Source: http://docplayer.org/1195085-Probeexemplar-aktuelles-it-und-internet-recht-air-schnellinformation-fuer-die-praxis-januar-ausgabe-1-2011.html
Timestamp: 2016-10-27 15:45:52
Document Index: 121680161

Matched Legal Cases: ['EuG', 'BGH', 'BGH', 'BGH', 'BGH', 'EuG', 'BGH', 'BGH', 'BGH', 'BGH', 'BGH', 'BGH', 'BGH', 'BGH', 'BGH', 'EuG', 'Art. 27', 'Art. 29', 'Art. 17']

⭐Probeexemplar. Aktuelles IT- und Internet-Recht AIR Schnellinformation für die Praxis. Januar Ausgabe 1/2011
Probeexemplar. Aktuelles IT- und Internet-Recht AIR Schnellinformation für die Praxis. Januar Ausgabe 1/2011
Download "Probeexemplar. Aktuelles IT- und Internet-Recht AIR Schnellinformation für die Praxis. Januar Ausgabe 1/2011"
1 Probeexemplar Aktuelles IT- und Internet-Recht AIR Schnellinformation für die Praxis Januar Ausgabe 1/2011 Editorial IT- und Internet-Recht entwickeln sich mit zunehmender Geschwindigkeit. Sich über die jeweils aktuellen rechtlichen Anforderungen zu orientieren, erfordert zunehmenden Zeitaufwand. Der Informationsdienst AIR fasst deshalb für die Praxis monatlich aus den einschlägigen Fachzeitschriften die wichtigsten Urteile zusammen, enthält Originalbeiträge und gibt Hinweise auf Aufsätze und Rechtsentwicklungen. Im Vordergrund stehen in der IT-Praxis verwertbare Informationen. Compliance-Pflichten von CIOs werden besonders berücksichtigt. Die Form der Online-Publikation ermöglicht erhöhte Aktualität und damit einen Informationsvorsprung. Inhalt Urteile EuGH,Urt.v C-393/09 2 BGH, Urt.v VIII ZR 346/09 2 BGH, Urt.v I ZR 66/08, Holzhocker, mit Anmerkung 2 BGH, Urt.v I ZR 178/08 Half-Life 2, mit Anm. 2 BGH, Urt.v I ZR 39/08 Session-ID, mit Anm. 4 BAG, Beschl.v ABR 80/08 4 OLG Frankfurt/M., Urt.v U 13/10, mit Anm. 4 OLG Düsseldorf, Urt.v U 247/08 5 OLG Karlsruhe, Urt.v U 46/09 6 OLG Celle, Urt.v U 38/09 6 Themen Cloud Computing Verträge und Datenschutz 7 Die wichtigsten Compliance-Prüfpunkte für Unternehmer und deren CIOs 19 Erscheinungsweise AIR monatlich online als PDF Bezugspreis pro Exemplar Euro 9,90, Jahresabonnement Euro 98,00 jeweils inkl. Mwst Bestellung bei und Lieferung mit Rechnung durch: Rechtsanwalt Dr. Frank A. Koch, Maximilianstr. 54, München, Tel. 089/ , 089/ , Fax: 089/ Deutsche Bank Konto: BLZ: Website:2 Urteile EuGH, Urt.v C-393/09 (BeckRS 2010, 91497) Eine grafische Benutzeroberflächen von Computerprogrammen ist aus Urheberrecht nur als eigenständige Schöpfung schutzfähig, nicht als Ausdrucksform von Computerprogrammen. 1 BGH, Urt.v VIII ZR 346/09 (Pressemitt. 3/2011) Das Gericht sieht auch in einer Fotografie von einem Fahrzeug, die in einer Internet-Tauschbörse präsentiert wird (und die eine Standheizung im Fahrzeug zeigt, die aber dann ausgebaut wurde), eine bindende Beschaffenheitsangabe, deren Nichteinhaltung einen Nacherfüllungsanspruch begünden kann. BGH, Urt.v I ZR 66/08, CR 2010, 804 Holzhocker Der Unternehmer muss dem Verbraucher die bei Fernabsatzverträgen zu erteilenden Informationen ( 312c, 355 BGB) in einer zur dauerhaften Wiedergabe geeigneten Weise abgeben und diese Informationen außerdem dem Verbraucher in einer zur dauerhaften Weise geeigneten Weise zugehen lassen. Die Widerrufsfrist des 355 Abs. 1 Satz 2 BGB von zwei Wochen läuft nicht bereits, wenn diese Informationen auf der Website des Unternehmers nur abrufbar sind, sondern erst ab Zugang. Anmerkung: Maßgeblich ist nach Auffassung des I. Senats damit nicht, ob die Informationen abrufbar sind, sondern, ob sie dem Verbraucher tatsächlich übermittelt wurden. BGH, Urt.v I ZR 178/08, MMR 2010, 771 = NJW 2010, 2661 Half- Life 2 Der Anbieter eines urheberrechtlich geschützten Werkstücks (hier: eines Computerspiels auf DVD) ist berechtigt, das Werk(stück) so zu gestalten, dass es nur in einer bestimmten Art und Weise genutzt werden kann, also etwa vorzusehen, dass die Nutzung erst nach Einrichten eines Benutzerkontos mit individueller Kennung über eine Online-Verbindung zum Hersteller möglich ist. Der Anbieter ist weiter berechtigt, nur die einmalige Einrichtung eines Benutzerkontos zu gestatten und im Lizenzvertrag die Veräußerung des Benutzerkontos oder die Überlassung gegen Vergütung zu untersagen. Diese technische Gestaltung und vertraglichen Regelungen sind zulässig, da sie sich nicht aus dem Verbreitungsrecht ergeben. Wesentlicher Erwägungsgrund des Gerichts ist, dass zwar eine Erschöpfung des Verbreitungsrechts an einem (auf Datenträger) verkörperten Werkexemplar mit dessen Veräußerung eintritt (Randziff. 21, 22 des Urteils) und der Anbieter die Weiterveräußerung deshalb nicht wirksam untersagen kann. Jedoch kann der 1 S. auch unten OLG Karlsruhe, Urt.v IT- und Internet-Recht aktuell 1/2011 23 Anbieter das Werkstück technisch so ausgestalten, dass seine Nutzung nur über die Online-Registrierung möglich ist. Nach Auffassung des Gerichts ist der Anbieter nämlich nur verpflichtet, die Weiterveräußerung eines verkehrsfähigen Werkexemplars nicht zu verbieten, damit es im freien Warenverkehr (weiter) gehandelt werden kann. Er ist aber nicht verpflichtet, es technisch so zu gestalten, dass es frei gehandelt werden kann. Er darf also die Weiterveräußerung nicht im Vertrag mit dem Käufer untersagen und ist auch gehindert, dem Folgeerwerber am Erwerb aus Urheberrecht zu hindern. Er darf aber eine Produktaktivierungsroutine vorsehen und vertraglich regeln, dass das durch die Aktivierung eingeräumte Nutzungsrecht nicht auf Dritte übertragen werden darf, denn er sei frei, ob und in welcher Form er das Werkstück zugänglich macht. Anmerkung: Diese BGH-Entscheidung hat für das Urheberrecht zentrale Bedeutung. Hierin wurde bereits ein Paradigmenwechsel der Softwarelizenzierung gesehen, der den Weg für eine dauerhaft personengebundene Softwarelizenzierung ebne. 2 Der BGH beschränkt seine Ausführungen nicht ausdrücklich auf einen besonderen Sachverhalt (Vertrieb des Computerspiels), sondern bezieht sie generell auf urheberrechtlich geschützte Werke, damit auch auf Computerprogramme. Im Einzelfall bleibt deshalb zu prüfen, ob der Käufer der Software in der Lage ist, die Software in bestimmungsgemäßer Weise zu benutzen ( 69 d Abs. 1 UrhG). Erhält er (im Rahmen des Kaufpreises) ein Benutzerkonto mit individueller Kennung eingerichtet, so ist für ihn die Benutzbarkeit nicht beeinträchtigt. Dritte können andererseits frei das Programmexemplar auf Datenträger vom Käufer erwerben, aber nicht nutzen, womit es im Ergebnis wirtschaftlich nicht verkehrsfähig ist. Mit diesem Ansatz wird freilich das Risiko begründet, dass Anbieter generell durch solche Personalisierungen mittelfristig jede freie Weiterverbreitung ihrer Software unterbinden und damit insoweit den Erschöpfungsgrundsatz und zugleich in diesem Marktsegment den freien Warenverkehr leerlaufen lassen. Zudem ist dieser Ansatz vom Sachverhalt her nicht zwingend erforderlich. Aus diesem ergibt sich nämlich, dass der Erwerber nicht nur einfach eine Nutzungskennung zugewiesen erhält, um dann das Spiel isoliert auf seinem Rechner zu nutzen. Vielmehr ist mit dem Computerspiel ein interaktives Spielen im Internet mit anderen Teilnehmern möglich. Jeder dieser Teinehmer muss hierfür ein Benutzerkonto zugewiesen erhalten, um mit anderen online (im Multiplayer- Modus ) spielen zu können. Das Benutzerkonto bezieht sich damit wesentlich auf eine internetgestützte Nutzung. Diese Nutzungsmöglichkeit des interaktiven Spiels besteht nur mit Online-Anbindung. Die Spielzüge der anderen Teilnehmer können nur über das Internet verfolgt und erwidert werden. Vor diesem Hintergrund stellt sich die Frage, ob die auf das Benutzerkonto bezogene Vertragsregelung nicht eigentlich eine Regelung des Rechts der öffentlichen Zugänglichmachung darstellt ( 19 a, 69 c Nr. 4 UrhG). Allerdings hilft dies insoweit nicht weiter, als nach wohl überwiegender Auffassung dieses Recht der öffentlichen Zugänglichmachung nur vom Anbieter gegenüber möglichen Urhebern der Spielesoftware benötigt wird. Er muss ihnen gegenüber berechtigt sein, das Spiel ins Netz zu stellen. Die 19 a, 69 c Nr. 4 UrhG erfassen aber nicht das Vertragsverhältnis des Anbieters zu seinen online nutzenden Kunden, in dem diesen Online-Zugangsrechte eingeräumt werden. Aus Urheberrecht besteht 2 Rössel, Urteilsanmerkung, IT-Rechtsberater 10/2010, 223. IT- und Internet-Recht aktuell 1/2011 34 deshalb kein Anspruch von Folgeerwerbern, diesen Zugang zum Online-Spiel eingeräumt zu erhalten. Das betrifft aber eben den Zugang zum Online-Spiel, nicht notwendig generell jede Benutzung von Software. Zu weitgehend erscheint deshalb die Formulierung eines redaktionellen Leitsatzes Nr. 3 in der Fundstelle MMR, wonach generell kein Anspruch eines Software- Erwerbers darauf bestehe, mit dem Erwerb des urheberrechtlich geschützten Computerprogramms auch eine Nutzungsmöglichkeit eingeräumt zu erhalten. Der BGH hatte sich nur mit der netzbasierten interaktiven Nutzung zu befassen, nicht mit jeder beliebigen Benutzung auf einzelnen Rechnern. Im Gegenteil wird zumindest der Ersterwerber durchaus beanspruchen können, auch die beschriebene Nutzungsmöglichkeit und sogar die Einräumung eines Benutzerkontos eingeräumt zu erhalten. BGH, Urt.v I ZR 39/08, GRUR 2011, 56 Session-ID Macht ein Berechtigter durch eine technische Schutzmaßnahme i.s.v. 95 a UrhG (Zuweisung einer Session-ID) erkennbar, dass der öffentliche Zugang zu seiner Website nur über deren Startseite erfolgen soll, verletzt das Setzen eines Links direkt auf eine nachgeordnete Seite ( Deep Link ) das Recht des Berechtigten zur öffentlichen Zugänglichmachung ( 19 a UrhG). Das gilt auch, wenn die Schutzmaßnahme nicht wirksam, aber erkennbar ist. Der Beklagte hatte sich mittels eines von ihm geschriebenen Skripts den direkten Zugang eröffnet. Anmerkung: In seiner Entscheidung BGHZ 156, 1 = GRUR 2003, 958 Paperboy hatte der BGH festgehalten, dass das Setzen eines Deep Link auf eine frei zugreifbare Seite keine unzulässige urheberrechtliche Nutzungshandlung darstellt. Der Linksetzer verweist nur auf die Seite, hält sie aber nicht selbst zum Abruf bereit und übermittelt sie auch nicht. Er haftet auch nicht als Störer. Das gilt nicht, wenn der Zugang durch eine technische Schutzmaßnahme über die Startseite ( Homepage ) leitet. Das Setzen eines Deep Link stellt dann ein unzulässiges Umgehen dieser Schutzmaßnahme dar. Allerdings muss es sich um eine technische Schutzmaßnahme handeln. Nicht ausreichend dürfte sein, auf einer der Startseite vorgeschalteten Seite einfach nur einen Hinweis zu geben, dass der Zugang nur über die Startseite zulässig sein soll. BAG, Beschl.v ABR 80/08 EBE/BAG 15,12, 2010 Der Betriebsrat kann, sofern berechtigte Belange des Arbeitgebers nicht entgegenstehen, von diesem die Eröffnung eines Internetzugangs und die Einrichtung eigener -Adressen auch für einzelne Betriebsratsmitglieder verlangen. OLG Frankfurt/M., Urt.v U 13/10, MMR 2010, 681 Der Anbieter einer Software kann im Volumenlizenzvertrag die Übertragbarkeit der eingeräumten Nutzungsrechte wirksam ausschließen und den Ersterwerber außerdem verpflichten, einen Zweiterwerber auf die Bedingungen des Volumenlizenzvertrags zu verpflichten. Wirksam kann weiter vereinbart werden, IT- und Internet-Recht aktuell 1/2011 45 dass die Software nur an Endbenutzer weitergegeben und nur zu diesem Zweck vervielfältigt werden darf. An unter Verletzung des Vertrags erstellten Programmkopien auf Datenträger kann anderen kein Nutzungsrecht eingeräumt werden. Das gilt auch, wenn notarielle Bestätigungen zum Lizenzerwerb beigebracht werden. Anmerkung: Das Urteil schränkt das Weiterverbreitungsrecht der Ersterwerbers einer Software auf den ersten Blick deutlich ein. Er soll nämlich Folgeerwerber verpflichten, die vertraglichen Nutzungsbedingungen des Anbieters einhalten zu müssen. Außerdem soll der Ersterwerber nur mit Endbenutzern einen Vertrag zur Weiterveräußerung schließen dürfen. Wenn der Ersterwerber aber ein Programmexemplar auf Datenträger erworben hat, erschöpft sich an diesem Exemplar das Verbreitungsrecht des Anbieters. Der Eintritt der Erschöpfungswirkung des Verbreitungsrechts aus Urheberrecht kann nicht davon abhängen, dass der Ersterwerber später bestimmte Verträge mit Folgeerwerbern schließt. Die Erschöpfungswirkung tritt nämlich sofort mit Veräußerung an den Ersterwerber ein. Eine andere Frage ist, ob der Ersterwerber schuldrechtlich gegenüber dem Anbieter zur Einhaltung bestimmter Pflichten verpflichtet ist. Auch bei Verletzung dieser Pflichten durch den Ersterwerber kann aber der Folgeerwerber dinglich wirksam das Vervielfältigungsstück erwerben, wiederum weiterveräußern und bestimmungsgemäß benutzen. Von diesem Erwerb eines Programmexemplars zu unterscheiden ist freilich das einzelne Recht zur Nutzung der Software. Unternehmen erwerben oft für eine bestimmte Anzahl gleichzeitig nutzender Mitarbeiter Nutzungsrechte. Diese Rechte sind als solche nicht isoliert übertragbar. Der Ersterwerber kann nur das erworbene Software-Exemplar als solches mit allen zugehörigen Nutzungsrechten weiterübertragen. Keinesfalls darf er Programmkopien auf Datenträger brennen und nur mit einem Teil der Nutzungsrechte weiterveräußern und die restlichen, von ihm nicht benötigten Nutzungsrechte weiter ausüben. An solchen selbstgebrannten Kopien tritt keine Erschöpfung des Verbreitungsrechts des Anbieters ein. Das muss erst recht gelten, wenn ein Mitarbeiter des Ersterwerbers ohne dessen Wissen Kopien brennt. Hier erwirbt der Folgeerwerber kein Nutzungsrecht. Nicht entscheidend ist, ob er einer vorgelegten (unzutreffenden) notariellen Bestätigung Glauben schenkte, dass das Programm beim Ersterwerber gelöscht wurde, denn auf guten Glauben kommt es im Urheberrecht nicht an. OLG Düsseldorf, Urt.v U 247/08, GRUR-RR 2010, 4 Wird ein auf einem Computer vorinstalliertes Computerprogramm veräußert, tritt die Erschöpfung des Verbreitungsrecht auch an diesem Programmexemplar ein, aber nur in dieser besonderen Verkörperungsform des Programms auf der Hardware. Der Erwerber darf hier das Programmexemplar nur zusammen mit dem Rechner weiterveräußern. Unzulässig ist es, eine Sicherungskopie zu erstellen und diese getrennt zu veräußern. Dies gilt auch dann, wenn der Anbieter dem Sicherungskopieren zugestimmt hat und sogar, wenn der Erwerber die Software auf dem Rechner gelöscht hat. Anmerkung: Das Programmexemplar ist hier nicht auf separatem Datenträger IT- und Internet-Recht aktuell 1/2011 56 verkörpert, sondern im Rechner selbst. Der Erwerber darf das Programm mit dem Datenträger veräußern, aber nicht auf Datenträger kopieren und diese Kopie getrennt weiterveräußern. Diese Kopie ist nämlich nicht die vom Anbieter verbreitete Kopie. Das Erstellen der Sicherungskopie ist zwar nach 69 d Abs. 2 UrhG zustimmungsunabgängig zulässig, sofern es für die Sicherung zukünftige Benutzung erforderlich ist. Die Weiterveräußerung ist aber keine solche Benutzung, sondern das Ausüben eines (dem Erwerber nicht eingeräumten) Verwertungsrecht. Das Löschen des Programms beim Ersterwerber muss erfolgen, wenn er einen Originaldatenträger weiterveräußert, damit weitere Nutzung durch den Ersterwerber ausgeschlossen ist. Das Löschen hilft hingegen nicht, wenn nicht die auf dem Rechner vorinstallierte Programmkopie mit diesem weiterveräußert, sondern eine selbsterstellte Kopie. Das Problem stellt sich nur in den Fällen, in denen jeweils eine Sicherungskopie vom vollständigen Programm erstellt wird. Eigenständig weiter veräußerbar sind hingegen nicht bloße funktional eingeschränkte Recovery-Versionen. OLG Karlsruhe, Urt.v U 46/09, GRUR-RR 2010, 234 Das Gericht gibt die bisherige Rechtsprechung auf und verneint die urheberrechtliche Schutzfähigkeit von Bildschirmmasken als Computerprogramm, bejaht aber die Möglichkeit eines Schutzes als Darstellung wissenschaftlicher oder technischer Art bei Vorliegen der erforderlichen Schöpfungshöhe ( 2 Abs. 1 Nr. 7 UrhG). Die Bildschirmoberfläche werde durch das Computerprogramm erzeugt, sei aber kein Teil von diesem. Sie könne durch unterschiedliche Programme erzeugt werden. Anmerkung: Die Entscheidung entspricht wesentlich den Erwägungen des EuGH,Urt.v OLG Celle, Urt.v U 38/09, GRUR-RR 2010, 282 Das rechtwidrige Herunterladen von Hacker software durch den Geschäftsführer einer GmbH berechtigt das Unternehmen zur fristlosen Kündigung, da es das Unternehmen einer Gefahr strafrechtlicher Ermittlungen und einer Rufschädigung aussetzt. IT- und Internet-Recht aktuell 1/2011 67 Themen Cloud Computing Verträge und Datenschutz Der Begriff Cloud Computing ist im IT-Bereich in aller Munde. Genaue Definitionen fehlen. Die ENISA 3 hat eine offizielle Definition des Begriffs Cloud Computing erarbeitet: Cloud Computing is an on-demand service model for IT-provision, often based on virtualization and distributed computing technologies. Cloud computing architectures have: - highly abstracted resources, - near instant scalability and flexibility, - near instantaneous provisioning, - shared resources (hardware, database, memory, etc). - service on demand, usually with a pay as you go billing system, - programmable management. Der Anwender kann nicht einfach mit Anbietern einen Vertrag über die Leistung Cloud Computing schließen. Vielmehr muss die vom Anbieter geschuldete Leistung in jedem Einzelfall beschrieben und vereinbart werden. Einfach scheint dies zunächst bei standardisierten Angeboten großer Provider, die etwa Mail- oder Textverarbeitungsservices anbieten. Aber bereits hier müssen eine Reihe von Punkten vertraglich so konkret geregelt werden, dass ihre Einhaltung überprüfbar ist. Das gilt z.b. für Leistungsmerkmale wie Systemverfügbarkeit, Zwischenspeicherung zu verarbeitender und verarbeiteter Daten des Kunden und Datenschutz. Die wichtigsten Regelungselement werden nachfolgend zusammengefasst. I. Cloud Computing-Verträge 1. Vertragsinhalt 1. 1 Kontrollfähige Beschreibung der geschuldeten Leistung. Die Leistungsbeschreibung muss so konkret gefasst sein, dass der Auftraggeber feststellen kann, welche Leistungen er erwarten kann und ob sie termingerecht vollständig erbracht sind, und der beauftragte Dienstleister beweisen kann, dass er die vereinbarte Leistung tatsächlich erbracht hat und die vereinbarte Vergütung fällig geworden ist. Regelungspunkte sind insbesondere: Bezeichnung der Applikation oder Applikationen, die der Kunde nutzen können soll (s.unten Cloud-Typen ). Anzahl der gleichzeitigen Zugriffsberechtigungen des Kunden (für dessen Mitarbeiter). Festlegung, zu welchen Zeiten der Online-Zugang möglich ist (wichtig, wenn 3 European Network and Information Security Agency, IT- und Internet-Recht aktuell 1/2011 78 der Auftraggeber schnell Daten seiner Kunden beauskunften oder korrigieren soll). Zulässige Dateiformate. Verwendung nur von Standardschnittstellen (bei Web Services XML). Einsatz ausreichender Verschlüsselungsverfahren und sonstiger erforderlicher Sicherheitsmaßnahmen wie Anonymisierung (die aber ausscheiden muss, wenn der Dienstleister Daten mit Personenbezug verarbeiten muss). Festlegung, welche maximalen Datenvolumina übertragen werden dürfen. Systemverfügbarkeit mit zulässigen Wartungsfenstern, Performanz, jeweils nach Service Levels gestaffelt. Verfügbare Speicherkapazität für Daten des Kunden, Datensicherung beim Anbieter. Ausfallsichere Datenverbindungen. Absicherung gegen netzbasierte Angriffe. Besonders die cloud-typische Virtualisierungsschicht und der zugehörige Virtual Machine 4 Motor stellen eine Schwachstelle der Angriffssicherheit dar. 5 Zusicherung des Anbieters, die Anforderungen nach ISO und des BSI-Grundschutzes zu erfüllen. Wenn möglich ISO-Zertifizierung des Anbieters. 6 Recht des Kunden (als Auftraggeber), die Einhaltung dieser Anforderungen beim Dienstleister zu kontrollieren. Wirksames Monitoring- und Security-Incident-Management (z.b. mit 24/7- Überwachung der Cloud und -Reaktionsmöglichkeiten, Einbindung in CERT- Strukturen, Logfatenerfassung und Auswertung). Notfall-Management (nach BSI-Standard 100-4) und hierbei möglichst direkter Zugriff auf Subunternehmer, regelmäßige Sicherheitsüberprüfung mit Nachweis. Portabilität der Daten, damit der Auftraggeber jederzeit wieder aus der Cloud exportieren und den Dienstleister wechseln kann (kein vendor lock-in 7 ) Vergütung pro Zeiteinheit oder pauschal. Möglichst sollte nur die tatsächliche Nutzung bezahlt werden müssen. Rechte des Kunden bei Leistungsstörungen, z.b. Wiederherstellung von unvollständig oder falsch bearbeiteten Daten, Eskalationsverfahren, Schlichtungsverfahren. Sieht der Anbieter Gewährleistung vor? Sind Mängelbeseitigungen technisch möglich? In welcher Zeit? Vertragslaufzeit. Exit Support bei der Rückführung von Datenbeständen bei Vertragsende. Zugriff auf Datenbestände des Kunden bei Einstellung der Anbieterleistung etwa wegen Insolvenz oder aus anderen Gründen. Escrow des Software as a Service -Image, um den Kunden bei Anbieterinsolvenz abzusichern. Haftung des Anbieter bei Ausfall seiner IT-Systeme. (Ausschluss der) Zulässigkeit der Unterbeauftragung von Subdienstleistern. Diese Subbeauftragung ist gerade im Cloud Computing problematisch, da der Kunde diese Subunternehmen oft nicht kennt, aber für deren Fehler etwa 4 Wikipedia, Stichwort Virtual Machine, 5 Heidrich/Wegener, MMR 12/2010, Müller, Risiken beim Cloud Computing, mueller_cloud.pdf., 2 7 Gesellschaft für Informatik: Zehn Thesen zu Sicherheit und Datenschutz im Cloud Computing, These 8. IT- und Internet-Recht aktuell 1/2011 89 beim Datenschutz gegenüber den Betroffenen haften muss. Beim (meist) grenzüberschreitenden Computing Festlegung, das Recht welchen Staates anwendbar sein soll. Einhalten des Datenschutzes nach den Anforderungen des Bundesdatenschutzgesetzes (BDSG). Das Bundesamt für Sicherheit in der Informationsverarbeitung (BSI) hat außerdem als Stand der Technik Mindestanforderungen an Cloud- Computing-Anbieter definiert 8 Zu prüfen sind: - Rechenzentrumssicherheit, - Netzsicherheit, - Host- und Servervirtualisierung, - Anwendungs- und Plattformsicherheit, - Ressourcen- und Patch-Management, - Datenspeicherung, Speichervirtialisierung und Datensicherheit, - Verschlüsselung und Schlüsselmanagement, - ID- und Rechtemanagement, - Monitoring und Security-Incident-Management, - Notfallmanagement, - Sicherheitsprüfung und nachweis, - Transparenz der Standorte der Verarbeitung, der Subunternehmer, regelmäßige Unterrichtung über Änderungen, welche Software der Anbieter auf Kundenrechnern installiert, Rechts- und Besitzverhältnisse des Cloud-Anbieters, - Portabilität von Daten und Anwendungen, - Interoperabilität, - Cloud-Zertifizierung Cloud Computing 9 weist einige technische Besonderheiten auf, die auch rechtliche Bedeutung haben. Durch Cloud Computing (die Datenverarbeitung in der Wolke ) wird das Internet zum Rechner. Die Rechner stehen nicht mehr beim Anwender, sondern bei den Providern. Der Anwender kann auf immer mehr Anwendungen einfach über die bei ihm ohnehin vorhandene Browser-Software zugreifen. Er erhält auch keine Anwendungssoftware auf Datenträger oder durch Download, sondern nutzt die bei den Providern bereitgehaltene und verbleibende Software jeweils nach Bedarf. Nur Speicherkapazität zum Heraufladen zu verarbeitender und für das Herunterladen bereitzuhaltender Daten muss er bei einem Provider anmieten. Ermöglicht wird dies durch Virtualisierungstechniken 10, die mehreren Nutzern gleichzeitige Nutzung von Anwendungen auf fremder Hardware (unter Trennung von Applikation und Betriebssystem) ermöglichen. Zunächst ist zu unterscheiden, welche Art von Cloud Computing geschuldet sein 8 BSI-Mindestsicherheitsanforderungen an Cloud-Computing-Anbieter (Stand ) Mindestsicherheitsanforderungen.pdf 9 Zum Begriff s. Wikipedia Stichwort Cloud Computing, 10 Wikipedia Stichwort Virtualization, Erläuterungen bei Braun/Kunze/Ludwig. Servervirtualisierung, Informatik_Spektrum_32_3_2009, 197. IT- und Internet-Recht aktuell 1/2011 910 soll Die Public Cloud ist ein Service auf pay per use -Basis für jedermann. - Die Private Cloud ist ein nichtöffentlicher Service (wie Intranets), der nur für vorab definierte Nutzer zugänglich ist, vom Kunden (Auftraggeber) selbst betrieben und hauptsächlich für unternehmensspezifische Anwendungen eingesetzt wird 12. Hier erhält jeder Auftraggeber jeweils erforderliche Ressourcen meist individuell fest zugewiesen. In Hybrid Clouds werden Public und Private Cloud kombiniert und durch interne und/oder externe Provider betrieben. Community Clouds können von verschiedenen Einrichtungen betrieben werden. Die Leistungen sind je nach Typ des Cloud Computing sehr unterschiedlich. 13 Soweit personenbezogene Daten des Kunden vom Dienstleister verarbeitet werden, sind auch die datenschutzrechtlichen Verantwortlichkeiten zu beachten. (a) Unter Software as a Service (SaaS, Application Cloud) fallen alle Anwendungen (z.b. Salesforce, Wikis, Blogs), die auf Rechnern des Dienstleisters (oder von ihm unterbeauftragter Dienstleister) als laufende Leistung gefahren werden (etwa Lohnbuchhaltung für Unternehmen). Wenn der Anbieter die personenbezogenen Daten des Kunden verarbeitet, muss der Vertrag Kunde - Anbieter alle Regelungspunkte enthalten, die 11 BDSG (2009) im Zehn-Punkte-Katalog vorschreibt (s. unten), so etwa die Vorab- Kontrolle ( 11 II 4 BDSG) und Dokumentationspflicht ( 11 II 5 BDSG). Der Dienstleister muss außerdem ein Verfahren zur Bearbeitung von auftraggeberseitigen Abfragen implementiert haben. 11 BDSG ist auch bei Private Clouds einzuhalten. (b) Bei Platform as a Service (PaaS, Platform Cloud) bietet der Dienstleister dem Auftraggeber Laufzeit seines IT-Systems und ggf. die Nutzung einer Entwicklungsumgebung an (z.b. Google Apps), damit der Auftraggeber selbst Applikationen entwickeln, kompilieren und ausführen kann (z.b. Datenbanken und deren Integration, Security). Der Dienstleister schuldet hier i.d.r. keine Personendatenverarbeitung im Auftrag. Jedoch können angebotene Anwendungen auch Personendaten umfassen, etwa beim Customer-Relationship-Management (CRM) oder bei der Replikation ganzer Datenbestände. Geschäftsprozesse können als einheitlich auf unterschiedlicher Hardware abgebildete angeboten werden ( Service oriented architecture, SOA) Die Ausführung der Applikation wird vom Auftraggeber selbst administriert. Der Dienstleister kann aber mit seinem System selbst bestimmte Funktionalitäten unterstützen, etwa Mandantenfähigkeit, Skalierbarkeit, Zugriffskontrolle, Datenbankzugriffe etc. Hier muss jeweils geprüft werden, ob insoweit doch 11 Zur Abgrenzung s. etwa Nägele/ Jacobs, ZUM 2010, 281ff; Birk/Wegener, DuD 9/2010, 641; Eymann, Cloud Computing, Enzyklopädie der Wirtschaftsinformatik, Geschaeftsmodell/Cloud-Computing 12 Stichwort Cloud Computing, 13 Zur Abgrenzung s. etwa BSI Mindestsicherheitsanforderungen (Stand ) IT- und Internet-Recht aktuell 1/11 Personendatenverarbeitung im Auftrag vorliegt. ( c) Bei Infrastructure as a Service (IaaS) erhält der Auftraggeber die eigensteuerte, skalierbare Nutzung von Ressourcen des Dienstleisters angeboten, etwa Speicherplatz, CPUs, Netze. Der Auftraggeber nimmt hier Personendatenverarbeitung ausschließlich selbst vor. 1.2 Anwendbares Vertragsrecht Auch wenn von Web Services oder Software as a Service die Rede ist, darf dies nicht generell mit Dienstverträgen gleichgesetzt werden. Vielmehr können bestimmte Teile der geschuldeten Leistung werkvertraglichen Charakter haben, etwa bezüglich der Verfügbarkeit, des möglichen Datendurchsatzes oder der Durchführung von Plausibilitätsprüfungen. Das gilt erst recht, wenn der Anbieter nicht nur seine Ressourcen zur Online-Nutzung zur Verfügung stellt, sondern bestimmte Aufgaben als solche (z.b. Durchführen einer betrieblichen Lohnbuchhaltung) erfüllen soll (Funktionsübertragung). Die Leistungsmerkmale (z.b. verfügbare Speicherkapazität) können in Service Level Agreements preislich unterschiedlich festgelegt sein. Auch der Ausdruck Service Level führt keineswegs notwendig zur Anwendung von Dienstvertragsrecht. Soll etwa eine Mindestverfügbarkeit geschuldet sein, so ist der Anbieter verpflichtet, diese herbeizuführen und aufrechtzuerhalten. Dieser Leistungserfolg kann nach Werkvertragsrecht zu beurteilen sein. Allgemeine Regeln für die Anwendbarkeit des jeweiligen Vertragsrechts lassen sich hier nicht geben; vielmehr müssen (insbesondere bei Typenkombinationsverträgen) alle Umstände des Einzelfalls berücksichtigt und gewichtet werden. Keine tragfähige Lösung wäre es, wenn der Anbieter in seine AGB die pauschale Regelung aufnimmt, dass für den Vertrag Dienstvertragsrecht gelten solle. Diese Regelung wäre sogar zwischen Kaufleuten unwirksam, wenn hierdurch wesentliche werkvertragliche Kundenrechte eingeschränkt werden. 14 Wirksam sind aber grundsätzlich Vereinbarungen, das Recht welches Staates anwendbar sein soll (Art. 27 Abs. 1 Satz 1 EGBGB). Ist eine solche Rechtswahl nicht getroffen, muss grundsätzlich auf das Recht des Staates abgestellt werden, zu dem der Vertrag die engsten Verbindungen aufweist, hier also meist der Sitz oder die Zweigniederlassung des Cloud-Anbieters, 15 bei Verbraucherverträgen hingegen der Aufenthaltsstaat des Verbrauchers (Art. 29 Abs. 2 EGBGB). II. Datenschutzrechtliche Probleme der Auftragsdatenverarbeitung in der Cloud Vertragsrecht und Datenschutzrecht sind (auch) im Cloud Computing eng verknüpft, das selbst klassische Auftragsdatenverarbeitung darstellt. 16 Immer Ulmer/Brandner/Hensen, ABG-Recht, 307 BGB Randnr. 208, 259. Niemann/Paul, Cloud Computing, K&R 2009, 444, Weichert, Cloud Computing und Datenschutz, DuD 10/2010, 679 mit Nachweisen. IT- und Internet-Recht aktuell 1/12 dann, wenn in der Cloud personenbezogene Daten verarbeitet werden, müssen nämlich Kunden und Dienstleister zu zehn Regelungsbereichen Vereinbarungen treffen und dokumentieren. Diese in 11 BDSG obligatorisch vorgeschriebenen Vertragsregelungen werden in diesem Abschnitt knapp erläutert. 11 BDSG setzt Art. 17 Abs. 2 EU-Datenschutzrichtlinie um, der Auftraggeber einer personenbezogenen Auftragsdatenverarbeitung verpflichtet, einen Dienstleister auszuwählen, der für die zu treffenden technischen Sicherheitsmaßnahmen und organisatorischen Vorkehrungen ausreichende Gewähr bietet. Diese Pflicht des Auftraggebers wird nicht deshalb reduziert oder gar aufgehoben, weil die Auftragsdatenverarbeitung mittels Cloud Computing stattfindet. Der Auftraggeber muss vielmehr vollständig über die Art und Weise der Datenverarbeitung bestimmen. Dieses Bestimmungsrecht kommt nicht zum Tragen, wenn der Cloud- Anbieter über Art und Ort der Verarbeitung und dort jeweils getroffene Sicherheitsmaßnahmen keine Auskunft geben kann. 17 Das ist insbesondere dann der Fall, wenn die Datenverarbeitung weltweit verteilt erfolgt. So kann es kostengünstig sein, die Daten nicht bei uns am Tage zu verarbeiten, sondern in den USA, solange dort Nacht und die Rechnernutzung entsprechend reduziert ist. Für den Auftraggeber ist es hier meist schon rein technisch bedingt nicht möglich festzustellen, welche seiner Daten wann und wo verarbeitet werden. Vorab ist allgemein festzuhalten, dass diese Regelungspflicht nicht nur dann eingreift, wenn der Anbieter von Web Services ihm von Kunden übertragenen Daten von sich aus mit definierten Applikationen verarbeitet und die verarbeiteten Daten zum Abruf bereithält (wie dies schon bisher beim Rechenzentrumsbetrieb erfolgte). Sie besteht auch schon dann, wenn der Anbieter Daten (etwa in seinem Storage Area Network, SAN) nur speichert, ohne sie in irgendeiner Weise zu verändern. Schon dieses Speichern stellt nämlich einen Verarbeitungsvorgang i.s.v. 4 IV Nr. 1 BDSG dar, der im Auftrag des Kunden erfolgt ( 11 BDSG) Anwendbar ist das deutsche BDSG und EU/EWR-weit das Recht der Europäischen Datenschutzrichtlinie. Drittstaaten außerhalb von EU/EWR weisen nur dann einen ausreichenden Datenschutz auf, wenn dies von der EU festgestellt wurde, so etwa für die Schweiz, Kanada, Argentinien, Guernsey, Isle of Man. 18 Verarbeitet ein Dienstleister die Personendaten in einem Drittstaat bei Cloud Computing wohl eher die Regel als Ausnahme schützt deutsches Datenschutzrecht die Betroffenen nicht. Dies müssen etwa Arbeitgeber beachten, die Personaldatenverarbeitung in die Cloud verlegen wollen. Dies ist jedenfalls immer dann unzulässig, wenn hierdurch Mitarbeiterdaten in Drittstaaten übermittelt werden, in denen die Betroffenenrechte nicht durchsetzbar sind. Der Auftraggeber ist nämlich allein gegenüber seinen Kunden oder gegenüber Dritten zu allfälligen Korrekturmaßnahmen oder zu Schadensersatzleistungen verpflichtet ist. Lücken in Verträgen mit Dienstleistern oder im zwischenstaatlichen Datenschutzrecht können ihn nicht entlasten. Bei personenbezogener Datenverarbeitung sollte deshalb möglichst vermieden werden, Rechner an Standorten außerhalb der EU für beauftragtes Cloud Computing einzusetzen. Auch Subunternehmern in Nicht-EU-Staaten sind 17 Weichert, a.a.o., Müller, a.a.o.,3. IT- und Internet-Recht aktuell 1/ Mehr anzeigen
3 beim Nr. Kompetenzzentrum Trusted Cloud Leitfaden Vertragsgestaltung Cloud Computing 3 Arbeitsgruppe Rechtsrahmen des Cloud Computing Cloud Computing kann in Deutschland nur wirtschaftlich erfolgreich Mehr Leitfaden Cloud Computing Recht, Datenschutz & Compliance
Cloud Computing und Datenschutz Thilo Weichert Bei der personenbezogenen Datenverarbeitung im Rahmen des Cloud Computing treten rechtliche und technische Fragestellungen auf, die bisher nur unzureichend Mehr Orientierungshilfe Cloud Computing
Orientierungshilfe Cloud Computing der Arbeitskreise Technik und Medien der Konferenz der Datenschutzbeauftragten des Bundes und der Länder und des Düsseldorfer Kreises Version 1.0 Stand 30.08.2011 In Mehr Nr. Kompetenzzentrum Trusted Cloud. Leitfaden Datenschutz und Cloud Computing
11 Nr. Kompetenzzentrum Trusted Cloud Leitfaden Datenschutz und Cloud Computing 3 Arbeitsgruppe Rechtsrahmen des Cloud Computing Cloud Computing kann in Deutschland nur wirtschaftlich erfolgreich sein, Mehr Orientierungshilfe Cloud Computing
Orientierungshilfe Cloud Computing der Arbeitskreise Technik und Medien der Konferenz der Datenschutzbeauftragten des Bundes und der Länder Version 1.0 Stand 26.09.2011 In der Arbeitsgruppe haben mitgewirkt: Mehr Leitfaden Cloud Computing Recht, Datenschutz & Compliance
EuroCloud Austria e.v. Leitfaden Recht, Datenschutz & Compliance ÖSTERREICH Leitfaden Recht, Datenschutz & Compliance Der Druck dieses Leitfaden wurde freundlicherweise durch Sponsoren der EuroCloud Austria Mehr EuroCloud Swiss. Leitfaden. Cloud Computing. Risk & Compliance. Schweiz
EuroCloud Swiss Leitfaden Cloud Computing Schweiz www.eurocloudswiss.ch EuroCloud Swiss Impressum Dieser Leitfaden wird herausgegeben von: EuroCloud Swiss Verein zur Förderung von Cloud Computing 8000 Mehr Orientierungshilfe Cloud Computing
white paper Datenschutz und Datensicherheit beim Cloud Computing Inhaltsverzeichnis Einleitung... 4 Wesentliche Risiken des Cloud Computings... 5 Datenschutz und Compliance... 8. Einleitung... 8. Welcher Mehr Leitfaden. Mobile Device Management. Stand: Dezember 2012 www.baymevbm.de/mobiledevice
Leitfaden Mobile Device Management Stand: Dezember 2012 www.baymevbm.de/mobiledevice Vorwort X Vorwort Mobile Device Management rechtliche Anforderungen und betriebliche Umsetzung Mobile-Device-Management Mehr Cloud Computing in der anwaltlichen Beratungspraxis
BRJ 01/2013 23 Cloud Computing in der anwaltlichen Beratungspraxis RA Dirk Reintzsch, Köln* I. Einleitung Cloud Computing ist derzeit eines der zentralen Themen im Bereich der Informationstechnologie, Mehr Orientierungshilfe Cloud Computing
Orientierungshilfe Cloud Computing der Arbeitskreise Technik und Medien der Konferenz der Datenschutzbeauftragten des Bundes und der Länder sowie der Arbeitsgruppe Internationaler Datenverkehr des Düsseldorfer Mehr IT-Projektverträge rechtssicher gestalten
IT-Projektverträge rechtssicher gestalten Ein Überblick über die wichtigsten Regelungspunkte für IT-Projektverträge von Dr. Frank A. Koch Stand: Sommer 2009 Rechtsanwalt Dr. Frank A. Koch Maximilianstr. Mehr Rechtl. Rahmenbedingungen von Cloud Computing
Band 10 Herausgeber: Rüdiger Zarnekow Stine Labes Rechtl. Rahmenbedingungen von Cloud Computing Rechtliche Situation im Öffentlichen Sektor Technische Universität Berlin Projektbericht IKM Projektberichte Mehr WHITEPAPER ALLABOUT COMPLIANCE. Datenschutzkonformität von Microsoft Dynamics CRM Online
WHITEPAPER ALLABOUT COMPLIANCE Datenschutzkonformität von Microsoft Dynamics CRM Online Whitepaper: Datenschutzkonformität von Microsoft Dynamics CRM Online Inhalt I. Hinweise... 3 II. Microsoft Dynamics Mehr Leitfaden Cloud Computing Herausforderungen, Qualitätssicherung, Standards und Zertifizierung
Leitfaden Cloud Computing Herausforderungen, Qualitätssicherung, Standards und Zertifizierung ÖSTERREICH 08 Studie Der Druck dieses Leitfadens wurde zur Akzeptanz von freundlicherweise durch Sponsoren Mehr Sichere Nutzung von Cloud-Anwendungen
TeleTrusT Bundesverband IT-Sicherheit e.v. Der IT-Sicherheitsverband. Sichere Nutzung von Cloud-Anwendungen am Beispiel des TeleTrusT Bundesverband IT-Sicherheit e.v. als Praxisleitfaden für Verbände und Mehr ARTIKEL-29-DATENSCHUTZGRUPPE
ARTIKEL-29-DATENSCHUTZGRUPPE 01037/12/DE WP 196 Stellungnahme 05/2012 zum Cloud Computing Angenommen am 1. Juli 2012 Die Datenschutzgruppe wurde gemäß Artikel 29 der Richtlinie 95/46/EG eingesetzt. Sie Mehr WHITEPAPER: Symantec.cloud Rechtliche Aspekte der Cloud-Dienstleistung. Rechtliche Aspekte der Cloud- Dienstleistung
Version 1.0 Stand der Bearbeitung: 2012 WHITEPAPER: Symantec.cloud Rechtliche Aspekte der Cloud-Dienstleistung Rechtliche Aspekte der Cloud- Dienstleistung Unternehmen und Behörden unterliegen beim Thema Mehr Leitfaden Cloud Services Lizenzen im Cloudvertrag
EuroCloud.Austria Leitfaden Cloud Services Lizenzen im Cloudvertrag ÖSTERREICH 03 Leitfaden Cloud Services Der DruckLizenzen dieses Leitfadens wurde im freundlicherweise durch Sponsoren Cloudvertrag der Mehr DATENSCHUTZ UND BIG DATA: EIN LEITFADEN FÜR UNTERNEHMEN. Bild: imagebroker / vario images
DATENSCHUTZ UND BIG DATA: EIN LEITFADEN FÜR UNTERNEHMEN Bild: imagebroker / vario images 2 LEITFADEN DATENSCHUTZ UND BIG DATA Inhaltsverzeichnis Vorwort............ 3 1. Allgemeine Empfehlungen zum Datenschutz Mehr Internet und IT-Security im Unternehmen. Juristische Informationen für die Unternehmensleitung
Internet und IT-Security im Unternehmen Juristische Informationen für die Unternehmensleitung D Internet und IT-Security im Unternehmen Juristische Informationen für die Unternehmensleitung Ohne den Einsatz Mehr Leitfaden Cloud Services Öffentliche Auftragsvergabe
EuroCloud.Austria Leitfaden Österreich 02 Der Druck dieses Leitfadens wurde freundlicherweise durch Sponsoren der EuroCloud.Austria finanziert: Inhaltsverzeichnis 1 Vorwort 4 2 Einleitung 6 3 Vergaberechtliches Mehr Die rechtlichen Herausforderungen von Bring Your Own Device Lifestyle contra Sicherheit Teil 2: Arbeitsrecht, Urheberrecht
Infobrief Recht 6 / 2015 Juni 2015 Was lange währt muss nicht immer gut sein Rechtliche Probleme bei dem Angebot und der Nutzung einer automatischen E-Mail-Weiterleitung an Hochschulen Die rechtlichen Mehr Risiken für den Servicenehmer. Fabian Laucken Rechtsanwalt, Fachanwalt für Informationstechnologierecht und Fachanwalt für gewerblichen Rechtsschutz
Rechtsanwalt, Fachanwalt für Informationstechnologierecht und Fachanwalt für gewerblichen Rechtsschutz 1. novedia business day 9. September 2010 Inhaltsübersicht Begriffsbestimmung SaaS Vertragsrecht Urheberrecht Mehr Datenschutzrechtliche Chancen und Risiken von Cloud Computing
163 Datenschutzrechtliche Chancen und Risiken von Cloud Computing VON PHILIPP MITTELBERGER / GABRIELE BINDER Zu den Autoren: Foto: Michael Zanghellini Foto: Gabriele Binder Dr. iur. Philipp Mittelberger Mehr Internetrecht. I. Informationen und Recht Kernbegriffe. 1. Einführung. 2. Kernbegriffe
Internetrecht I. Informationen und Recht Kernbegriffe 1. Einführung Das Internet ist aus unserem Alltag nicht mehr wegzudenken. Ob zu Hause, am Arbeitsplatz oder unterwegs die meisten Menschen kommen früher Mehr Checkliste mit Erläuterungen für Cloud Computing-Verträge. für Software as a Service in der Public Cloud im B2B-Geschäftsverkehr
Checkliste mit Erläuterungen für Cloud Computing-Verträge für Software as a Service in der Public Cloud im B2B-Geschäftsverkehr Impressum Herausgeber: BITKOM Bundesverband Informationswirtschaft, Telekommunikation Mehr 2016 © DocPlayer.org Datenschutzbestimmungen | Nutzungsbedingungen | Feedback