Rechtssicher in die Cloud so geht s!

Transkript

1 Rechtssicher in die Cloud so geht s! RA Jan Schneider Fachanwalt für Informationstechnologierecht Cloud Computing Services für die Wirtschaft IHK Niederrhein, 14. Februar 2013

2 Ist die (Public-)Cloud nicht... ein rechtswidriger Kontrollverlust?... unsicher?... eine unerlaubte Datenübermittlung?... mit dem Datenschutzrecht unvereinbar?... datenschutzwidrig?

3 Wie alles beginnt Rechtskonforme Datenübermittlung

4 Bei der Nutzung von Cloud Services werden häufig personenbezogene Daten übertragen. Angaben, anhand derer natürliche Personen bestimmbar sind z. B. Name, ( -)Anschrift -, Alter, Geschlecht, Beruf, Konfession, aber ggf. auch Fotos Office- Anwendungen Storage / Backup -Dienst

5 Bei der Nutzung von Cloud Services werden häufig personenbezogene Daten übertragen. Angaben, anhand derer natürliche Personen bestimmbar sind z. B. Name, ( -)Anschrift -, Alter, Geschlecht, Beruf, Konfession, aber ggf. auch Fotos Office- Anwendungen Storage / Backup -Dienst

6 Die rechtliche Konsequenz ist Die Datenschutzgesetze finden Anwendung Herausforderung: Grundsatz: Gesetzliche Legitimation für die Datenübermittlung in die Cloud? Datenübermittlung nur mit gesetzlicher Ermächtigungsgrundlage

7 Etablierte Lösung: Auftragsdatenverarbeitung

8 Etablierte Lösung: Auftragsdatenverarbeitung Schriftlicher Cloud-Vertrag Regelungskatalog des 11 BDSG technische und organisatorische Maßnahmen zum Datenschutz ( 9 BDSG)

9 Konsequenz einer ordnungsgemäßen ADV: Datenübermittlung in die Cloud ist zulässig Cloud-Nutzer bleibt für seine Daten verantwortlich

10 Projekt Datensicherheit!

11 Zusätzliche Identifikation des Zutritts mit PIN über CAS (Control Access System)

12 Moderne Rechenzentren der Cloud Provider

13 Aufgabe für Provider und Nutzer: Konkrete Beschreibung der Maßnahmen in einem Datensicherheitskonzept nicht nur Werbeaussage, sondern verbindlich und belastbar verbindlicher des Cloud-Vertrags Bestandteil

14 Odyssee in die Cloud? Überprüfung der Maßnahmen zum Datenschutz

15 Prüfung der Maßnahmen zum Datenschutz: Prüfung vor Ort beim Provider durch den Cloud Nutzer nicht möglich! Lösungsansatz: 11 BDSG schreibt keine Prüfung vor Ort durch den Nutzer vor.

16 Prüfung der Maßnahmen zum Datenschutz: Zertifizierung nach ISO 27001? international gültige Norm betrifft Informationssicherheits-Management berücksichtigt IT-Risiken Gültigkeit 3 Jahre jährliche Überwachungsaudits

17 Prüfung der Maßnahmen zum Datenschutz: Zertifizierung nach ISO 27001? jährliche Auditierung und Testate durch Datenschutzauditor oder andere fachkundige Stellen?

18 Prüfung der Maßnahmen zum Datenschutz: Zertifizierung nach ISO 27001? jährliche Auditierung und Testate durch Datenschutzauditor oder andere fachkundige Stellen? Nachweis nach Standards SSAE 16 bzw. ISAE 3402?

19 Ein sicherer Hafen?! Serverfarmen in Übersee

20 Die Übermittlung personenbezogener Daten in eine Cloud in einem nicht sicheren Drittland kann als Auftragsdatenverarbeitung nicht zulässig sein.

21 Die Übermittlung personenbezogener Daten in eine Cloud in einem nicht sicheren Drittland kann als Auftragsdatenverarbeitung nicht zulässig sein.

22 Etablierte Lösung: EU-Standardvertragsklauseln

23 Was sind die EU-Standardvertragsklauseln? Von der EU-Kommission gestellte Vertragsvorgaben Maßnahmen zum Datenschutz für den Datentransfer in ein nicht sicheres Drittland Unveränderte Verwendung der Klauseln führt zu angemessenem Datenschutzniveau

24 Etablierte Lösung für die USA: Safe Harbor -Abkommen

25 Was ist Safe Harbor? Abkommen zwischen EU-Kommission und US-Regierung aus dem Jahre 2000 Festlegung von Maßnahmen zum Datenschutz freiwillige des Cloud-Anbieters Selbstverpflichtung Safe Harbor führt zu angemessenem Datenschutzniveau

26 Safe Harbor ist noch zeitgemäß! Festlegungen des Düsseldorfer Kreises vom zu Safe Harbor für Cloud Computing: Nachweis über Beitritt zu Safe Harbor Vertragliche Gewährleistung der Einhaltung von Safe Harbor Nachweis über die Einhaltung - z. B. durch Testate oder Standards (SSAE 16, ISAE 3402?)

27 Fazit und Ausblick Die Cloud hat Potential auch in rechtlicher Hinsicht! Die rechtlichen Herausforderungen sind lösbar mit einem konstruktiven und praxisnahen Ansatz aller Beteiligten.

28 Jan Schneider Rechtsanwalt Fachanwalt für IT-Recht SKW Schwarz Rechtsanwälte Düsseldorf Steinstraße 1 / KÖ T +49 (0) j.schneider@skwschwarz.de Abbild. (außer dieser Seite) istockphoto.com