Letzte Folge des Themenschwerpunkts zum Status quo von Cloud Computing (Teil 6) Rechtliche Rahmenbedingungen beim Cloud Computing

Derzeit gibt es keine „deutsche“ Cloud und keine „Cloud for Europe“. Ebenso wenig kann auf einheitliche Datenschutzrichtlinien oder Zertifizierungen verwiesen werden. Geschäftsführer sind jedoch für die Einhaltung der Datenschutzvorgaben verantwortlich. Dies ist unabhängig davon, ob die Daten im eigenen Rechenzentrum oder in der Cloud liegen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Insider Research

Da es keinen einheitlichen „Cloud“-Rechtsrahmen gibt, finden eine Vielzahl von Gesetzen Anwendung:

• das Bundesdatenschutzgesetz (BDSG) und die BDSG-Novelle II, gültig seit dem 01.09.2009

• (z. B. §3 und §9 „Personenbezogene Daten“ oder §11 „Auftragsdatenverarbeitung“)

• die Datenschutzgesetze der Länder (LDSG)

• die Gesetze zur Regelung von Medien und Telekommunikation (TKG, TMG)

• branchenspezifische Rechtsnormen (z. B. Basel II, PCI DSS, HIPAA, etc.)

• das BGB, HGB, Vorgaben der Abgabenordnung (AO), Grundsätze ordnungsgemäßer Buchführung (GoBS), Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU).

Im EU-Raum gilt zudem die EU-Datenschutzrichtlinie (Richtlinie 95/46/EG) „Mindestanforderungen an den Datenschutz in Drittstaaten“ (zusätzlich ist §4b „Übermittlung personenbezogener Daten in Drittstaaten“ BDSG zu beachten).

Besonderheiten bei der Datenübermittlung in die USA

Bei einer Datenübermittlung besonders von personenbezogenen Daten aus der EU in die USA kann die Vereinbarung SAFE HARBOR als Grundlage herangezogen werden. Das SAFE HARBOR Abkommen wurde im Jahr 2000 zwischen der EU und den USA geschlossen. Inhalt ist der Schutz und der Transfer von personenbezogenen Daten aus der EU in die USA. Unternehmen, die sich freiwillig auf die Einhaltung des Safe Harbor Abkommens verpflichten, halten die Grundsätze der Transparenz, der Zweckmäßigkeit der Datenverarbeitung und der Datensicherheit ein und bieten das aus Sicht der EU geforderte Datenschutzniveau.

Da eine flächendeckende, regelmäßige Prüfung durch Kontrollbehörden nicht gegeben ist, kommt der Kontrollpflicht der Cloud-Nutzer eine besondere Bedeutung zu. Das heißt Cloud-Nutzer müssen selbst prüfen, welche Unternehmen im aktuellen SAFE-HARBOR-Verzeichnis geführt werden.

Für die Datenübermittlung in andere Staaten gilt generell die Prüfpflicht. Dies bedeutet, der Cloud-Nutzer als datenübermittelndes Unternehmen muss sich davon überzeugen, dass im Zielstaat ein angemessener Datenschutz besteht.

Staatliche Zugriffsrechte

Anwendung in den USA finden weiterhin der PATRIOT Act und der FISA AMENDMENTS ACT. Diese regeln die staatlichen Zugriffsrechte in Abhängigkeit vom Sitz der Muttergesellschaft. Das heißt, dass amerikanische aber auch EU-Kontrollbehörden unter Umständen Zugriff auf Daten europäischer Unternehmen besitzen, deren Hauptstandort in den USA liegt.

Cloud-Kunden, die dies vermeiden wollen, müssen die Organisationsstruktur und Eigentumsver-hältnisse ihres Cloud-Providers prüfen und für den Fall von Firmenübernahmen eindeutige Ausstiegsklauseln vertraglich vereinbaren.

Jedes Unternehmen, das den Cloud-Einstieg plant, muss sich über weitere aktuelle, branchenspezifische Normen und Vorschriften (z. B. des VDI) informieren und diese Bei Vertragsabschluss beachten.

Folgende Punkte sind im Rahmen der Risikobetrachtung und bei vor Vertragsabschluss besonders zu beleuchten:

• Datenschutz bei der Datenübertragung, Datenverarbeitung (Erheben, Speichern, Verändern), Datenspeicherung und Datenlöschung

• Art und Schutzbedarf der Daten z. B. „Auftragsdatenverarbeitung“, Entwicklungs- und Geschäftsdaten oder Kreditkartendaten, welche in die Cloud sollen.

• Cloud-Rechenzentrumsstandort (Deutschland, der EU/EWR oder außerhalb der EU) - bestimmt Gerichtsstand und anwendbares Recht bzw. Datenschutznormen.

Empfehlenswert für den Abschluss eines Cloud-Vertrages sind einerseits die Einschaltung eines IT- bzw. Cloud-affinen Juristen und andererseits die Verwendung von EU-Standardvertragsklauseln (Europäische Kommission, 5.2.2010).

Initiativen und Verbände

Informationen bzw. Beratung können Unternehmen von verschiedenen Organisationen, Verbänden und Initiativen bekommen, wie z. B. BSI, BITKOM, „Cloud Services Made in Germany“ oder „GERMAN CLOUD“, EuroCloud Deutschland eco e.V.

2010 hat die Cloud Security Alliance (CSA) das CTP (Cloud Trust Protocol) ins Leben gerufen. CTP besteht aus 23 Kriterien hinsichtlich Cloud-Transparenz, wie z. B. Konfiguration, Schwachstellen, Zugriff, Autorisierung, Policy, Haftung, Verankerung und Betriebsbedingungen. CPT soll bei der Auswahl von Cloud Providern unterstützen, während weitere Tools wie CloudAudit, Cloud Control Matrix (CCM) und Consensus Assessments Initiative Questionnaire (CAIQ) bei der Überprüfung helfen sollen.

Die EU initiierte das Projekt CloudforEurope, welches bis November 2016 einen gemeinsamen europäischen Rahmen für Cloud Computing schaffen soll.

Allgemein sollte ein Cloud-Vertrag verbindlich regeln:

• den Umfang, die Art und den Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten,

• die Art der Daten,

• die Aufgaben und Maßnahmen zum Datenschutz und zur IT-Sicherheit je Vertragspartner,

• die Änderung, Löschung und Sperrung von Daten,

• das Reporting,

• alle Service Management Prozesse mit Verantwortlichkeiten,

• die von dem Auftragnehmer (Cloud-Nutzer) vorzunehmenden Datenschutzkontrollen,

• die Kontrollrechte beider Vertragspartner und die entsprechenden Duldungs- und Mitwirkungspflichten

• Umgang mit Sicherheitsvorfällen und Verantwortlichleiten

• Ausstiegs (Exit)-Klausel zur Regelung der Rückgabe überlassener Datenträger und der Löschung aller beim Cloud-Provider (Auftragnehmer) gespeicherter Daten nach Beendigung des Auftrags gegebenenfalls über mehrere Cloud-Rechenzentren.

Themenschwerpunkt: In die Cloud? JA, aber überlegt!

Dieser Artikel ist der sechste und letzte Teil unseres Themenschwerpunkts zu grundlegenden Aspekten rund um Cloud Computing.

Weitere Themen des Schwerpunkts:

Teil 1: Einführung: Ist-Situation Cloud Computing

Teil 2: Risikoanalyse mit speziellen Cloud-Risiken

Teil 3: Wirtschaftlichkeitsbetrachtungen für die Cloud-Einführung

Teil 4: Identitäts- und Access Management in der Cloud

Teil 5:IT-Sicherheit in der Cloud

Teil 6 – Rechtliche Rahmenbedingungen.

(ID:42937274)