Source: https://blog.orbit.de/2017/07/11/cloud-computing-und-eu-dsgvo/
Timestamp: 2019-11-17 10:30:17
Document Index: 36962699

Matched Legal Cases: ['Art. 28', 'Art. 40', 'Art. 42', '§ 11', 'Art. 32', 'Art. 5', 'Art. 82', 'Art. 83', 'Art. 83']

Cloud Computing und die EU-DSGVO – Gastbeitrag - ORBIT-Blog
11.07.2017 | geschrieben von Matthias Rosa
Ab dem 25.5.2018 gilt die EU-DSGVO europaweit. Bis dahin müssen Unternehmen alle Prozesse anpassen, bei denen personenbezogene Daten verarbeitet werden. Ab diesem Stichtag besteht ein verschärftes Haftungsrisiko bei Datenschutzverstößen und es drohen erheblich angehobene Bußgelder.
Verbot mit Erlaubnisvorbehalt und „Auftragsverarbeitung“
Auch laut der EU-DSGVO gilt der Grundsatz: Die Verarbeitung personenbezogener Daten ist nur gestattet, wenn eine gesetzliche Erlaubnis vorliegt oder die ausdrückliche Einwilligung der betroffenen Person. Dieser Grundsatz muss auch beachtet werden, wenn personenbezogene Daten durch Dritte verarbeitet werden.
Allerdings regelt die DSGVO als Ausnahme: Wenn die Datenverarbeitung den Vorgaben der sogenannten „Auftragsverarbeitung“ folgt (Art. 28 ff DSGVO), gelten die „Auftragsverarbeiter“ nicht als Dritte. Die gute Nachricht lautet also: Im Auftrag eines Unternehmens können Cloud-Anbieter auch künftig die Daten ohne die Einwilligung der betroffenen Person verarbeiten.
Der Auftraggeber darf dabei nur solche Cloud-Anbieter beauftragen, die hinreichende technisch-organisatorische Maßnahmen zum Schutz personenbezogener Daten garantieren. Dazu muss der Auftraggeber sicherstellen, dass der Cloud-Anbieter über genügend Fachwissen und Ressourcen verfügt. Als Nachweis können die sogenannten „genehmigten Verhaltensregeln“ oder anerkannte Zertifizierungen des Cloud-Anbieters herangezogen werden (Art. 40 u. Art. 42 DS-GVO).
Cloud-Anbieter sind vertraglich weisungsgebunden
Wie bisher muss das Verhältnis zwischen dem Unternehmen, das die Verarbeitung personenbezogener Daten in Auftrag gibt, und dem Cloud-Anbieter vertraglich geregelt sein. Dabei ist der Cloud-Anbieter zu verpflichten, allein den Weisungen seines Auftraggebers zu folgen und nur nach diesen Weisungen zu handeln.
Der Vertrag kann entweder schriftlich oder in elektronischer Form geschlossen werden. Der Cloud-Anbieter kann einen eigenen Mustervertrag zertifizieren lassen, wobei das Zertifizierungsverfahren in der EU-DSGVO festgelegt ist. Inhaltlich muss sich der Vertrag weitgehend an den Vorgaben des Bundesdatenschutzgesetzes orientieren (§ 11 Abs. 2 BDSG).
Dokumentation- und Unterstützungspflichten
Wesentlich erweitert wurden unter anderem die Dokumentationspflichten. So muss der Cloud-Anbieter alle Anweisungen seines Auftraggebers und die Maßnahmen zur Sicherheit der personenbezogenen Daten sorgfältig dokumentieren (Art. 32 DSGVO).
Darüber hinaus hat der Cloud-Anbieter gegenüber seinem Auftraggeber bestimmte Unterstützungspflichten, die ebenfalls vertraglich festgelegt sein sollten. Durch technisch-organisatorische Maßnahmen muss gesichert sein, dass etwa
Betroffenenrechte beachtet werden,
Datenschutzverletzungen pflichtgemäß gemeldet werden und
eine Datenschutzfolgeabschätzung durchgeführt wird.
Meldepflichtig: der Einsatz von Subunternehmen
Wenn der Cloud-Anbieter Subunternehmer einsetzen will, muss er in jedem Fall vorab die schriftliche oder elektronische Zustimmung des Auftraggebers einholen. Der Auftraggeber kann der Beschäftigung von Subunternehmen widersprechen. Können sich die Vertragspartner dann nicht einigen, führt dies unmittelbar zur Beendigung des Vertrages über die Auftragsverarbeitung.
Betroffenenklage und Beweislastumkehr
Personen, die eine rechtswidrige Verarbeitung ihrer Daten feststellen, können Ansprüche auf Schadensersatz unmittelbar zivilrechtlich geltend machen. Dabei schafft die EU-DSGVO auch die Möglichkeit des Verbandsklagerechts.
Auftraggeber und Cloud-Anbieter müssen jederzeit nachweisen können, dass sie die DSGVO eingehalten haben (Art. 5 Abs. 2 u. Art. 82 Abs. 3 DSGVO). Wenn sie diesen Nachweis nicht erbringen können, wird ein Bußgeld fällig. Es besteht also eine Beweislastumkehr zu Lasten der Cloud-Anbieter und ihrer Auftraggeber.
Unmittelbare Haftung des Cloud-Anbieters
Der Cloud-Anbieter kann künftig auch unmittelbar gegenüber Betroffenen haften, z. B. bei Abweichungen von Weisungen des Auftraggebers, sofern diese zu einer unzulässigen Datenverarbeitung führen.
Cloud-Anbieter und Auftraggeber können als Gesamtschuldner haften
Neu ist auch die Möglichkeit einer gesamtschuldnerischen Haftung von Cloud-Anbieter und Auftraggeber, etwa für Handlungen eines Unterbeteiligten des Auftraggebers, wenn dieser z. B. keinen geeigneten Dokumentationsnachweis vorlegen kann (Art. 83 Abs. 3 DSGVO).
EU-DSGVO sieht deutlich höhere Bußgelder vor
Bei Verstößen gegen die DSGVO können die Aufsichtsbehörden künftig auf deutlich höhere Bußgelder zurückgreifen. Diese betragen bis zu 10 Mio. € oder bis zu 2% des gesamten weltweiten Jahresumsatzes des abgelaufenen Finanzjahres. Maßgeblich ist dabei der jeweils höhere Betrag (Art. 83 Abs. 4 a DSGVO). Als Verstoß gilt z. B. die mangelhafte Dokumentation von Anweisungen des Auftraggebers.
Vor allem die erweiterten Haftungsmöglichkeiten und die hohen Bußgelder sollte die Unternehmensleitung veranlassen, sich frühzeitig mit der Umstellung auf die EU-DSGVO zu befassen. Im Hinblick auf das Thema Cloud-Computing müssen Unternehmen alle bestehenden Verträge prüfen und anpassen.
Kategorie: Cloud | Schlagwörter: Datenschutz, DSGVO | Kommentare: 0
CAPTCHA * Time limit is exhausted. Please reload CAPTCHA. − 5 = vier