Source: http://www.askmewhy.ch/datenschutz-am-beispiel-von-office-365-und-windows-azure/
Timestamp: 2017-05-28 12:08:56
Document Index: 295121390

Matched Legal Cases: ['Art. 3', 'Art. 4', 'Art. 10', 'Art. 6', 'Art. 7', 'Art. 8']

Datenschutz mit Office 365 und Windows Azure - Teil 1
AskMeWhy	Cloud Consulting
In unserer Tätigkeit als Cloud Consultants werden wir häufig mit Fragen zu Datenschutz und Datensicherheit in der Cloud konfrontiert. Typische Fragen sind:
Welche Daten muss unsere Organisation schützen?
Welche Rechte und Pflichten hat unsere Organisation?
Wie sicher sind unsere Daten in der Cloud und wer hat Zugriff darauf?
Worauf müssen wir bei der Wahl des Cloud Anbieters besonders achten?
Erfüllen Microsoft Cloud Services die Anforderungen des schweizerischen Datenschutzes?
Wir stellen uns diesen anspruchsvollen Fragen und versuchen, im Rahmen mehrerer Blog Beiträge mehr Klarheit in diesem Thema zu schaffen. In unserem ersten Beitrag fassen wir zunächst die gesetzlichen Grundlagen zusammen. Im nächsten Beitrag werden wir anhand von Kundenbeispielen und den Microsoft Cloud Services den entsprechenden Praxisbezug schaffen. Unterstützung erhalten wir dabei von Dr. Ursula Widmer. Sie ist Rechtsanwältin und ehemaliges Mitglied der Eidgenössischen Datenschutzkommission.
Die nachfolgend aufgeführten Gesetzesartikel wurden dem Bundesgesetz über den Datenschutz (DSG) vom 19. Juni 1992 (Stand am 1. Januar 2014) und der Verordnung zum Bundesgesetz über den Datenschutz entnommen.
Laut Bundesgesetz über den Datenschutz (DSG) bedeutet Datenschutz nicht Schutz der Daten, sondern Schutz der Persönlichkeit vor Missbrauch der sie betreffenden Daten durch Private und Behörden.
Geschützt sind Personendaten. Das sind alle Daten einer bestimmten oder bestimmbaren natürlichen oder juristischen Person. Besonders schützenswerte Personendaten (Definition in Art. 3 lit. c DSG) sind Daten über:
administrative oder strafrechtliche Verfolgungen und Sanktionen
Geschützt sind auch Persönlichkeitsprofile, welche die Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlauben.
Welche Grundsätze gelten bei der Datenbearbeitung?
Bei der Bearbeitung von Daten gelten die folgenden Grundsätze (Definition in Art. 4 lit. c DSG)
Rechtmässigkeit: nur auf gesetzlicher Grundlage
Verhältnismässigkeit: nur soweit und solange als notwendig
Zweckgebundenheit: keine nachträgliche Zweckänderung
Erkennbarkeit: keine heimliche Datensammlung
Richtigkeit: Berichtigung falscher Daten
Sicherheit: angemessene organisatorische und technische Schutzmassnahen
Transparenz: Auskunftspflicht über die Datenbearbeitung
Die Betroffenen haben das Recht auf:
Auskunft und Einsichtnahme
Vernichtung oder Löschung unrechtmässig erlangter oder nicht mehr benötigter Daten
Sperrung der unberechtigten Bekanntgabe an Dritte
Bestreitungsvermerk wenn Richtigkeit bzw. Unrichtigkeit nicht erwiesen
Unterlassung unberechtigter Bearbeitungen
Schadenersatz, Genugtuung, Publikation Urteil
Welche Datenrisiken bestehen?
Zugriff nicht autorisierter Personen
Offenbarung oder Weitergabe von Informationen an Nichtberechtigte
Fehlende oder ungenügende Datensicherheit durch ungenügende Plausibilisierung, falsche Datenzuordnung oder Datenverlust
Fehlende Verfügbarkeit durch Ausfall oder Störungen von IT-Infrastrukturen oder Telekommunikation
Verfälschung oder Zerstörung von Daten
Denial of Service Attacken (dDoS), Hacking, Viren, Sabotage, Datendiebstahl
Welches sind die Risikofolgen?
Datenverfälschung oder -verlust durch Nutzer und Externe
Persönlichkeitsverletzungen (Mitarbeitende, Kunden, Lieferanten)
Haftung für finanzielle Schäden
Vertrauens- oder Imageschaden
Was gilt bei der Bearbeitung der Daten durch Dritte?
Datenbearbeitung durch Dritte (DSG Art. 10a)
Das Bearbeiten von Personendaten kann durch Vereinbarung oder Gesetz Dritten übertragen werden, wenn:
die Daten nur so bearbeitet werden, wie der Auftraggeber selbst es tun dürfte; und
keine gesetzliche oder vertragliche Geheimhaltungspflicht es verbietet.
Der Auftraggeber muss sich insbesondere vergewissern, dass der Dritte die Datensicherheit gewährleistet.
Bei der Datenbearbeitung durch Dritte sind Zweckbindung, Weisungsrecht und Sicherheit zu gewährleisten.
Was gilt beim Export von Daten ins Ausland?
Grenzüberschreitende Bekanntgabe (DSG Art. 6)
Personendaten dürfen nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet.
hinreichende Garantien, insbesondere durch Vertrag, einen angemessenen Schutz im Ausland gewährleisten;
Datenexport und Safe Harbor
Beim Datenexport ist die Gleichwertigkeit des Datenschutzes im Ausland zu gewährleisten. In den Ländern der Europäischen Union ist die ohne zusätzliche vertragliche Datenschutzgarantien möglich. Sind Unternehmen gemäss Safe Harbor Zertifiziert, dann ebenso in den USA. Safe Harbor ist eine Direktive der Europäischen Kommission, die es europäischen Unternehmen ermöglicht, personenbezogene Daten legal an die USA zu übermitteln. Eine vergleichbare Vereinbarung besteht für die Schweiz.
Der Gleichwertige Datenschutz kann im Ausland wie folgt gewährleistet werden:
EU, EFTA, Kanada, Argentinien, Uruguay, Israel, Neuseeland, Australien (bedingt) bieten angemessenen Schutz und es sind keine weiteren Massnahmen nötig.
USA: Besteht eine Safe Harbor Zertifizierung, dann ist der angemessene Schutz gewährleistet und es sind keine Massnahmen nötig. Ohne Safe Harbor gibt es keinen angemessenen Schutz und es sind vertragliche Garantien nötig.
Übrige: Kein angemessener Schutz und es sind vertragliche Garantien nötig
Sind beim Export von Daten in andere Länder zusätzliche vertragliche Datenschutzgarantien nötig ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftrage (EDÖB) beizuziehen. Werden die vom EDÖB anerkannten Standardklauseln verwendet, dann ist lediglich die Information des EDÖB notwendig. Andernfalls muss der Vertrag durch den EDÖB geprüft werden.
Was fällt unter Datensicherheit?
Unter Datensicherheit fallen sowohl Personendaten als auch andere Daten. Während die Anforderungen bezüglich den Personendaten bereits geregelt sind, besteht bei den anderen Daten noch Handlungsbedarf durch den Bundesrat.
Datenschutzgesetz Art. 7: Datensicherheit
Der Bundesrat erlässt nähere Bestimmungen über die Mindestanforderungen an die Datensicherheit (Vertraulichkeit, Integrität der Daten, Verfügbarkeit der Daten)
Verordnung zum DSG Art. 8: Allgemeine Massnahmen
Wer als Privatperson Personendaten bearbeitet oder ein Datenkommunikationsnetz zur Verfügung stellt, sorgt für die Vertraulichkeit, die Verfügbarkeit und die Integrität der Daten, um einen angemessenen Datenschutz zu gewährleisten. Insbesondere schützt er die Systeme gegen folgende Risiken:
Die technischen und organisatorischen Massnahmen müssen angemessen sein. Insbesondere tragen sie folgenden Kriterien Rechnung:
Gegenwärtiger Stand der Technik
Diese Massnahmen sind periodisch zu prüfen.
Der Cloud Computing Kunde in der Schweiz ist verantwortlich für die Einhaltung der datenschutzrechtlichen Anforderungen. Wenn es also darum geht, Daten schweizerischer Unternehmen in der Cloud im Ausland zu speicher, sollte den rechtlichen Aspekten genügend Aufmerksamkeit gewidmet werden. Legal und Compliance, wie beispielsweise Datenschutz und Datensicherheit, verlangen Aufmerksamkeit und etwas Zeit, sind jedoch keine unüberwindbaren Hindernisse.
AskMeWhy legt grossen Wert auf den Schutz der Daten seiner Kunden und die Einhaltung des Datenschutz. Gemeinsam mit dem Auftraggeber erheben wir die Anforderungen und entwickeln die Regeln für den Umgang mit sensiblen Personendaten und anderen Daten. Bei höheren Sicherheitsanforderungen ziehen wir auch den Eidgenössischen Datenschutz zur Unterstützung bei.
Haben Sie Fragen zum Thema Datenschutz und Datensicherheit? Melden Sie sich über unser Kontaktformular, via E-Mail oder telefonisch. Simon Feldkamp, 079 503 42 60, simon@askmewhy.ch
Simon Feldkamp |
January 11, 2015 | Azure, Cloud Sicherheit, Cloudpower, Office 365 |	0 Comments
« Rückenwind dank Robbi Steiner – Office 365 und Azure Specialist	Datenschutz am Beispiel von Office 365 und Windows Azure – Teil 2: Sicherheit- und Qualitätsanforderungen »	Kommentieren Abbrechen
You must be logged in to post a comment.	Share; Share this on Twitter Aktuelle BeiträgeBeliebtMicrosoft P-Seller with real-life hands-on experience Seamless - do great things! Microsoft zeichnet uns für «Seamless» mit dem Partner of the Year Award aus Seamless from AskMeWhy has been nominated as Microsoft Partner of the Year Finalist Office 365 in der Finanzbranche SEAMLESS für effiziente Zusammenarbeit in Projekten und Teams
Über uns	Wir führen unsere Kunden an die Microsoft Cloud heran, klären auf über Datenschutz und Sicherheit, entwickeln massgeschneiderte Roadmaps, arbeiten mit beim Wechsel in die Cloud, maximieren die Nutzung und unterstützen beim IT-Betrieb.»
Letzte BeiträgeMicrosoft P-Seller with real-life hands-on experience Seamless – do great things! Microsoft zeichnet uns für «Seamless» mit dem Partner of the Year Award aus Aktuelle Tweets #amwtest and again a test2 months ago#amwtest just another test record in twitter2 months ago#amwtest here Comes my flow test2 months ago→ Follow us	Newsletter abonnieren	Email Address :
© AskMeWhy, Rotfluhstrasse 85, 8072 Zollikon	Proudly powered by Windows Azure Websites ☁