsbezug und Auftragsdatenverarbeitung:
Wird in der Cloud mit personenbezogenen Daten umgegangen, so sind die Bestimmungen zur Übermittlung ins Ausland zu beachten (§ 4 b BDSG). Inwieweit die „Safe Harbour“ Grundsätze noch anzuwenden sind, ist zu klären.
-> Übermittlung ins Ausland § 4 b BDSG / Safe Harbour
Die Einschaltung eines Subunternehmers zur Datenverarbeitung stellt eine Auftragsdatenverarbeitung dar und die datenschutzrechtlichen Bestimmungen hierzu, insbesondere (§ 11 BDSG), sind einzuhalten.
Auftragsdatenverarbeitung ->Schriftlicher Auftrag (§ 11 Abs. 2 S.2 BDSG) ist notwendig
[Verstoß hiergegen stellt einen bußgeldbewehrten Verstoß des Auftraggebers dar (§ 43 Abs. 1 Nr. 2 b BDSG)]
Inhalte des schriftlichen Auftrages:
3. die nach § 9 BDSG zu treffenden technischen und organisatorischen Maßnahmen,
Bei der Auftragsdatenverarbeitung sind umfangreiche Kontrollen durchzuführen:
der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Das Ergebnis ist zu dokumentieren.
Aufgrund des Gesetzes notwendige technische und organisatorische Maßnahmen (Anlage zu § 9 Satz 1 BDSG):
Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, verwehren,
verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können, (mit Verschlüsselungsverfahren nach dem Stand der Technik)
gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, (mit Verschlüsselungsverfahren nach dem Stand der Technik)
gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass überprüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist, (mit Verschlüsselungsverfahren nach dem Stand der Technik)
5. Eingabekontrolle /Revisionssicherheit
gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind,
gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können,
7. Verfügbarkeit: Schutz vor Verlust
8.Trennbarkeit
gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können.
3. Schritt: Vertragliche Umsetzung (Datenschutz-Komponente des Vertrages)