Governance- und Compliance-Aspekte im Cloud-Umfeld. Rechtsanwalt Martin Schweinoch Practice Group IT, Internet & E-Business

Transkript

1 Governance- und Compliance-Aspekte im Cloud-Umfeld Rechtsanwalt Martin Schweinoch Practice Group IT, Internet & E-Business

2 Der Referent Martin Schweinoch Rechtsanwalt und Partner bei SKW Schwarz, München seit 1991 Rechtsanwalt mit Schwerpunkt IT-Recht Kontakt: Tätigkeitsbereich: Martin Schweinoch ist Rechtsanwalt im Münchener Büro von SKW Schwarz und koordiniert die überörtliche Practice Group IT, Internet und E-Business der Kanzlei mit 15 Anwälten. Er ist Vorsitzender des Arbeitskreises ITK-Vertrags- und Rechtsgestaltung im BITKOM e.v. seit dessen Gründung im Jahr 2001 und Mitglied im Lenkungsausschuss Recht und Steuern. Daneben ist Martin Schweinoch als Referent bei den Lehrgängen der DeutscheAnwaltAkademie für den neuen Fachanwalt für IT-Recht aktiv und Mitglied der Arbeitsgemeinschaft Informationstechnologie im Deutschen Anwaltverein e.v. Als Anwalt berät Martin Schweinoch Anbieter und größere Anwender bei Vertrieb, Beschaffung und Einsatz von Informationstechnologie. Das Spektrum reicht vom Tagesgeschäft bis zu Großprojekten und strategischen wie strukturellen Fragen 2

3 Cloud Computing: Verträge und Datenschutz 01 Begriffe 02 Vertragskonstellationen 03 Leistungsbeschreibung und Vertragstypen 04 Gewährleistung 05 Datenschutz 06 Resumée 3

4 Begriffe Cloud Computing ist die Bereitstellung von gemeinsam nutzbaren und flexibel skalierbaren IT-Leistungen durch nicht fest zugeordnete IT-Ressourcen über Netzwerk. 4

5 Begriffe Public Cloud Für jeden zugänglich Private Cloud Nur ein Unternehmen, kein Konzern Bestehende IT-Systeme Legacy Systems Public Cloud Hybrid Cloud Private Cloud 5

6 Begriffe SaaS Bereitstellung von Software PaaS IaaS Bereitstellung von Entwicklungsoder Laufzeitplattform Bereitstellung von Infrastruktur 6

7 Vertragskonstellationen Kunde Anbieter Kunde Anbieter Subunternehmer Kunde Anbieter Anbieter Subunternehmer Subunternehmer Subunternehmer Subunternehmer 7

8 Vertragskonstellationen Netzbetreiber Kunde SW-Nutzung Entwicklung RZ-Nutzung Software- Anbieter SaaS-Anbieter (Generalunternehmer) PaaS-Anbieter (Betrieb) PaaS-Anbieter (Entwicklung) IaaS-Anbieter 8

9 Vertragskonstellationen Aufgaben von Cloud-Verträgen: Vereinbarung von Rechten und Pflichten der Vertragspartner (Leistung und Gegenleistung) Regeln für die Zusammenarbeit Umsetzung von Governance- und Complianceanforderungen 9

10 Vertragskonstellationen Gesetzliche Regelung in Deutschland: Für Vertrag gilt nationales Recht am gewöhnlicher Aufenthalt des Anbieters (Art. 6 Rom I) Vertragliche Rechtswahl (Art. 3 Rom I) ist dringend zu empfehlen Für Schutzrechte und staatliche Befugnisse gilt Recht vor Ort. 10

11 Leistungsbeschreibung und Vertragstypen SaaS PaaS IaaS Zeitlich begrenzter Zugriff zur Nutzung von Software und/oder Entwicklungs-/Laufzeitplattformen Vergleich zu ASP (BGH): Mietvertrag ( 535 BGB) Überwachungs- und Betriebsleistungen: wohl Dienstvertrag ( 611 BGB) 11

12 Leistungsbeschreibung und Vertragstypen SaaS PaaS IaaS Zeitlich begrenzter Zugriff auf Hardware und Storage Bereitstellung von Hardware und Storage: wohl Mietvertrag ( 535 BGB) Überwachungs- und Betriebsleistungen: wohl Dienstvertrag ( 611 BGB) BGH für Webhosting: Werkvertrag ( 631 BGB) 12

13 Leistungsbeschreibung und Vertragstypen SaaS Kostenlose Leistungen (nicht in kostenpflichtigem Leistungspaket) Wohl Leihe ( 598 BGB) PaaS IaaS Individuelle Leistungen (je nach konkreter Leistung) etwa Dienstvertrag ( 611 BGB) Werkvertrag ( 631 BGB) Etc. (sui generis?) 13

14 Leistungsbeschreibung und Vertragstypen Leihe: Keine gesetzliche Gewährleistung Werk: Nacherfüllung, Selbstvornahme, Minderung, Rücktritt Cloud Computing Leistungen Miete: Mängelbeseitigung, Minderung, Selbstabhilfe, Kündigung Dienst: Keine gesetzliche Gewährleistung (Schadensersatz) 14

15 Gewährleistung Gesetzliche Gewährleistung ist oft nicht praxistauglich: Was ist die konkret geschuldete Soll-Leistung genau? Wie wird eine abweichende Ist-Leistung festgestellt? Welche gesetzliche Gewährleistung gilt dafür? Gewährleistungsrechte sind ist oft nicht umsetzbar (Selbstabhilfe ) oder nicht zielführend (Minderung ). Wie werden finanzielle Ansprüche berechnet? Lösung: Konkretisierung der geschuldeten Leistungen und Regelung für unzureichende Leistungen in SLA 15

16 Gewährleistung Service Level Agreement (SLA) genaue Leistungsbeschreibung anhand KPI Soll-Größen für KPI mit Messintervallen Folgen von Unterschreitungen der Soll-Größen (Malus, Gutschrift, Minderung, pauschaler Schadensersatz, etc.) ggf. Folgen für Vertrag bei dauerhaften schwerwiegenden Unterschreitungen bestimmter KPI (z.b. Sonderkündigung) Verhältnis zu gesetzlicher Gewährleistung (abschließende Regelung in SLA) 16

17 Datenschutz - anwendbares Recht Deutscher/EU-Datenschutz gilt für Daten in/aus Deutschland/EWR. Andere Staaten haben andere Vorstellungen und Regelungen für den Datenschutz. 17

18 Datenschutz - Begriffe Personenbezogene Daten ( 3 Abs. 1 BDSG): Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (Betroffener) Verantwortliche Stelle ( Herr der Daten, 3 Abs. 7 BDSG): Stelle, die personenbezogene Daten für sich selbst erhebt, verarbeitet oder nutzt oder dies durch andere im Auftrag vornehmen lässt Verbotsprinzip mit Erlaubnisvorbehalt ( 4 Abs. 1 BDSG): Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten ist nur mit gesetzlicher Erlaubnis oder Einwilligung des Betroffenen zulässig. 18

19 Datenschutz - Anforderungen IT-Sicherheit und Compliance: Sicherheitsanforderungen des Datenschutzes ( 9 BDSG): Technische und organisatorische Maßnahmen ( 8 Gebote ), BSI-Empfehlungen Schutz von Geschäfts- und Betriebsgeheimnissen Risk Management ( 91 Abs. 2, 93 AktG) Verfügbarkeit (Erreichbarkeit, Datensicherheit, Wiederherstellung) Benachrichtigungspflichten bei Sicherheitspannen ( 42 a BDSG) 19

20 Datenschutz Gestaltungsmöglichkeiten: Auftragsdatenverarbeitung ( 11 BDSG) Nur in EU und EWR Anforderungen an Verarbeitungsauftrag ( 11 Abs. 2 BDSG) Kontroll- und Dokumentationspflichten Außerhalb EU und EWR: Staaten mit anerkanntem Datenschutzniveau EU-Standardklauseln USA: Safe Harbour? Verschlüsselte Übertragung und verschlüsselte Verarbeitung? 20

21 Resumée Cloud Computing ist kein Fog Computing Cloud Computing aus der Netzwerkdose ist zu kurz gedacht Projektansatz für Auslagerung in die Cloud statt Steckdosenlösung Kernfrage: Welche Leistungen und Daten sollen in welche Cloud? Genaue Prüfung der Voraussetzungen und sorgfältige Vertragsgestaltung ist notwendig Alle Voraussetzungen für den Cloud Einsatz müssen bei Vertragsabschluss geklärt sein und notwendige Umsetzungsmaßnahmen im Vertrag vereinbart werden (z.b. Datenschutz, Compliance) 21

22 22