Datenschutzkonferenz Souveräne Clouds: die Sicht der Datenschützer

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Mit ihrem aktuellen Positionspapier „Kriterien für Souveräne Clouds“ will die Datenschutzkonferenz ihre Expertise und Erfahrungen in die politische Diskussion mit einbringen.

Auf ihrer Tagung am 10. und 11. Mai dieses Jahres hat sich die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK) neben weiteren Themen – wie der erneuten Forderung nach einem eigenen Beschäftigtendatenschutzgesetz – auch mit den Kriterien für souveräne Clouds beschäftigt. Mit der Veröffentlichung eines entsprechenden Positionspapiers will die DSK ihre Expertise und ihre Erfahrungen in die politische Diskussion einbringen.

Der Schritt zur souveränen Cloud

Die Datenschützer konstatieren ein fehlendes einheitliches Verständnis des Begriffs „souveräne Cloud“ und definieren aus ihrer Sicht:

• Eine souveräne Cloud muss in der Lage sein, alle datenschutzrechtlichen Vorgaben einzuhalten. Das genüge jedoch noch nicht,

• der Schritt von einer datenschutzkonformen Cloud zur souveränen Cloud erfordert die Erfüllung weiterer Kriterien, „die die Einhaltung der datenschutzrechtlichen Pflichten effektiv, nachprüfbar und dauerhaft sicherstellen“.

Diese Kriterien werden in dem Positionspapier unter den Aspekten Nachvollziehbarkeit durch Transparenz, Datenhoheit und Kontrollierbarkeit, Offenheit, Vorhersehbarkeit und Verlässlichkeit sowie der regelmäßigen Prüfung näher beschrieben. Dabei wird jeweils nach Muss- und Soll-Kriterien unterschieden.

Nachvollziehbarkeit durch Transparenz

Um den Transparenzanforderungen nach Art. 5 DSGVO zu genügen, müssen Anbietende die eingesetzten externen Komponenten und Dienstleistungen sowie die dazu bestehenden vertraglichen Vereinbarungen dokumentieren. Die zwingende Dokumentation der Schnittstellen ist ebenfalls zwingend – für die Interoperabilität. Zudem ist nachzuweisen, dass ein dauerhafter und unabhängiger Betrieb des Angebots gewährleistet wird. Transparenz durch Open Source-Software und offene Standards werden hingegen als Soll-Kriterien eingestuft.

Datenhoheit und Kontrollierbarkeit

Neben den zwingenden Vorgaben zur Datenverarbeitung nur nach Weisung (der Anwender) und der Trennung nach Verarbeitungen geht es in diesem Abschnitt vor allem um Rechtssicherheit. Anbieter müssen Maßnahmen ergreifen, die „ausschließlich nach EU-, EWR- bzw. nationalem Recht zulässige Zugriffe auf personenbezogene Daten ermöglichen“. Rein vertragliche Maßnahmen genügten dafür in der Regel nicht. Rechtsdurchsetzbarkeit ist ebenfalls als ein Muss-Kriterium definiert. Für eine effektive Kontrollierbarkeit souveräner Cloud-Dienste müssen sich sowohl Unternehmenssitz des Anbieters als auch die Rechenzentren innerhalb des europäischen Wirtschaftsraumes befinden, das gilt auch für Unterauftragnehmer mit Zugriff auf personenbezogene Daten.

Offenheit

Offenheit wird im Sinn von Wahlmöglichkeit verstanden, Austauschbarkeit ist dabei ein Muss-Kriterium: Für alle betrieblich relevanten Daten müssen die Anbieter geeignete Exportmöglichkeiten bereitstellen; für weitere Objekte (z.B: virtuelle Rechner bei einem PaaS-Modell) sollten sie das tun. Die Lösungen sollten mit anderen Lösungen kombinierbar, modular verwendbar und auf Basis offener Standards nutzbar sein. Und: „Über die Unterstützung offener Standards hinaus sollten souveräne Clouds vollständig auf Open-Source-Software basieren.“

Vorhersehbarkeit und Verlässlichkeit

Souveränität wird als kontinuierlicher Prozess gesehen, an dem Anbietende wie Anwendende beteiligt sind. Die DSK nennt als Kriterien, die dafür gegeben sein müssen:

• Unterrichtung bei Souveränitätsgefährdung,

• Einfluss- und Wahlmöglichkeiten auf die Ausgestaltung des Angebots (z.B. Weíterentwicklungen modular und auch abwählbar)

• transparenter Produktlebenszyklus und

• prüffähige Qualität der Software.

Der letzte Punkt des Papiers schließlich bezieht sich auf die regelmäßige Prüfung der aufgestellten Kriterien.

Die Software-Prüfung sollte nicht nur möglich sein, sie muss auch durchgeführt werden – und Anbietende müssen dabei aktiv mitwirken.

(ID:49534849)