Arbeitsgruppe Rechtsrahmen des Cloud Computing. Jahreskongress Trusted Cloud Berlin, 3. Juni 2014

Transkript

1 Arbeitsgruppe Rechtsrahmen des Cloud Computing Jahreskongress Trusted Cloud Berlin, 3. Juni 2014

2 Die Arbeitsgruppe Rechtsrahmen des Cloud Computing Teil des Kompetenzzentrums Trusted Cloud Ziel: Entwicklung von Lösungsvorschlägen für rechtliche Herausforderungen des Cloud Computing Schwerpunkte: Datenschutz, Vertragsgestaltung, Urheberrecht, Haftungsfragen und Strafbarkeitsrisiken Mitglieder: Experten aus Wirtschaft, Anwaltschaft und Wissenschaft, Vertreter aus Datenschutzbehörden und Projektbeteiligte aus dem Technologieprogramm Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

3 Es diskutieren Prof. Dr. Georg Borges, Ruhr-Universität Bochum Thomas Doms, VOICE e.v. Alexander Glaus, Rechtsabteilung Deutsche Bank AG Björn Hajek, Infineon AG Dr. Marc Hilber, LL.M., Oppenhoff & Partner Kristian Klodt, QSC AG Thomas Kranig, Präsident des Bayerischen Landesamtes für Datenschutzaufsicht Stephan Sädtler, Universität Passau Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

4 Datenschutz- Zertifizierung für Cloud-Dienste

5 1. Cloud Computing und Datenschutz Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

6 Das derzeit noch bestehende Grundprinzip der freien Cloud genügt nicht den Anforderungen des modernen Datenschutzes [ ] Thilo Weichert, DuD 2010, 679, 687 Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

7 Cloud Computing und Auftragsdatenverarbeitung Cloud-Anbieter = Auftragsdatenverarbeiter Cloud-Nutzer = Verantwortlicher Cloud-Kunde = Betroffener Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

8 Problem: Überwachung des Cloud-Anbieters Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

9 Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

10 Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

11 2. Die Bedeutung der Zertifizierung Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

12 Datenschutz-Zertifizierung aus Sicht eines Cloud-Nutzers Cloud-Computing als Datenverarbeitung im Auftrag Kontrollerfordernis im Cloud-Umfeld problematisch Vorteil der Zertifizierung: Schnelle Orientierung zum Schutzniveau des Dienstes Vermeidung von Risiken für Cloud-Nutzer Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

13 Datenschutz-Zertifizierung aus der Perspektive der Aufsicht Beschluss des Düsseldorfer Kreises (Aufsichtsbehörden für den Datenschutz im nicht-öffentlichen Bereich) vom 25./ (Auszug) Freiwillige Audits leisten einen bedeutenden Beitrag für den Datenschutz, weil sie als aus eigenem Antrieb veranlasste Maßnahme die Chance in sich bergen, zu mehr Datenschutz in der Fläche zu gelangen. Der Düsseldorfer Kreis unterstützt Bemühungen, Erfahrungen mit der Vergabe von Zertifikaten zu sammeln, die in eigener Verantwortung im Wege der Selbstregulierung auf der Grundlage von Standards vorgenommen und von den Aufsichtsbehörden befürwortet werden. Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

14 3. Das Pilotprojekt Datenschutz- Zertifizierung für Cloud-Dienste Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

15 Pilotprojekt datenschutzrechtliche Zertifizierung Ziele: Entwicklung Details der Pilot-Zertifizierung von Cloud-Diensten Beteiligte: Datenschutzaufsichtsbehörden Anbieter von Cloud-Diensten Nutzer von Cloud-Diensten Verbände der IT-Industrie Prüfunternehmen Rechtsanwälte Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

16 Elemente und Strukturen des Pilotprojekts Task Forces mit spezifischen Aufgaben: Task Force Prüfkriterien Entwicklung der Prüfanforderungen (Konkretisierung der datenschutzrechtlichen Anforderungen an Cloud-Dienste) Task Force Zertifizierungsverfahren Entwicklung der Elemente eines Zertifizierungsverfahrens Beschreibung des Gegenstands der Zertifizierung Konzept: modulare Zertifizierung Zeitplan: Abschluss des Pilotprojekts im Frühjahr 2015 Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

17 Herausforderungen des Zertifizierungsverfahrens Rechtliche Rahmenbedingungen: Klärung des rechtlichen Rahmens für Akkreditierungsstelle Klärung des rechtlichen Rahmens für Zertifizierungsstelle Einzelfragen: Zertifizierung nur oder auch durch private Stellen? Wer (mit welcher Qualifikation) kann was zertifizieren lassen? Was darf Zertifizierung kosten? Wie kann Vergleichbarkeit und Verbindlichkeit der Zertifizierung erreicht werden? Gibt es eine rechtliche Überprüfung der Zertifizierung oder auch der Nicht-Zertifizierung? Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

18 Prüfanforderung für Cloud-Dienste Umsetzung der gesetzlichen Anforderungen in Prüfkriterien: konkret transparent erschwinglich Entwurf der EU-Datenschutzgrundverordnung: Prinzip: Vorfahrt für KMU angemessenes Verhältnis angemessener Aufwand Schnelllebige Welt der Cloud-Dienste erfordert: einfache Vertragsvereinbarungen zwischen Nutzer und Anbieter hohe Flexibilität bei der Überprüfung Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

19 4. Das Konzept der modularen Zertifizierung Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

20 Notwendigkeit modularer Zertifizierung Gegenstand des Zertifikats = der Dienst = die Leistung, die der Cloud-Anbieter für den jeweiligen Cloud-Nutzer erbringt Bei Änderung der Leistung neues Zertifikat? neue Prüfung des gesamten Dienstes? Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

21 Der modulare Aufbau von Cloud-Diensten Horizontale Module von Anwendungen Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

22 Vertikale Module einer Anwendung Nutzerschnittstelle und Anwendungsschnittstellen Anwendungs-Software Anwendungslogik (Business Logic) Plattform-Software Zugriffs- bzw. Nutzerverwaltung (Operational Framework) Rechen-Infrastruktur (Speicher, Prozessorleistung und OS) Netz-Infrastruktur (Netzanbindung) Rechenzentrum-Infrastruktur (Strom, Kühlung & Fläche im Rechenzentrum) SaaS PaaS IaaS Hosting Housing Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

23 Vertikale Module einer Anwendung Nutzer-Schicht Vertikales Modul Zugriffs-Schicht Dienste-Schicht Ressourcen-Schicht Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

24 Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

25 Die modulare Prüfung und Zertifizierung kann der einheitlichen, separaten Zertifizierung eines Diensteangebots gleichwertig sein, soweit die modulare Zertifizierung alle Merkmale der gebotenen Prüfung und Zertifizierung umfasst und hinsichtlich der Elemente der Prüfung und Zertifizierung denselben Anforderungen genügt wie die einheitliche, separate Prüfung und Zertifizierung. Arbeitspapier Modulare Zertifizierung von Cloud Diensten, Seite 12 Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

26 Merkmale der modularen Zertifizierung Vermeidung mehrfacher Prüfungen gleichwertige Datenschutz-Standards kostengünstige Zertifizierung für Cloud-Dienste Gewährleistung hohen Datenschutzes in der Cloud Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni

27 Fazit und Abschluss

28 Fazit und Ausblick Rechtssicherheit für Cloud-Nutzer bedeutet: transparente und faire Vertragsbedingungen klare urheberrechtliche Basis der Cloud-Nutzung sichere datenschutzrechtliche Grundlagen Erforderlich: Weiterentwicklung der Lösungsansätze Ergebnisse aus der Arbeit der Arbeitsgruppe Rechtsrahmen des Cloud Computing in: Abschlusskongress Trusted Cloud (Berlin, Februar 2015) Abschlussveranstaltung Pilotprojekt Datenschutz-Zertifizierung für Cloud-Dienste (Berlin, März 2015) Kompetenzzentrum Trusted Cloud Rechtsrahmen des Cloud Computing Berlin, 3. Juni