Cloud-Computing/SaaS und Datenschutz: zwei Gegensätze?

Transkript

1 Cloud-Computing/SaaS und Datenschutz: zwei Gegensätze? Vortrag im Rahmen des BSI-Grundschutztages zum Thema Datenschutz und Informationssicherheit für KMU in der Praxis am im Bayernhafen Regensburg Eine Veranstaltung des BSI und des Bayerischen IT- Sicherheitsclusters Referentin zum Thema: Sabine Sobola, Rechtsanwältin und Lehrbeauftragte für IT-Recht, Urheberund Medienrecht

2 Aktueller Fall: Facebook Änderte 2010 plötzlich die Datenschutzeinstellungen seiner Mitglieder: persönliche Daten wurden öffentlich Keine deutsche Datenschutzbehörde formal zuständig (amerikanisches Unternehmen ohne Sitz in D) Aber: Facebook ist Mitglied des Safe-Harbor-Abkommens Beschwerde an die FTC wegen Verstoß gegen die Grundsätze des Safe-Harbor-Abkommens Bis dato keine Entscheidung über diese Beschwerde Erhebliche Defizite bei der Durchsetzung des Abkommens! Mitglieder behauptete Mitglieder Mitglieder erfüllen Mindestvoraussetzungen

3 Themen: Definitionen des Cloud-Computing Überblick über rechtliche Ansatzpunkte in der Cloud Vertragrechtliche Aspekte Datenschutzrechtliche Aspekte Fazit

4 Definitionsversuche des Rechnens in der Wolke Cloud Computing ist eine Art der IT-Nutzung, bei der dynamisch skalierbare (Software und Hardware)- Ressourcen als Service zur Verfügung gestellt werden. gibt Personen und Unternehmen die Möglichkeit, sich maßgeschneidert mit der benötigten Hard- und Software zu versorgen Flexibilität! ist primär der Ansatz, abstrahierte IT-Infrastrukturen (z. B. Rechenkapazität, Datenspeicher, fertige Software- und Programmierumgebungen als Service) dynamisch an den Bedarf angepasst über ein Netzwerk zur Verfügung zu stellen.

5 Drei Ebenen beim Cloud Computing Software as a Service (SaaS) z.b. Nutzung einer Softwareapplikation über das Internet Plattform as a Service (PaaS) z.b. Bereitstellung von Entwickler- Plattformen Infrastructure as a Service (IaaS) z.b. Bereitstellung von Rechenleistung und Speicherplatz

6 Software as a Service (SaaS) Software as a Service (SaaS) z.b. Nutzung einer Softwareapplikation über das Internet Design ist modular und serviceorientiert Last nicht vorhersehbar Anwendung soll dynamisch sein Beispiele: Google Docs, Livemeeting, Microsoft Skydive Office Web Apps, Sharepoint Online

7 Überblick über die rechtlichen Ansatzpunkte beim Cloud-Computing IT-sicherheitsrechtliche Aspekte AG und GmbH: Vorgaben bezüglich eines Sicherheitskonzeptes zur Entlastung der Führungspersonen StGB etc. IT-Sicherheitsbeauftragter im Unternehmen notwendig, sowie die Erstellung eines IT-Sicherheitskonzeptes Vertragsrechtliche Aspekte Datenschutzrechtliche Aspekte

8 Vertragsrechtliche Aspekte IT-Vertragsrecht: regelt seit vielen Jahren soft- und hardwarespezifische Inhalte zwischen dem Anbieter und dem Anwender, z.b. Softwareerstellungsverträge Lizenzverträge ASP-Verträge Outsourcingverträge SaaS-Verträge etc.

9 Vertragliche Grundlagen des IT-Rechts IT-Recht relevante Vertragstypen: Kauf Werk Miete Dienst Jede IT-spezifische Leistung sollte in ihrer vertraglichen Ausgestaltung einem der vier BGB-Vertragstypen zumindest nahe kommen.

10 Typenmuster und AGB-rechtliche Anforderungen 307 Abs.2 BGB zwingt zur Einhaltung des Typenmusters: Wesentliche Grundgedanken einer gesetzlichen Regelung führt zur AGB-rechtlichen Einhaltungspflicht dispositiven Regelungen kommt Leitbildfunktion zu; Realität daher: Grundgedanken einer gesetzlichen Regelung sind zu beachten, da Gerichte bei der Auslegung von Verträgen den jeweils einschlägigen Vertragstyp heranziehen;

11 Vertragstypologisch abgestufte Risiken - aus Sicht des IT-Unternehmers Mietvertrag Werkvertrag Kaufvertrag Dienstleistungsvertrag

12 Vertragstypologische Einordnung von Cloud-Leistungen Sehr vom Inhalt der Leistung abhängig Beispiele: ASP und SaaS Miete Datensicherungen/Backup-Lösungen wohl Werkvertrag Wichtig: Gleichgültig welche Vertragsart gewählt wird: Leistungsbeschreibungen, SLAs, Regelungen zur Datensicherheit und zum Datenschutz, Eskalationsregelungen und Exit-Management sind notwendig, da diese Regelungen nicht im BGB abgebildet sind.

13 Datenschutzrechtliche Aspekte Nur bei personenbezogenen Daten relevant Wichtig vor allem: 1. Vorgaben der Auftragsdatenverarbeitung nach 11 BDSG einhalten schwierig 2. Bei Internationalität der Cloud: Safe Harbour Prinzip nicht sehr sicher

14 Die Cloud und der Datenschutz in Europa Cloud-Computing ist eine Auftragsdatenverarbeitung gem. 11 BDSG Notwendig somit: Auftraggeber ist für Sicherstellung der Vertraulichkeit und Integrität der Daten verantwortlich Problem: bleibt Aufraggeber Herr der Daten? Wohl nicht; vor allem die Überprüfung der Einhaltung der gesetzlichen Vorgaben ist praktisch eigentlich unmöglich Es ist aber denkbar! Z.B. durch eine umfassende Selbstbindung des Cloud-Anbieters und Kontrolle durch unabhängige Stelle (z.b. durch Audits und Zertifizierungen)

15 Fazit: Bis auf Weiteres keine personenbezogenen oder unternehmenskritischen Daten in die Public-Cloud geben Bei Nutzung der Cloud: auf genaue vertragliche Regelungen achten, vor allem im Bereich Datenschutz, IT-Security, Audits. Bis auf Weiteres die Weitergabe personenbezogener Daten ins Ausland (v.a. außerhalb der EU) generell vermeiden

16 Thema: Cloud-Computing und Datenschutz zwei Gegensätze? Ja, so lange keine komplette Überprüfung der Datentransfers stattfinden kann Seriosität des Cloud-Anbieters wird künftig entscheidende Rolle spielen

17 Vielen Dank für Ihre Aufmerksamkeit