Source: http://www.compliance-net.de/node/174
Timestamp: 2018-04-19 19:18:35
Document Index: 283345131

Matched Legal Cases: ['§ 11', '§ 9', '§ 11', '§ 11', '§ 9', '§ 146', '§ 146', '§ 64', '§ 203', '§ 203']

Auswirkungen auf das IKS beim Einsatz von Cloud Computing: Teil 3 - Compliance | compliance-net
Startseite » IT Compliance » Cloud Computing » Serie: Cloud Computing und IKS » Teil 5: Auswirkungen auf das IKS » Auswirkungen auf das IKS beim Einsatz von Cloud Computing: Teil 3 - Compliance
Auswirkungen auf das IKS beim Einsatz von Cloud Computing: Teil 3 - Compliance
Gespeichert von Jessica Kathage am 10. April 2017 - 18:25
Wie in Teil 3: "Rechtliche Aspekte beim Cloud Computing" beschrieben, sind zwei wesentliche datenschutzrechtliche Anforderungen zu beachten. Die Anforderungen aus § 11 Abs. 2 BDSG sind vertraglich umzusetzen und es sind Vorkehrungen nach § 9 BDSG zu treffen, wenn die Auftragserteilung innerhalb der EU oder des EWR stattfindet. Bei einer Auftragserteilung in Drittstaaten ist ein angemessenes Datenschutzniveau sicherzustellen. Einen weiteren wichtigen Aspekt stellt die Löschung personenbezogener Daten dar. Diese müssen gelöscht werden, sobald sie nicht mehr für den Zweck benötigt werden, zu dem sie erhoben wurden. Ausnahmen stellen z.B. aufbewahrungspflichtige Daten dar.
Kontroll-ID
Kontrollziel
Kontrollaktivität
Das Unternehmen geht den Vorgaben des Bundesdatenschutzgesetzes nach.
Umsetzung der vertraglichen Anforderungen nach § 11 BDSG
Überprüfung der Vertragsinhalte im Hinblick auf die Anforderungen aus § 11 BDSG
Treffung von Vorkehrungen nach § 9 BDSG Sicherstellung eines angemessenen Datenschutzniveaus
Einholung und Überprüfung einer Datenschutzzertifizierung durch den Cloud-Anbieter
Sicherstellung, dass personenbezogene Daten gelöscht werden
Überprüfung der Vertragsinhalte im Hinblick auf die Datenlöschung
Tabelle 19: Kontrollen C1, C2 und C3 Compliance Datenschutz
Abgabenordnung – Finanzbuchführung im Ausland
Werden, wie in Teil 3: "Rechtliche Aspekte beim Cloud Computing" beschrieben, Bücher und sonstige erforderliche Aufzeichnungen nach § 146 Abs. 2a AO außerhalb des Geltungsbereiches des Gesetzes aufbewahrt, so bedarf dies einer Bewilligung der zuständigen Finanzbehörde.
Das Unternehmen geht den Vorgaben der Abgabenordnung in Bezug auf Finanzbuchführung im Ausland nach.
Einholung einer Bewilligung der zuständigen Finanzbehörde gemäß § 146 Abs. 2a AO
Überprüfung, ob eine Bewilligung vorliegt
Tabelle 20: Kontrolle C4 Compliance AO Finanzbuchführung im Ausland
In Teil 3: "Rechtliche Aspekte beim Cloud Computing" werden die gesetzlichen Besonderheiten bei der Auslagerung von Versicherungsdaten aufgeführt. Gemäß dem BaFin-Rundschreiben 03/2009 sind Vorgaben zu vertraglichen Regelungen zu erfüllen. Darüber hinaus muss sich das auslagernde Unternehmen vertraglich Auskunfts- und Weisungsrechte sichern.
Das Unternehmen geht den Vorgaben des Versicherungsaufsichtsgesetzes nach.
Treffen von vertraglichen Regelungen nach den Vorgaben des BaFin-Rundschreibens 03/2009
Überprüfung der Vertragsinhalte im Hinblick auf die Kriterien des BaFin-Rundschreibens 03/2009.
Vertragliche Sicherung der erforderlichen Auskunfts- und Weisungsbefugnisse nach § 64a VAG
1. Sichtung der vertraglichen Vereinbarungen zu Auskunfts- und Weisungsbefugnissen
2. Regelmäßige Beurteilung der Leistung des Anbieters
Tabelle 21: Kontrollen C5 und C6 Compliance Versicherungsaufsichtsgesetz
Personenkreise nach § 203 StGB sind zur Geheimhaltung von fremden Geheimnissen verpflichtet. In Kapitel 2.5.5 wurden zwei Möglichkeiten angesprochen, wie dies bei der Auslagerung von Unternehmensdaten zu verhindern ist: zum einen durch die Auslagerung der Daten in verschlüsselter Form oder zum anderen durch die Einführung eines doppelten Arbeitsverhältnisses. Da gemäß den Kontrollen drei und zwölf sowohl die Übertragung als auch die Speicherung der Daten ausschließlich verschlüsselt erfolgen sollte, gelten diese Kontrollen als ausreichend im Sinne der Anforderungen aus § 203 StGB (siehe Kontroll-ID 3 und 12).
Sieht die genutzte Software eine Überwachung des Verhaltens oder der Leistung der Mitarbeiter vor, so ist der Betriebsrat in diese Entscheidung mit einzubeziehen. Es bedarf also der Zustimmung durch den Betriebsrat.
Das Unternehmen geht den Vorgaben des Betriebsverfassungsgesetzes nach.
Einholung einer Zustimmung durch den Betriebsrat, wenn die genutzte Software eine Überwachung von Verhalten oder Leistung der Mitarbeiter explizit vorsieht
Überprüfung, ob die genutzte Software eine Überwachung von Verhalten oder Leistung der Mitarbeiter explizit vorsieht und ob dazu eine Zustimmung durch den Betriebsrat vorliegt
Tabelle 22: Kontrolle C7 Compliance Betriebsverfassungsgesetz
Einhaltung von Aufbewahrungspflichten
In Teil 3: "Rechtliche Aspekte beim Cloud Computing" sind die einschlägigen rechtlichen Anforderungen an die Datenaufbewahrung dargestellt. Die Einhaltung dieser Aufbewahrungsfristen und die Beachtung der Anforderungen an die Aufbewahrungsart müssen sichergestellt werden.
Das Unternehmen geht den gesetzlichen Anforderungen zur Datenaufbewahrung nach.
Erstellung von Richtlinien und geeigneten Maßnahmen zur Datenaufbewahrung.
1. Überprüfung der Richtlinie zur Datenaufbewahrung im Hinblick auf ihre Vollständigkeit und Richtigkeit
2. Durchführung von Reviews der aufbewahrungspflichtigen Daten
Tabelle 23: Kontrolle C8 Compliance Datenaufbewahrung
Zurück zu Teil 5b: "Auswirkungen auf das IKS beim Einsatz von Cloud Computing: Teil 2 - Cloud-spezifische Risiken"
Zurück zu Teil 5a: "Auswirkungen auf das IKS beim Einsatz von Cloud Computing: Teil 1 - Allgemeine Risiken"
Zurück zu Teil 4: "Welche Risiken bringt die Nutzung von Cloud Computing für Unternehmen mit sich?"
Zurück zu Teil 3: "Rechtliche Aspekte beim Cloud Computing"
Zurück zu Teil 2: "Welche Vorteile kann die Nutzung von Cloud Computing für Unternehmen mit sich bringen?"
Zurück zu Teil 1: "Cloud Computing, seine Betriebsformen und Servicemodelle - eine Einführung"
Tweets by compliance__net