1. bvh-datenschutztag 2013

Transkript

1 1 CLOUD COMPUTING, DATENSCHUTZ ASPEKTE DER VERTRAGSGESTALTUNG UND BIG DATA Rechtsanwalt Daniel Schätzle Berlin, 20. März bvh-datenschutztag 2013

2 Was ist eigentlich Cloud Computing? 2 WESENTLICHE CLOUD-MERKMALE Outsourcing Host Providing ASP oder SaaS Cloud Computing kein Bezug auf konkrete Server lediglich Vereinbarung von Spezifikationen kein Bezug auf konkrete Rechenzentren vorbehaltlich anderweitiger Vereinbarungen Cloud Cloud Abstrakter Begriff

3 Vertragsbeziehungen 3 VERTRAGSBEZIEHUNGEN Cloud-Anbieter Cloud-Anwender Bsp. Cloudvertrag (Hosting): - Datenspeicher -Abruf über URL End-User End-User End-User

4 Datenschutz 4 ANWENDBARES DATENSCHUTZRECHT Welches Datenschutzrecht ist anwendbar? Grundsatz in Europa: Territorialitätsprinzip - also Recht des Landes, in dem die Daten erhoben, verarbeitet oder gespeichert werden Ausnahme innerhalb EU: Sitzlandprinzip Niederlassung des Anbieters Bei deutschem Cloud-Anwender deutsches Recht Zusätzlich aber gegebenenfalls Recht des Cloud-Anbieters Für Cloud-Anbieter innerhalb EU: Sitzlandprinzip außerhalb EU: deutsches Recht Vereinbarung zum anwendbaren Datenschutzrecht!

5 Datenschutz 5 GRUNDZÜGE DES DATENSCHUTZRECHT Jede Erhebung, Verarbeitung und Nutzung personenbezogener Daten bedarf gem. 4 Abs. 1 BDSG: einer gesetzlichen Erlaubnis oder der Einwilligung des Nutzers Gesetzliche Erlaubnis, z.b. 28 Abs. 1 S. 1 Nr. 1 BDSG: zur Vertragserfüllung mit einem Kunden zur Wahrung berechtigter Interessen der verantwortlichen Stelle ohne entgegenstehende Interessen des Betroffenen Einwilligung, 4a Abs. 1 BDSG: freie Entscheidung des Betroffenen Erklärung über den Zweck und den Umgang mit den Daten Einwilligungserklärung! Datenschutzhinweis!

6 Datenschutz 6 AUFTRAGSDATENVERARBEITUNG Einbezug von Dienstleistern ist datenschutzrechtlich relevanter Vorgang, wenn personenbezogene Daten betroffen sind und Zugangsmöglichkeit des Dienstleisters auf die Daten besteht Privilegierung der Auftragsdatenverarbeitung (ADV), 11 BDSG Keine (einwilligungsbedürftige) Übermittlung, wenn ADV in EU, sorgfältige Auswahl, Berücksichtigung der getroffenen technischen und organisatorischen Maßnahmen und schriftlicher Auftrag mit konkretem Inhalt Weisungsbefugnis des Auftraggebers ADV-Vertrag mit klaren Regelungen über Datenverarbeitung!

7 Datenschutz 7 VERARBEITUNG VON PERSONENBEZOGENEN DATEN IM EU-AUSLAND Auftragsdatenverarbeitung gilt nur innerhalb EU Immer: Möglichkeit der Einwilligung Sonst: Übermittlung ins EU-Ausland, 4b BDSG: Die Übermittlung unterbleibt, soweit der Betroffene ein schutzwürdiges Interesse an dem Ausschluss der Übermittlung hat, insbesondere wenn ein angemessenes Datenschutzniveau nicht gewährleistet ist. EU/Schweiz unproblematisch USA problematisch, Safe Harbour möglich Einwilligungserklärung oder Safe-Harbour-Unternehmen

8 Datenschutz 8 VERHÄLTNIS ZUM ENDKUNDEN Einwilligung für die Cloud-Nutzung nur nötig, wenn keine gesetzliche Gestattung oder Auftragsdatenverarbeitung bestehen Datenschutzerklärung stets erforderlich Welche Daten werden erhoben? Zu welchem Zweck? An wen werden die Daten weitergegeben? Wie lange werden sie gespeichert? Datensicherheit? Belehrung über Rechte der Betroffenen

9 Vertragsgestaltung 9 FOLGEN FÜR DIE VERTRAGSGESTALTUNG Bewusstsein für die Themen & Beteiligten im Verhältnis zum Cloud-Anbieter Rechtswahlklausel Beschränkung auf EU-Raum Vereinbarung von Auftragsdatenverarbeitung jedenfalls aber klare Regelungen zur Datenverarbeitung im Verhältnis zum Endkunden Datenschutzerklärung/Einwilligung

10 10 Daniel Schätzle HÄRTING Rechtsanwälte Chausseestraße 13, Berlin Tel Fax twitter.com/dschaetzle gplus.to/schaetzle xing.to/schaetzle