Cloud Computing für den Mittelstand rechtliche Risiken erkennen und vermeiden

Transkript

1 Cloud Computing für den Mittelstand rechtliche Risiken erkennen und vermeiden IHK Gießen-Friedberg 28. November 2012 Jens-Oliver Müller Rechtsanwalt und Notar Fachanwalt für Handels- und Gesellschaftsrecht Fachanwalt für Informationstechnologierecht Kleymann Karpenstein & Partner Rechtsanwälte Notare Barrister Wetzlar Philosophenweg 1 Telefon Telefax jo.mueller@kleymann.com

2 Ihr Referent Rechtsanwalt und Notar Jens-Oliver Müller ist Fachanwalt für Handels- und Gesellschaftsrecht und Fachanwalt für Informationstechnologierecht (IT-Recht). ist geschäftsführender Partner bei Kleymann, Karpenstein & Partner (KKP) in Wetzlar. hat unter der Marke ComCit bei KKP spezialisierte Rechtsberatung im Bereich des Informationstechnologie- und Urheberrechts aufgebaut. berät und vertritt viele Unternehmen der Region in allen Fragen des IT- und des Wirtschaftsrechts. Seite Kleymann, Karpenstein & Partner

3 ComCit und KKP ComCit ist eine Marke von Kleymann, Karpenstein & Partner. steht für Computer-mediated Communication and Information Technology. ist kompetenzübergreifende professionelle Beratung im IT-Recht und Urheber- & Medienrecht. Kleymann, Karpenstein & Partner (KKP) ist mit 18 Berufsträgern und rund 30 Mitarbeitern eine der großen Anwaltskanzleien in Mittelhessen Seite Kleymann, Karpenstein & Partner

4 Was Sie erwartet I. Einführung II. III. Rechtliche Risiken Risiken vermeiden Seite 4

5 I. Einführung Vorteile des Cloud Computing: Konzentration auf das Kerngeschäft; Erlangung von Wettbewerbsvorteilen; finanzielle Einsparungen: IT-Abteilung, Hardwareumgebung, Wartung und Pflege; neueste Software nutzbar; Speicherkapazitäten nach Bedarf skalierbar. Seite 5

6 1. Private Cloud = unternehmensinterne Reorganisation, eigene Wolke, auf die nur das Unternehmen Zugriff hat. 2. Public Cloud = Auslagerung in eine öffentliche Wolke, die von einem Anbieter bereitgestellt wird und auf die eine Vielzahl von Dritten Zugriff haben. Seite 6

7 Übersicht (1) Seite 7 Mischvertrag: bei mietrechtlichem Einschlag Verpflichtungen des Anbieters im Verhältnis zum Kaufvertrag gering, Risikoverlagerung auf den Anwender Know-how Schutz: Teilen einer Festplatte mit einem unmittelbaren Konkurrenten; Konkurrenten als Subunternehmer des Anbieters (möglich bei nicht ortsgebundener freier Skalierbarkeit) technische Abhängigkeit von einem Service-Provider mit kombiniertem Leistungspaket oder Gefahr für reibungslose Abläufe bei mehreren Service-Providern mit unterschiedlichen Leistungsinhalten

8 Übersicht (2) Datenschutz: Zustimmungserfordernis oder Auftragsdatenverarbeitung gemäß 11 BDSG; Probleme bei Subunternehmern des Anbieters im EU-Ausland Datensicherheit/Compliance: ggf. Zugriffsmöglichkeiten auf Daten durch Konkurrenten oder öffentliche Stellen im Ausland Seite 8

9 1. Vertragstypologie Bei IT-Projekten in der Regel Mischverträge: je nach Leistungsinhalt Einordnung als Miet-, Werk- oder Kaufvertrag; ggf. dienstvertragliche Elemente bei einzelnen Service-Leistungen Cloud Computing: meist Schwerpunkt im Mietvertragsrecht Nachteil: lediglich Pflicht des Anbieters, Vertragsgegenstand in einem zum vertraglichen Gebrauch geeigneten Zustand zu überlassen und zu erhalten = geringe Leistungspflichten und umfangreiche vertragliche Einschränkungsmöglichkeiten Seite 9

10 2. Know-how Schutz (1) Geschäftskritische Daten auf der gleichen Festplatte wie die des Konkurrenten? Wie finden Sie das? Lösung: Virtualisierungstechnologien der Anbieter, dadurch völlige Abschottung der Daten. Aber: Keine 100 % - Sicherheit möglich Unsere Empfehlung: Keine Auslagerung geschäftskritischer Daten Seite 10

11 2. Know-how Schutz (2) Konkurrenten als Subunternehmer des Anbieter mit vollem Datenzugriff? Wie finden Sie das? Lösung: Vertragliche Regelung zu Subunternehmern Unsere Empfehlung: nur ausdrücklich festgelegte Subunternehmer gestatten Widerspruchsrecht einräumen lassen Seite 11

12 3. Provider-Abhängigkeit Zwei Möglichkeiten: mehrere Provider für unterschiedliche Serviceleistungen Nachteil: eigene Verantwortung für Funktionalität und Interoperabilität Kombinationspaket eines Providers Vorteil: Funktionalität und Interoperabilität sind vom Anbieter herzustellen; Nachteil: Abhängigkeit Unsere Empfehlung: Ein oder wenige Serviceprovider, aber eindeutige vertragliche Regelungen für die Vertragsbeendigung, insbes. Mitwirkungspflichten, Terminplan für Migration, Vertragsstrafen Seite 12

13 4. Datenschutz (1) Personenbezogene Daten = Einzelangaben, welche eine bestimmte oder bestimmbare natürliche Person betreffen BDSG + Landesdatenschutzgesetze Voraussetzung für Nutzung: 1. grundsätzlich schriftliche und freiwillige Einwilligung oder 2. Auftragsdatenverarbeitung, 11 BDSG? Seite 13

14 4. Datenschutz (2) Auftragsdatenverarbeitung, 11 BDSG: Herr der Daten schriftliche Regelungen gemäß 11, 9 (inkl. Anlage) BDSG: - u.a. Kontrollpflichten, Besichtigungsrechte, Verantwortlichkeiten und die Zulässigkeit von Subunternehmern, technische und organisatorische Maßnahmen des Anbieters Seite 14

15 5. Datensicherheit/Compliance persönliche Verantwortlichkeit für die Datensicherheit und Compliance Zugriffsrechte von Konkurrenten auf Daten im Ausland? Sind Subunternehmer, die der Cloud Computing-Anbieter einsetzt, offen gelegt? Ggf. Beschränkung des Datentransfers auf bestimmte Länder Seite 15

16 III. Risiken vermeiden Ziehen Sie räumliche und inhaltliche Grenzen! Geheimhaltungsbedürftige und geschäftskritische Daten bleiben im eigenen Unternehmen. Verzichten Sie, wenn möglich, auf die Auslagerung personenbezogener Daten; ansonsten: Daten mit Personenbezug nur auslagern, wenn - die Speicherung ausschließlich auf Servern innerhalb EU/EWR erfolgt und - nur aufgrund einer Vereinbarung, welche die erforderlichen Regelungen zur Auftragsdatenvereinbarung abdeckt. Seite 16

17 III. Risiken vermeiden Ziehen Sie räumliche und inhaltliche Grenzen! Sichern Sie sich umfangreiche Kontroll- und Besichtigungsrechte zu. Achten Sie darauf, dass die Datenmigration zum Ende der Vertragslaufzeit sichergestellt ist. Seite 17

18 Fragen und Diskussion Seite 18

19 Vielen Dank für Ihre Aufmerksamkeit. Seite 19