Was ist eigentlich (neu am) Cloud Computing? Vertragsbeziehungen Datenschutz Nutzungsrechte Folgen für die Vertragsgestaltung ÜBERBLICK

Transkript

1 1 CLOUD COMPUTING - RECHTLICHE RAHMENBEDINGUNGEN Dr. Martin Schirmbacher Berlin, 24. April 2012 Gliederung 2 ÜBERBLICK Was ist eigentlich (neu am) Cloud Computing? Vertragsbeziehungen Nutzungsrechte Folgen für die Vertragsgestaltung 1

2 3 Was ist eigentlich (neu am) Cloud Computing? Was ist eigentlich (neu am) Cloud Computing 4 WESENTLICHE CLOUD-MERKMALE Outsourcing Host Providing ASP oder SaaS Cloud Computing Flexibilität UpScale/DownScale kein Bezug auf konkrete Server lediglich Vereinbarung von Spezifikationen kein Bezug auf konkrete Rechenzentren vorbehaltlich anderweitiger Vereinbarungen 2

3 5 Cloud Cloud Was ist eigentlich (neu am) Cloud Computing 6 ABGRENZUNGEN Public Cloud vs. Private Cloud Abgrenzung zu ASP und SaaS Abgrenzung zu klassischem Outsourcing Abgrenzung zu klassischem Host-Providing à Rechtliche Einschätzung hängt von der konkreten Ausgestaltung ab 3

4 7 Vertragsbeziehungen Vertragsbeziehungen 8 VERTRAGSBEZIEHUNGEN Cloud-Anbieter Cloud-Anwender 4

5 Vertragsbeziehungen 9 VERTRAGSBEZIEHUNGEN Cloud-Anbieter Cloud-Anwender Cloud-Anwender-Kunde Cloud-Anwender-Kunde 10 5

6 11 ANWENDBARES DATENSCHUTZRECHT Welches recht ist anwendbar? Grundsatz in Europa: Territorialitätsprinzip - also Recht des Landes, in dem die Daten erhoben, verarbeitet oder gespeichert werden Ausnahme innerhalb EU/EWR: Sitzlandprinzip Niederlassung des Anbieters Bei deutschem Cloud-Anwender à deutsches Recht Zusätzlich aber gegebenenfalls Recht des Cloud- Anbieters Für Cloud-Anbieter innerhalb EU: Sitzlandprinzip außerhalb EU: deutsches Recht 12 GRUNDZÜGE DES DATENSCHUTZRECHT Jede Erhebung, Verarbeitung (auch Übermittlung) und Nutzung personenbezogener Daten bedarf einer gesetzlichen Erlaubnis oder der Einwilligung des Nutzers Gesetzliche Erlaubnis, z.b. zur Vertragserfüllung mit einem Kunden zur Wahrung berechtigter Interessen der verantwortlichen Stelle ohne entgegenstehende Interessen des Betroffenen bei allgemein zugänglichen Daten Einwilligung freie Entscheidung des Betroffenen Erklärung über den Zweck und den Umgang mit den Daten Grundsatz: Schriftform 6

7 13 AUFTRAGSDATENVERARBEITUNG Einbezug von Dienstleistern ist datenschutzrechtlich relevanter Vorgang, wenn personenbezogene Daten betroffen sind und Zugangsmöglichkeit des Dienstleister s auf die Daten besteht Privilegierung der Auftragsdatenverarbeitung (ADV) Keine (einwilligungsbedürftige) Übermittlung, wenn ADV in EU/EWR, sorgfältige Auswahl, Berücksichtigung der getroffenen technischen und organisatorischen Maßnahmen und schriftlicher Auftrag mit konkretem Inhalt 14 VERARBEITUNG VON PERSONENBEZOGENEN DATEN IM EU-AUSLAND Grundsatz: keine Datenverarbeitung ohne konkrete Einwilligung oder gesetzliche Erlaubnis Auftragsdatenverarbeitung gilt nur innerhalb EU/EWR Möglichkeit der Einwilligung Übermittlung ins Ausland, 4b BDSG: Die Übermittlung unterbleibt, soweit der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat, insbesondere wenn ein angemessenes niveau nicht gewährleistet ist. EU/EWR/Schweiz unproblematisch USA problematisch, Safe Harbour möglich eigene Geschäftszwecke, 28 BDSG Interessenabwägung Ergebnis nicht eindeutig Verpflichtung auf Mindeststandards sinnvoll 7

8 15 Fazit 16 FAZIT recht ist kein Cloud-Killer recht gilt nur bei Verarbeitung personenbezogener Daten Innerhalb EU/EWR bietet 11 BDSG (Auftragsdatenverarbeitung) Privilegierungswirkung Im EU-Ausland ist es komplizierter, aber nicht unlösbar 8

9 17 Urheberrecht und Nutzungsrechte Nutzungsrechte 18 RECHTEPROBLEM? NUTZUNGSRECHTE AN SOFTWARE Nutzung im urheberrechtlichen Sinn? à durch den Cloud-Anbieter Vervielfältigung urheberrechtlich wohl keine Vermietung öffentliche Zugänglichmachung durch den Cloud-Kunden Vervielfältigung auf Lizenzverträge achten 9

10 19 Verhältnis zum Endkunden 20 VERHÄLTNIS ZUM ENDKUNDEN Einwilligung für die Cloud-Nutzung nur nötig, wenn keine gesetzliche Gestattung oder Auftragsdatenverarbeitung bestehen erklärung stets erforderlich Welche Daten werden erhoben? Zu welchem Zweck? An wen werden die Daten weitergegeben? Wie lange werden sie gespeichert? Datensicherheit? Belehrung über Rechte der Betroffenen 10

11 Vertragsgestaltung 21 FOLGEN FÜR DIE VERTRAGSGESTALTUNG Bewusstsein für die Themen & Beteiligten im Verhältnis zum Cloud-Anbieter Beschränkung auf EU/EWR-Raum Vereinbarung von Auftragsdatenverarbeitung jedenfalls aber klare Regelungen zur Datenverarbeitung Vorsicht bei Lizenzverträgen im Verhältnis zum Endkunden Leistungsdefinitionen erklärung/einwilligung 22 Dr. Martin Schirmbacher Fachanwalt für IT-Recht HÄRTING Rechtsanwälte Chausseestraße 13, Berlin Tel Fax