Source: http://blog.orbit.de/2017/07/11/cloud-computing-und-ds-gvo/
Timestamp: 2017-10-19 18:29:32
Document Index: 335119442

Matched Legal Cases: ['Art. 28', '§ 11', 'Art. 32', 'Art. 5', 'Art. 82', 'Art. 83', 'Art. 83']

Cloud Computing und die Datenschutzgrundverordnung (DS-GVO) – Gastbeitrag - ORBIT Blog
Cloud Computing und die Datenschutzgrundverordnung (DS-GVO) – Gastbeitrag
Ab dem 25.5.2018 gilt die DS-GVO europaweit. Bis dahin müssen Unternehmen alle Prozesse anpassen, bei denen personenbezogene Daten verarbeitet werden. Ab diesem Stichtag besteht ein verschärftes Haftungsrisiko bei Datenschutzverstößen und es drohen erheblich angehobene Bußgelder.
Auch laut der DS-GVO gilt der Grundsatz: Die Verarbeitung personenbezogener Daten ist nur gestattet, wenn eine gesetzliche Erlaubnis vorliegt oder die ausdrückliche Einwilligung der betroffenen Person. Dieser Grundsatz muss auch beachtet werden, wenn personenbezogene Daten durch Dritte verarbeitet werden.
Allerdings regelt die DS-GVO als Ausnahme: Wenn die Datenverarbeitung den Vorgaben der sogenannten „Auftragsverarbeitung“ folgt (Art. 28 ff DS-GVO), gelten die „Auftragsverarbeiter“ nicht als Dritte. Die gute Nachricht lautet also: Im Auftrag eines Unternehmens können Cloud-Anbieter auch künftig die Daten ohne die Einwilligung der betroffenen Person verarbeiten.
Der Vertrag kann entweder schriftlich oder in elektronischer Form geschlossen werden. Der Cloud-Anbieter kann einen eigenen Mustervertrag zertifizieren lassen, wobei das Zertifizierungsverfahren in der DS-GVO festgelegt ist. Inhaltlich muss sich der Vertrag weitgehend an den Vorgaben des Bundesdatenschutzgesetzes orientieren (§ 11 Abs. 2 BDSG).
Wesentlich erweitert wurden unter anderem die Dokumentationspflichten: So muss der Cloud-Anbieter alle Anweisungen seines Auftraggebers und die Maßnahmen zur Sicherheit der personenbezogenen Daten sorgfältig dokumentieren (Art. 32 DS-GVO).
Personen, die eine rechtswidrige Verarbeitung ihrer Daten feststellen, können Ansprüche auf Schadensersatz unmittelbar zivilrechtlich geltend machen. Dabei schafft die DS-GVO auch die Möglichkeit des Verbandsklagerechts.
Auftraggeber und Cloud-Anbieter müssen jederzeit nachweisen können, dass sie die DS-GVO eingehalten haben (Art. 5 Abs. 2 u. Art. 82 Abs. 3 DS-GVO). Kann dieser Nachweis nicht erbracht werden, wird ein Bußgeld fällig. Es besteht also eine Beweislastumkehr zu Lasten der Cloud-Anbieter und ihrer Auftraggeber.
Neu ist auch die Möglichkeit einer gesamtschuldnerischen Haftung von Cloud-Anbieter und Auftraggeber, etwa für Handlungen eines Unterbeteiligten des Auftraggebers, wenn dieser z. B. keinen geeigneten Dokumentationsnachweis vorlegen kann (Art. 83 Abs. 3 DS-GVO).
DS-GVO sieht deutlich höhere Bußgelder vor
Bei Verstößen gegen die DS-GVO können die Aufsichtsbehörden künftig auf deutlich höhere Bußgelder zurückgreifen. Diese betragen bis zu 10 Mio. € oder bis zu 2% des gesamten weltweiten Jahresumsatzes des abgelaufenen Finanzjahres. Maßgeblich ist dabei der jeweils höhere Betrag (Art. 83 Abs. 4 a DS-GVO). Als Verstoß gilt z. B. die mangelhafte Dokumentation von Anweisungen des Auftraggebers.
Vor allem die erweiterten Haftungsmöglichkeiten und die hohen Bußgelder sollten die Unternehmensleitung veranlassen, sich frühzeitig mit der Umstellung auf die DS-GVO zu befassen. Im Hinblick auf das Thema Cloud-Computing müssen alle bestehenden Verträge geprüft und angepasst werden.
Kategorie: Cloud | Schlagwörter: Datenschutz, Datenschutzgrundverordnung, Sicherheit | Kommentare: 0