ccc cloud computing conference 2011 Cloud Computing Neue Impulse für die Wirtschaft

Transkript

1 ccc cloud computing conference 2011 Cloud Computing Neue Impulse für die Wirtschaft Cloud Computing und Datenschutz: Was sind die rechtlichen Probleme und wie löst man diese? Oberhausen, Dr. Jens Eckhardt Rechtsanwalt und Fachanwalt für IT-Recht JUCONOMY Rechtsanwälte 1

2 1 Datenschutz vs. Cloud-Computing? 2 Auftragsdatenverarbeitung als Grundlage 3 Grenzüberschreitende Cloud-Services 4 Diskussion und Fragen 2

3 Datenschutz vs. Cloud-Computing? (vermeintliche) Konfliktlagen Datenschutz dient Schutz des Betroffenen Gefährdung durch Einbeziehung eines Dritten Beherrschbarkeit der Verwendung personenbezogener Daten und damit des Datenflusses Gefährdung durch Datenverarbeitung in der Wolke Bewertung der (vermeintlichen) Konfliktlagen nicht neu Beherrschbarkeit durch Beachtung des Datenschutzrechts vertragliche Absicherung (u. a. 11 BDSG) technische Absicherung (u. a. 9, 11 Abs. 4 BDSG) Fazit: Es gibt keinen generellen Konflikt zwischen Datenschutz und Cloud-Computing. 3

4 1 Datenschutz vs. Cloud-Computing? 2 Auftragsdatenverarbeitung als Grundlage 3 Grenzüberschreitende Cloud-Services 4 Diskussion und Fragen 4

5 Auftragsdatenverarbeitung als Grundlage Ausgestaltung der Cloud-Services aus Sicht des Datenschutzes Cloud-Anbieter als verantwortliche Stelle Übermittlung Zulässigkeit: 28 Abs. 1 S. 1 Nr. 2 BDSG Cloud-Anbieter als Auftragsdatenverarbeitung keine Übermittlung Zulässigkeit: Vertrag über die Auftragsdatenverarbeitung nach 11, 3 Abs. 8 S. 3 BDSG Wahlmöglichkeit der Ausgestaltung? Risiko der Interessensabwägung Interesse des Anbieters an Vereinheitlichung Standpunkt der Aufsichtsbehörden 11 Abs. 5 BDSG: Pflicht zum Abschluss Problem: Privilegierung durch ADV nur in EU/EWR 5

6 Auftragsdatenverarbeitung als Grundlage Erstellung des Vertrags durch Cloud-Anbieter Standardisierung Vereinheitlichung der Vertragsbeziehungen Berücksichtigung der Charakteristika des Cloud-Services technische und organisatorische Maßnahmen ( 9 BDSG) Sicherheit des Zugriffs Ausübung des Kontrollrechts Gütesiegel und Zertifizierungen 11 BDSG kein Verbot der Erstellung durch Cloud-Anbieter (Auftragnehmer) Wahrung des Weisungsrechts des Cloud-Service-Nutzer (Auftraggeber) 6

7 Auftragsdatenverarbeitung als Grundlage Auftragsdatenverarbeitung ( 11 BDSG) Cloud-Nutzer als datenschutzrechtlich Verantwortlicher Auswahl des Anbieters / Kontrolle der techn.& organisator. Maßn. keine Pflicht zur Kontrolle vor Ort ( 11 Abs. 2 S. 1, 4, 5) Recht zur Kontrolle vor Ort ( 11 Abs. 2 S. 2 Nr. 7) Gütesiegel und Zertifizierungen Vertrag über die Auftragsdatenverarbeitung Sicherstellung des Einhaltens der Vorgaben des 11 BDSG strikte Weisungsgebundenheit des Auftragnehmers Schriftform ( 11 Abs. 2 S. 2) Mindestinhalt: 10-Punkte-Katalog ( 11 Abs. 2 S. 2) bspw. techn.-organisator. Maßnahme ( Datensicherheit ) bspw. Berechtigung zu Unterauftragsverhältnissen 7

8 Auftragsdatenverarbeitung als Grundlage Konsequenz der Auftragsdatenverarbeitung keine Übermittlung ( 3 Abs. 8 S. 3 BDSG) aber: Privilegierung nur innerhalb EU/EWR ( 3 Abs. 8 S. 3) Cloud-Service-Nutzer, insbes.: Informationspflichtpflicht bei Datenpannen (vgl. 42a BDSG) Haftung wie für eigene Verstöße gegenüber Betroffenem (vgl. 11 Abs. 1 S. 2) Cloud-Service-Anbieter, insbes.: Weisungsgebundenheit ( 11 Abs. 3) Hinweispflicht bei Datenschutzverstößen ( 11 Abs. 3) keine Auskunftspflicht nach 34 BDSG ( 11 Abs. 1 S. 2) Entschließung der Datenschutzbeauftragten des Bundes und der Länder am 28./ (zzgl. Orientierungshilfe) 8

9 1 Datenschutz vs. Cloud-Computing? 2 Auftragsdatenverarbeitung als Grundlage 3 Grenzüberschreitende Cloud-Services 4 Diskussion und Fragen 9

10 Grenzüberschreitende Cloud-Services Anwendung deutschen Datenschutzrechts keine Rechtswahl möglich - Geltung kraft Gesetzes entscheidend: Beziehung Cloud-Nutzer Betroffener Grundsatz nach 1 Abs. 5 BDSG (vereinfacht): Erhebung und Verwendung durch Unternehmen mit Sitz in Deutschland: deutsches Datenschutzrecht Sitz innerhalb EU/EWR: Sitzlandprinzip Ausnahme: Niederlassung im Inland mit Sitz außerhalb EU/EWR: deutsches DatenschutzR Ausnahme: Datentransit Ort der Erhebung?: Standort des Betroffenen oder Standort des Erhebenden 10

11 Grenzüberschreitende Cloud-Services Grundsätzliche Differenzierung innerhalb EU/EWR und an Organe und Einrichtungen der EG Datenübermittlung nach den allgemeinen Regeln ohne zusätzliche Hürde ( 4b Abs. 1 BDSG) andere Staaten (sog. Drittstaaten) 3 Abs. 8 S. 3 BDSG: keine(!) Privilegierungswirkung einer Auftragsdatenverarbeitung mit Unternehmen in Drittstaat Datenübermittlung nur unter den zusätzlichen Anforderungen der 4b, 4c BDSG Konsequenz: zweistufige Prüfung Zulässigkeit der Datenübermittlung in einen Drittstatt Zulässigkeit der Datenübermittlung an einen Dritten aktuelle Diskussion: Safe Harbor -Grundsätze ausreichend? Aktuelles Problem?: Zugriffsrechte ausländischer Sicherheitsbehörden (aktuelle Diskussion: Patriot Act der USA) 11

12 1 Datenschutz vs. Cloud-Computing? 2 Auftragsdatenverarbeitung als Grundlage 3 Grenzüberschreitende Cloud-Services 4 Diskussion und Fragen 12

13 Diskussion und Fragen Vielen Dank für Ihre Aufmerksamkeit! Dr. Jens Eckhardt Rechtsanwalt und Fachanwalt für IT-Recht JUCONOMY Rechtsanwälte Graf-Recke-Straße Düsseldorf 0211 / / eckhardt@juconomy.de Newsletter unter: 13