Startseite > Markt > Cloud-Computing geht nicht ohne Datenschutz

Orientierungshilfe für Anwender

Cloud-Computing geht nicht ohne Datenschutz

13. Oktober 2011, 11:36 Uhr | Nadine Kasszian

Fortsetzung des Artikels von Teil 3

Technisch-organisatorische Infrastruktur

Hintergrund ist, dass keine flächendeckende Kontrolle der Selbstzertifizierungen in den USA gewährleistet ist. Sowieso entbehre die Zertifizierung nicht der eigenen Kontrolle. Deutsche Cloud-Anwender müssten vor der ersten Datenübermittlung an ein solches US-Unternehmen prüfen, ob bestimmte Mindestkriterien erfüllt sind. Dies fängt bei der Gültigkeitsprüfung des Zertifikats an und verpflichtet den Cloud-Anwender, sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.

Hervorzuheben ist, dass die oben genannten Anforderungen für alle Verträge zwischen US-Cloud-Anbietern und deutschen Cloud-Anwendern ohne Ausnahme gelten, also auch für schon bestehende Verträge. Da dies noch nicht eindeutig geregelt war, kann die Entschließung der Datenschutz-Aufsichtsbehörden die Anpassung einiger Verträge erforderlich machen.

Technische und organisatorische Aspekte

Die Orientierungshilfe legt einen weiteren Schwerpunkt auf die technisch-organisatorische Infrastruktur. Die Entschließung der Datenschutz-Aufsichtsbehörden legt hier einige Mindest-Standards fest:

Personenbezogene Daten stehen zeitgerecht zur Verfügung und können ordnungsgemäß von autorisierten Benutzern verarbeitet werde.

Nur Befugte dürfen personenbezogene Daten zur Kenntnis nehmen.

Personenbezogene Daten bleiben während der Verarbeitung unversehrt, vollständig und aktuell. Die Funktionsweise der Systeme ist vollständig gegeben.

Es muss festgestellt werden können wer wann welche personenbezogenen Daten in welcher Weise verarbeitet hat.

Die Verfahrensweise bei der Verarbeitung personenbezogener Daten muss vollständig, aktuell und in einer Weise dokumentiert sein, dass sie in zumutbarer Zeit nachvollzogen werden kann.

Beitrag ist von Rechtsanwalt Dr. Sebastian Kraska, externer Datenschutzbeauftragter und Diplom-Jurist Michael Stolze, LL.M. LL.M..