Cloud Computing Datenschutz und richtig gute Cloud-Verträge

Transkript

1 Cloud Computing Datenschutz und richtig gute Cloud-Verträge Dr. Jörg Alshut iico 2013 Berlin, Rechtsberatung. Steuerberatung. Luther.

2 Überblick. Cloud Computing Definition. Datenschutz Thesen. Das Datenschutzrecht. Der Vertrag. Wesentliches für Auftraggeber. 2

3 Cloud Computing Definition. Gesetzliche Definition: Keine. Datenverarbeitung. Internet. Regelfall: 1 Vertrag. 1 Auftraggeber. 1 Vertragspartner. Leistung auf Abruf nach Art bestimmt. Kein bestimmter Dienstleister. Kein bestimmter Ort. Kein bestimmter Server. 3

4 Datenschutz Thesen. Datenschutzrecht ist nicht skalierbar, d.h. Public Clouds sind rechtlich unzulässig. Public Clouds können technisch besser und sicherer sein als do-it-yourself-lösungen (manchmal auch wirtschaftlicher). Public Clouds sind Realität. Und gewollt. Datenschützer lassen Clouds, die gut argumentierbar sind, und Nutzer, die nachweislich bemüht sind, in der Regel leben. USPs (für Datenschützer): Verantwortlichkeit. RZ in BRD (oder IRL). Private Clouds. 4

5 Datenschutz vs. Patriot Act. Microsoft admits Patriot Act can access EU-based cloud data By Zack Whittaker June 28, 2011, 8:10 am GMT Summary: Microsoft s U.K. head admitted today that no cloud data is safe from the Patriot Act, and Microsoft can be forced to hand EU-stored data to U.S. authorities. Quelle: 5

6 Cloud und Datenschutzrecht. BDSG. Erstfassung vom (BDSG 1977). Novellen. Volkszählungsurteil vom ( informationelle Selbstbestimmung );; EU-DatSchRL (95/46/EG): BDSG 2001 in Kraft am (EU-Frist: ). EU. Viviane Reding, EU-Kommissarin für Justiz: EU-Datenschutzverordnung. 6

7 Cloud und Datenschutzrecht. BDSG und Cloud Computing. Personenbezogene Daten. Sitzlandprinzip. Betroffener. Verantwortliche Stelle. Verantwortung. Gesetzliche Erlaubnis oder Einwilligung des Betroffenen. Transparenz. Information. Kontrolle. Durchsetzbarkeit. 7

8 Cloud EU/EWR (N, IS, FL). Auftragsdatenverarbeitung, 11 BDSG 1 Auftragnehmer. Verantwortlich: Der Auftraggeber. Das Privileg: Keine Einwilligung des Betroffenen. Das (nachzuweisende) Bemühen. 8

9 Cloud EU/EWR (N, IS, FL). Das Bemühen: Auswahl und Kontrolle. Der Auftragnehmer ist unter besonderer Berücksichtigung der Eignung der von ihm getroffenen technischen und organisatorischen Maßnahmen sorgfältig auszuwählen. Der Auftraggeber hat sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Das Ergebnis ist zu dokumentieren. 9

10 Cloud EU/EWR (N, IS, FL). Das Bemühen: Der 10-Punkte-Katalog. Der Auftrag ist schriftlich zu erteilen, wobei insbesondere im Einzelnen festzulegen sind: 1. der Gegenstand und die Dauer des Auftrags, 2. der Umfang, die Art und der Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von Daten, die Art der Daten und der Kreis der Betroffenen, 3. die nach 9 zu treffenden technischen und organisatorischen Maßnahmen, 4. die Berichtigung, Löschung und Sperrung von Daten, 5. die nach Absatz 4 bestehenden Pflichten des Auftragnehmers, insbesondere die von ihm vorzunehmenden Kontrollen, 6. die etwaige Berechtigung zur Begründung von Unterauftragsverhältnissen, 7. die Kontrollrechte des Auftraggebers und die entsprechenden Duldungs- und Mitwirkungspflichten des Auftragnehmers, 8. mitzuteilende Verstöße des Auftragnehmers oder der bei ihm beschäftigten Personen gegen Vorschriften zum Schutz personenbezogener Daten oder gegen die im Auftrag getroffenen Festlegungen, 9. der Umfang der Weisungsbefugnisse, die sich der Auftraggeber gegenüber dem Auftragnehmer vorbehält, 10. die Rückgabe überlassener Datenträger und die Löschung beim Auftragnehmer gespeicherter Daten nach Beendigung des Auftrags. 10

11 Cloud Nicht-EU/EWR. Keine Auftragsdatenverarbeitung. Nur Übermittlung. Angemessenes Datenschutzniveau. Andorra, Argentinien, Färöer etc. US Department of Commerce und EU (2000): Safe Harbor. Selbst-Zertifizierung (Meldung an Federal Trade Commission). Düsseldorfer Kreis (2010): Pflicht zur Prüfung. 11

12 Cloud Nicht-EU/EWR. EU Standardvertragsklauseln. Binding Corporate Rules (BCRs). Zusätzlich: Der 10-Punkte-Katalog? 12

13 Der Vertrag. Die CSP Welt. Eine andere Welt. Strukturelles Defizit: Der CSP hat Erfahrung. Sie nicht. Rahmenvertrag und Service Level Agreements (SLAs). Oder: CSP AGBs take it or leave it. Ihr Auftrag. 13

14 Der Vertrag. Rechtliche Einordnung. Mietvertrag, Werkvertrag, Dienstvertrag, typengemischter Vertrag Mängelansprüche, Haftung etc. Rechtswahl. Eine der Grenzen: Datenschutz. BDSG. 14

15 Der Vertrag. Wirklich wesentlich für Auftraggeber: Auswahl eines CSP/ CSP- Produktes. Leistung. Sicherung der Leistung. Die Zeit danach. 15

16 Auswahl CSP/ CSP-Produkt. Erst Sie. Ist-Analyse. Soll-Analyse. Ziele. Garbage in, garbage out (GIGO). Kritikalität der betroffenen Geschäftsprozesse. Sensibilität der betroffenen Daten. 16

17 Auswahl CSP/ CSP-Produkt. Dann der CSP. CSP-Produkt. Leistungsbeschreibung. Beschaffenheiten. Service Level. Funktionalität. Verfügbarkeit. Skalierbarkeit. Performance. Kritikalität der Geschäftsprozesse. Sicherheitsstandards. Datensicherung. Redundanz. Backup. Sensibilität der Daten. Standard CSP-Produkt vs. Wünsche der Fachabteilung. 17

18 Auswahl CSP/ CSP-Produkt. Zertifizierungen und Audits: ISO Information technology Security techniques Information security management systems Requirements der International Organisation for Standardization, ISO SAS 70 des American Institute of Certified Public Accountants, AICPA EuroCloud SaaS Star Audit des EuroCloud Deutschland_eco e.v. Referenzen und Tests. 18

19 Sicherung der Leistung. Monitoring. Messen. Bericht. Weisungs- und Kontrollrechte. Vergütung. Motivation. Vielfältige Preismodelle und komplexe Preisberechnung. Price Credits (Minderung) gekoppelt an Service Level. Retained Organization. Kommunikation. Kontrolle. Benchmarking. Die Zeit danach. Access-Provider. Anbindung. Bandbreite und Verfügbarkeit. Redundanz. 19

20 Die Zeit danach. Laufzeit. Kündigungsrechte. Exit. Ausstiegsszenario. Migration der Datenverarbeitung (und der Daten). Portabilität und Interoperabilität (Dateiformat). Löschung der Daten. Zurückbehaltungsrechte. Migrationskosten. 20

21 Cloud Computing Datenschutz und richtig gute Cloud-Verträge Dr. Jörg Alshut Licencié en Droit (Orléans) Rechtsanwalt Partner Friedrichstraße Berlin Telefon