Cloud 2012 Schluss mit den rechtlichen Bedenken!

Transkript

1 Cloud 2012 Schluss mit den rechtlichen Bedenken! RA Jan Schneider Fachanwalt für Informationstechnologierecht Roadshow Informationssicherheit in der Praxis Bochum, 11. September 2012

2 Ist die (Public-)Cloud nicht... ein rechtswidriger Kontrollverlust?... unsicher?... durch den Patriot Act bedroht?... eine unerlaubte Datenübermittlung?... datenschutzwidrig?

3 Wie alles beginnt Rechtskonforme Datenübermittlung

4 Bei der Nutzung von Cloud Services werden häufig personenbezogene Daten übertragen. Angaben, anhand derer natürliche Personen bestimmbar sind z. B. Name, ( -)Anschrift -, Alter, Geschlecht, Beruf, Konfession, aber ggf. auch Fotos

5 Die rechtliche Konsequenz ist Die Datenschutzgesetze finden Anwendung Herausforderung: Grundsatz: Gesetzliche Legitimation für die Datenübermittlung in die Cloud? Datenübermittlung nur mit gesetzlicher Ermächtigungsgrundlage

6 Etablierte Lösung: Auftragsdatenverarbeitung

7 Etablierte Lösung: Auftragsdatenverarbeitung Schriftlicher Cloud-Vertrag Regelungskatalog des 11 BDSG technische und organisatorische Maßnahmen zum Datenschutz --> 9 BDSG

8 Konsequenz einer ordnungsgemäßen ADV: Datenübermittlung in die Cloud ist zulässig Cloud-Nutzer bleibt für seine Daten verantwortlich

9 Projekt Datensicherheit!

10 Moderne Rechenzentren der Cloud Provider

11 Aufgabe für Provider und Nutzer: Beschreibung der Maßnahmen in einem Datensicherheitskonzept nicht nur Werbeaussage, sondern verbindlich und belastbar verbindlicher des Cloud-Vertrags Bestandteil

12 Odyssee in die Cloud? Überprüfung der Maßnahmen zum Datenschutz

13 Prüfung der Maßnahmen zum Datenschutz: Prüfung vor Ort beim Provider durch den Cloud Nutzer nicht möglich! Lösungsansatz: 11 BDSG schreibt keine Prüfung vor Ort durch den Nutzer vor.

14 Prüfung der Maßnahmen zum Datenschutz: Zertifizierung nach ISO 27001? jährliche Auditierung und Testate durch Datenschutzauditor oder andere fachkundige Stellen? Nachweis nach Standards SSAE 16 bzw. ISAE 3402?

15 Ein sicherer Hafen?! Serverfarmen in Übersee

16 Die Übermittlung personenbezogener Daten in eine Cloud in einem nicht sicheren Drittland kann als Auftragsdatenverarbeitung nicht zulässig sein.

17 Etablierte Lösung: EU-Standardvertragsklauseln

18 Was sind die EU-Standardvertragsklauseln? Von der EU-Kommission gestellte Vertragsvorgaben Maßnahmen zum Datenschutz für den Datentransfer in ein nicht sicheres Drittland Unveränderte Verwendung der Klauseln führt zu angemessenem Datenschutzniveau

19 Etablierte Lösung für die USA: Safe Harbor -Abkommen

20 Was ist Safe Harbor? Abkommen zwischen EU-Kommission und US-Regierung aus dem Jahre 2000 Festlegung von Maßnahmen zum Datenschutz freiwillige des Cloud-Anbieters Selbstverpflichtung Safe Harbor führt zu angemessenem Datenschutzniveau

21 Safe Harbor ist noch zeitgemäß! Festlegungen des Düsseldorfer Kreises vom zu Safe Harbor für Cloud Computing: Nachweis über Beitritt zu Safe Harbor Vertragliche Gewährleistung der Einhaltung von Safe Harbor Nachweis über die Einhaltung - z. B. durch Testate oder Standards (SSAE 16, ISAE 3402?)

22 Showstopper oder Panikmache? Der Patriot Act

23 USA Patriot Act US-amerikanisches Bundesgesetz, verabschiedet am 25. Oktober 2001 Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act

24 Der USA Patriot Act erlaubt FBI unter bestimmten Voraussetzungen Zugriff auf Unternehmensdaten erfasst alle US-Unternehmen informiert (Cloud-) Kunden ggf. nicht über die Datenherausgabe

25 Überlegungen zum Patriot Act PA ist nicht die einzige Möglichkeit einer staatlichen Behörde zur Erlangung von Informationen Anwendungsbereich des PA ist eng --> Bekämpfung des Terrorismus Maßnahmen sind seit Mai 2011 gerichtlich überprüfbar

26 (Vertriebs-?) Argumente für Cloud Provider: Vertragliches Herausgabeverbot bzw. Abwehrklausel? Vertragsschluss mit EU-Tochter? --> Schutz durch EU-Datenschutzrecht Verschlüsselung der Daten?

27 Fazit und Ausblick Die Cloud hat Potential auch in rechtlicher Hinsicht! Die rechtlichen Herausforderungen sind lösbar mit einem konstruktiven und praxisnahen Ansatz aller Beteiligten.

28 Jan Schneider Rechtsanwalt Fachanwalt für IT-Recht SKW Schwarz Rechtsanwälte Düsseldorf Steinstraße 1 / KÖ T +49 (0) j.schneider@skwschwarz.de Abbild. (außer dieser Seite) istockphoto.com