Herzlich willkommen!

Transkript

1 Herzlich willkommen! RA Marc Brauer Folie 1

2 Software as a Service und Cloud Services Grenzenlose Folie 2

3 Übersicht 1. Juristische Definitionen 2. SaaS und Cloud Computing = Miete 3. Probleme aus dem Bereich des Datenschutzes 4. Ausblick Folie 3

4 Juristische Definitionen SaaS als zukunftsorientierte Softwarekomplettlösung Über SaaS erfolgt ein Zugriff auf Anwendungsprogramme und Dienste über das Internet. Der Anbieter stellt die kompletten Applikationen (Software inklusive Lizenzen, Upgrades), die Infrastruktur (Server, Hardware) und eine Support- und Schulungsfunktion zur Verfügung (nicht unbedingt notwendig!). Für den Kunden bedeutet dies eine Minimierung seiner IT-Infrastruktur. Lediglich Basiskomponenten sind noch erforderlich, um SaaS zu nutzen (z.b. internetfähige Netbooks, Nettops etc.) Folie 4

5 Juristische Definitionen II SaaS weist Ähnlichkeiten zu ASP-Diensten auf, ist aber dennoch von ASP zu unterscheiden ASP 2.0? ASP Dienste sind im direkten Vergleich zu SaaS Lösungen weniger flexibel. ASP-Anbieter können in der Regel nur eine starre Software-Lösung bieten. Anbieter müssen jeden Kunden über eine eigene Serverinstanz mit der Software versorgen, was einen hohen Kostenaufwand bedeutet. SaaS-Dienste gehen im Gegensatz hierzu eher in eine On Demand -Lösung. Der Kunde erhält anpassungsfähige Softwarelösungen, die er auf die Bedürfnisse seinen Unternehmens zuschneiden kann. Er muss also keine Lösungen mit bezahlen, die er überhaupt nicht benötigt. Kunden werden über jeweils über eine dynamische Serverinstanz des Anbieters versorgt = geringere Kosten beim Anbieter Folie 5

6 Juristische Definitionen III SaaS und Cloud Computing Ein logischer Schritt Es ist immer mehr zu beobachten, dass SaaS und Cloud Computing ineinander übergehen und fusionieren. Anbieter stellen quasi eine komplette On-Demand IT-Infrastruktur zur Verfügung, auf die Unternehmen mit minimaler eigener IT zugreifen können. => Nicht nur das Hosting von Anwendungen (SaaS) wird in der Wolke übernommen, sondern auch Softwareentwicklungen und zusätzliche Dienste Folie 6

7 Überblick SaaS Entwicklung nach Forrester Folie 7

8 Juristische Probleme von Saas-Lösungen Generelle Nachteile aus der Sicht der Unternehmen: - Ausgereifte Sicherheitskonzepte fehlen teilweise noch. Unternehmen haben Bedenken im Hinblick auf den Einsatz von SaaS-Lösungen, wenn es um kritische Daten geht. - Die Funktionsfähigkeit der IT-Infrastruktur ist an die Funktionsfähigkeit des Internets gekoppelt. Juristische Probleme von SaaS-Lösungen: - SaaS-Dienste haben einen juristischen Schwerpunkt im Mietrecht. Für eine bestimmte Zeitdauer werden gegen Entgelt Softwarelösungen bereitgestellt. - Nutzung von Open Source Software im Rahmen von SaaS-Lösungen - Verarbeitung von personenbezogenen Daten bei der Nutzung von SaaS-Lösungen Folie 8

9 SaaS und Mietrecht Auch wenn SaaS-Lösungen regelmäßig zahlreiche Leistungen (Support oder Schulungsmaßnahmen) beinhalten, wird hierdurch nicht der mietrechtliche Charakter beeinträchtigt. Problem: Garantieverpflichtung des 535 BGB -> Ein Vermieter (der Anbieter) ist verpflichtet, den Mietgegenstand (die SaaS-Lösung) DAUERHAFT im vereinbarungsgemäßen Zustand zu halten. In der Praxis ist dies nicht umsetzbar. Es kann immer wieder zu Systemstörungen kommen. Dies auch z.b. durch notwendige Wartungsarbeiten. Folgeproblem: Dem Mieter (dem Nutzer der SaaS-Lösung) können dann z.b. Mietminderungsrechte zustehen Folie 9

10 SaaS und Mietrecht II Lösung: Im Vertrag oder in zusätzlichen Service Level Agreements (SLA) müssen diese Dinge unbedingt geregelt werden. Wichtige Punkte hierbei: Systemverfügbarkeiten, Wartungsintervalle. Häufig übersehen wird bei vertraglichen Gestaltungen die Regelung des 536a BGB. Diese Regelung begründet eine Haftung des Vermieters (SaaS-Anbieter) für Mängel, die bereits bei Vertragsschluss vorhanden waren. Auf eine Kenntnis des Anbieters kommt es hierbei nicht an. Bei Softwarelösungen kann eine solche Haftung fatale Folgen haben. Dieser Haftungstatbestand kann und sollte ausgeschlossen werden. Im Rahmen von SLAs muss aber ein Ausgleich für die Interessen des Kunden gefunden werden. Er darf nicht aller Rechte beraubt werden Folie 10

11 SaaS und Open Source In der juristischen Diskussion wird häufig der Copy-Left Gedanke der GPL bei der Nutzung von Open Source Software im Rahmen von SaaS-Angeboten. Problem: Wird Open Source Software für die z.b. netzwerkbasierte Nutzung durch einen SaaS-Anbieter angepasst, stellt sich die Frage, ob diese Änderungen der Community zur Verfügung gestellt werden müssen (Copy-Left Gedanke: Von Änderungen der Software soll und muss die gesamte Community profitieren). Dieser Copy-Left Gedanke greift aber nur im Falle der Übertragung von Software. Eine reine netzwerkbasierte Nutzung von Software gilt aber nach dem Verständnis der GPL nicht als Übertragung, so dass der Copy-Left Gedanke bei SaaS-Angeboten keine Anwendung finden soll. Achtung: Die AGPLv3 hat dieses Problem bereits geregelt und klargestellt, dass auch bei dieser Nutzung der Copy-Left Gedanken zum tragen kommt. Die GPL beinhalten insofern eine klare Regelungslücke, die sicherlich alsbald geschlossen wird! Folie 11

12 SaaS und Datenschutz Bei der Nutzung von SaaS-Lösungen werden regelmäßig personenbezogene Daten verarbeitet. Die Vereinbarung einer Auftragsdatenverarbeitung ist daher beinahe zwingend. In der Praxis fehlt eine solche Vereinbarung jedoch häufig. -> Verarbeitungsprozesse, technische und organisatorische Maßnahmen im Hinblick auf die Datensicherheit müssen im Detail festgelegt werden. Herr der Daten bleibt jedoch der Kunde, welcher die Daten über SaaS-Lösungen verarbeitet. -> Konsequenzen: Der Landesdatenschutzbeauftragte kann beim Fehlen einer solchen Vereinbarung Bußgelder verhängen oder die Datenverarbeitung untersagen, bis die Versäumnisse nachgeholt sind! Folie 12

13 SaaS und Datenschutz Vorabkontrolle Eine Besonderheit der Auftragsdatenverarbeitung wird in der Praxis ebenfalls häufig übersehen: Die Vorabkontrolle nach 11 Abs. 2 Satz 2 BDSG. VOR Beginn der Auftragsdatenverarbeitung muss sich der Kunde beim SaaS-Anbieter davon überzeugen, dass dieser die technischen und organisatorischen Maßnahmen einhält. Das Ergebnis dieser Prüfung ist zu dokumentieren und muss auf Anfrage vorweisbar sein. Notwendig hierfür ist die Kenntnis des Kunden, WO dessen Daten überhaupt verarbeitet werden. Wo stehen also die Server, auf denen die Software gehostet wird. Bei SaaS-Lösungen läuft die Software meist auf identifizierbaren Servern, so dass dieses Problem gelöst werden kann Folie 13

14 SaaS und Datenschutz - Die Cloud steht vor noch größeren Problemen Bei der immer weitergehenden Verzahnung von SaaS-Diensten und Cloud-Computing entstehen jedoch größere Probleme. Cloud-Dienste setzen häufig auf weltweit verstreute Serverfarmen. Durch die Arbeitsweise einer Cloud ist es kaum noch möglich, den Kunden tatsächlich zu informieren, auf welchen Servern seine Daten tatsächlich liegen. Diese Situation ist rechtlich derzeit äußerst unbefriedigend Folie 14

15 SaaS und Datenschutz Zertifizierung als Ausweg? Eine denkbare Lösung wäre die gesetzliche Verankerung von Zertifikaten, die den Anbietern die gesetzlich geforderte Datensicherheit bescheinigt. Im Datenschutzauditgesetz war genau dies geplant. Leider ist dieses Gesetz nicht verabschiedet worden, so dass die rechtliche Lage weiterhin als unklar zu bezeichnen ist Folie 15

16 Ausblick SaaS-Lösungen und Cloud-Computing werden in der nächsten Zeit immer deckungsgleicher werden. Durch die Funktionsweise einer Cloud stehen Anbieter und Kunden vor dem Problem, dass datenschutzrechtliche Anforderungen nicht eingehalten werden können. Der Gesetzgeber muss in diesem Bereich dringend handeln. Eine denkbare Lösung wäre die Verabschiedung eines Zertifizierungsgesetzes. Eine andere denkbare Variante wäre die Streichung der Vorabkontrolle aus dem Bundesdatenschutzgesetz Folie 16

17 Vielen Dank! Fragen? RA Marc Brauer Schollmeyer & Rickert Rechtsanwaltsgesellschaft mbh Kaiserplatz Bonn T: F: Folie 17