Letzte Folge des Themenschwerpunkts zum Status quo von Cloud Computing (Teil 6)

Rechtliche Rahmenbedingungen beim Cloud Computing

| Autor / Redakteur: Dr. Daniele Fiebig / Florian Karlstetter

Beim Cloud Computing gibt es keinen einheitlichen Rechtsrahmen. Daher muss sich jedes Unternehmen, das den Cloud-Einstieg plant, über branchenspezifische Normen und Vorschriften informieren. Ebenso wichtig ist es, den Cloud-Provider "auf Herz und Nieren" zu prüfen.
Beim Cloud Computing gibt es keinen einheitlichen Rechtsrahmen. Daher muss sich jedes Unternehmen, das den Cloud-Einstieg plant, über branchenspezifische Normen und Vorschriften informieren. Ebenso wichtig ist es, den Cloud-Provider "auf Herz und Nieren" zu prüfen. (© photolars - Fotolia.com)

Derzeit gibt es keine „deutsche“ Cloud und keine „Cloud for Europe“. Ebenso wenig kann auf einheitliche Datenschutzrichtlinien oder Zertifizierungen verwiesen werden. Geschäftsführer sind jedoch für die Einhaltung der Datenschutzvorgaben verantwortlich. Dies ist unabhängig davon, ob die Daten im eigenen Rechenzentrum oder in der Cloud liegen.

Da es keinen einheitlichen „Cloud“-Rechtsrahmen gibt, finden eine Vielzahl von Gesetzen Anwendung:

  • das Bundesdatenschutzgesetz (BDSG) und die BDSG-Novelle II, gültig seit dem 01.09.2009
  • (z. B. §3 und §9 „Personenbezogene Daten“ oder §11 „Auftragsdatenverarbeitung“)
  • die Datenschutzgesetze der Länder (LDSG)
  • die Gesetze zur Regelung von Medien und Telekommunikation (TKG, TMG)
  • branchenspezifische Rechtsnormen (z. B. Basel II, PCI DSS, HIPAA, etc.)
  • das BGB, HGB, Vorgaben der Abgabenordnung (AO), Grundsätze ordnungsgemäßer Buchführung (GoBS), Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU).

Im EU-Raum gilt zudem die EU-Datenschutzrichtlinie (Richtlinie 95/46/EG) „Mindestanforderungen an den Datenschutz in Drittstaaten“ (zusätzlich ist §4b „Übermittlung personenbezogener Daten in Drittstaaten“ BDSG zu beachten).

Besonderheiten bei der Datenübermittlung in die USA

Bei einer Datenübermittlung besonders von personenbezogenen Daten aus der EU in die USA kann die Vereinbarung SAFE HARBOR als Grundlage herangezogen werden. Das SAFE HARBOR Abkommen wurde im Jahr 2000 zwischen der EU und den USA geschlossen. Inhalt ist der Schutz und der Transfer von personenbezogenen Daten aus der EU in die USA. Unternehmen, die sich freiwillig auf die Einhaltung des Abkommens verpflichten, halten die Grundsätze der Transparenz, der Zweckmäßigkeit der Datenverarbeitung und der Datensicherheit ein und bieten das aus Sicht der EU geforderte Datenschutzniveau.

Da eine flächendeckende, regelmäßige Prüfung durch Kontrollbehörden nicht gegeben ist, kommt der Kontrollpflicht der Cloud-Nutzer eine besondere Bedeutung zu. Das heißt Cloud-Nutzer müssen selbst prüfen, welche Unternehmen im aktuellen SAFE-HARBOR-Verzeichnis geführt werden.

Für die Datenübermittlung in andere Staaten gilt generell die Prüfpflicht. Dies bedeutet, der Cloud-Nutzer als datenübermittelndes Unternehmen muss sich davon überzeugen, dass im Zielstaat ein angemessener Datenschutz besteht.

Staatliche Zugriffsrechte

Anwendung in den USA finden weiterhin der PATRIOT Act und der FISA AMENDMENTS ACT. Diese regeln die staatlichen Zugriffsrechte in Abhängigkeit vom Sitz der Muttergesellschaft. Das heißt, dass amerikanische aber auch EU-Kontrollbehörden unter Umständen Zugriff auf Daten europäischer Unternehmen besitzen, deren Hauptstandort in den USA liegt.

US-Behörden haben weltweit Zugriff auf Kundendaten

Immense Einbußen im Milliardenmarkt Cloud Computing?

US-Behörden haben weltweit Zugriff auf Kundendaten

05.08.14 - Harter Schlag für US-amerikanische Cloud-Anbieter: US-Behörden haben weltweit Zugriff auf Kundendaten, so ein aktueller Richterspruch aus den Vereinigten Staaten von Amerika. Dies widerspricht europäischen und deutschen Datenschutzvorschriften. Als Konsequenz empfiehlt Rechtsanwalt und NIFIS-Vorsitzender Dr. Thomas Lapp, künftig US-Firmen als Dienstleister zu meiden. lesen

Cloud-Kunden, die dies vermeiden wollen, müssen die Organisationsstruktur und Eigentumsver-hältnisse ihres Cloud-Providers prüfen und für den Fall von Firmenübernahmen eindeutige Ausstiegsklauseln vertraglich vereinbaren.

Jedes Unternehmen, das den Cloud-Einstieg plant, muss sich über weitere aktuelle, branchenspezifische Normen und Vorschriften (z. B. des VDI) informieren und diese Bei Vertragsabschluss beachten.

Folgende Punkte sind im Rahmen der Risikobetrachtung und bei vor Vertragsabschluss besonders zu beleuchten:

  • Datenschutz bei der Datenübertragung, Datenverarbeitung (Erheben, Speichern, Verändern), Datenspeicherung und Datenlöschung
  • Art und Schutzbedarf der Daten z. B. „Auftragsdatenverarbeitung“, Entwicklungs- und Geschäftsdaten oder Kreditkartendaten, welche in die Cloud sollen.
  • Cloud-Rechenzentrumsstandort (Deutschland, der EU/EWR oder außerhalb der EU) - bestimmt Gerichtsstand und anwendbares Recht bzw. Datenschutznormen.

Empfehlenswert für den Abschluss eines Cloud-Vertrages sind einerseits die Einschaltung eines IT- bzw. Cloud-affinen Juristen und andererseits die Verwendung von EU-Standardvertragsklauseln (Europäische Kommission, 5.2.2010).

Inhalt des Artikels:

Kommentare werden geladen....

Kommentar zu diesem Artikel abgeben

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 42937274 / Recht und Datenschutz )