Letzte Folge des Themenschwerpunkts zum Status quo von Cloud Computing (Teil 6) Rechtliche Rahmenbedingungen beim Cloud Computing

Derzeit gibt es keine „deutsche“ Cloud und keine „Cloud for Europe“. Ebenso wenig kann auf einheitliche Datenschutzrichtlinien oder Zertifizierungen verwiesen werden. Geschäftsführer sind jedoch für die Einhaltung der Datenschutzvorgaben verantwortlich. Dies ist unabhängig davon, ob die Daten im eigenen Rechenzentrum oder in der Cloud liegen.

Anbieter zum Thema

PresseBox - unn | UNITED NEWS NETWORK GmbH

Cronon GmbH

Fujitsu Technology Solutions GmbH

Da es keinen einheitlichen „Cloud“-Rechtsrahmen gibt, finden eine Vielzahl von Gesetzen Anwendung:

• das Bundesdatenschutzgesetz (BDSG) und die BDSG-Novelle II, gültig seit dem 01.09.2009

• (z. B. §3 und §9 „Personenbezogene Daten“ oder §11 „Auftragsdatenverarbeitung“)

• die Datenschutzgesetze der Länder (LDSG)

• die Gesetze zur Regelung von Medien und Telekommunikation (TKG, TMG)

• branchenspezifische Rechtsnormen (z. B. Basel II, PCI DSS, HIPAA, etc.)

• das BGB, HGB, Vorgaben der Abgabenordnung (AO), Grundsätze ordnungsgemäßer Buchführung (GoBS), Grundsätze zum Datenzugriff und zur Prüfbarkeit digitaler Unterlagen (GDPdU).

Im EU-Raum gilt zudem die EU-Datenschutzrichtlinie (Richtlinie 95/46/EG) „Mindestanforderungen an den Datenschutz in Drittstaaten“ (zusätzlich ist §4b „Übermittlung personenbezogener Daten in Drittstaaten“ BDSG zu beachten).

Besonderheiten bei der Datenübermittlung in die USA

Bei einer Datenübermittlung besonders von personenbezogenen Daten aus der EU in die USA kann die Vereinbarung SAFE HARBOR als Grundlage herangezogen werden. Das SAFE HARBOR Abkommen wurde im Jahr 2000 zwischen der EU und den USA geschlossen. Inhalt ist der Schutz und der Transfer von personenbezogenen Daten aus der EU in die USA. Unternehmen, die sich freiwillig auf die Einhaltung des Safe Harbor Abkommens verpflichten, halten die Grundsätze der Transparenz, der Zweckmäßigkeit der Datenverarbeitung und der Datensicherheit ein und bieten das aus Sicht der EU geforderte Datenschutzniveau.

Da eine flächendeckende, regelmäßige Prüfung durch Kontrollbehörden nicht gegeben ist, kommt der Kontrollpflicht der Cloud-Nutzer eine besondere Bedeutung zu. Das heißt Cloud-Nutzer müssen selbst prüfen, welche Unternehmen im aktuellen SAFE-HARBOR-Verzeichnis geführt werden.

Für die Datenübermittlung in andere Staaten gilt generell die Prüfpflicht. Dies bedeutet, der Cloud-Nutzer als datenübermittelndes Unternehmen muss sich davon überzeugen, dass im Zielstaat ein angemessener Datenschutz besteht.

Staatliche Zugriffsrechte

Anwendung in den USA finden weiterhin der PATRIOT Act und der FISA AMENDMENTS ACT. Diese regeln die staatlichen Zugriffsrechte in Abhängigkeit vom Sitz der Muttergesellschaft. Das heißt, dass amerikanische aber auch EU-Kontrollbehörden unter Umständen Zugriff auf Daten europäischer Unternehmen besitzen, deren Hauptstandort in den USA liegt.

Immense Einbußen im Milliardenmarkt Cloud Computing?

US-Behörden haben weltweit Zugriff auf Kundendaten

Cloud-Kunden, die dies vermeiden wollen, müssen die Organisationsstruktur und Eigentumsver-hältnisse ihres Cloud-Providers prüfen und für den Fall von Firmenübernahmen eindeutige Ausstiegsklauseln vertraglich vereinbaren.

Jedes Unternehmen, das den Cloud-Einstieg plant, muss sich über weitere aktuelle, branchenspezifische Normen und Vorschriften (z. B. des VDI) informieren und diese Bei Vertragsabschluss beachten.

Folgende Punkte sind im Rahmen der Risikobetrachtung und bei vor Vertragsabschluss besonders zu beleuchten:

• Datenschutz bei der Datenübertragung, Datenverarbeitung (Erheben, Speichern, Verändern), Datenspeicherung und Datenlöschung

• Art und Schutzbedarf der Daten z. B. „Auftragsdatenverarbeitung“, Entwicklungs- und Geschäftsdaten oder Kreditkartendaten, welche in die Cloud sollen.

• Cloud-Rechenzentrumsstandort (Deutschland, der EU/EWR oder außerhalb der EU) - bestimmt Gerichtsstand und anwendbares Recht bzw. Datenschutznormen.

Empfehlenswert für den Abschluss eines Cloud-Vertrages sind einerseits die Einschaltung eines IT- bzw. Cloud-affinen Juristen und andererseits die Verwendung von EU-Standardvertragsklauseln (Europäische Kommission, 5.2.2010).

(ID:42937274)