Das rechtliche Länderrisiko der Cloud

Anbieter zum Thema

DataCore Software GmbH

FAST LTA GmbH

Impossible Cloud GmbH

Fujitsu Technology Solutions GmbH

Datenschutz im Drittstaat

Einzurechnen in die pekuniären Abwägungen sind die juristischen Risiken der Rechenwolke. Cloud Computing ist rechtlich eine Auftragsdatenverarbeitung, darauf wies Joerg Heidrich, Fachanwalt und Gutachter für IT-Recht, vor kurzem auf dem Sicherheitskongress IT-Defense 2011 hin.

Denn der Auftraggeber bleibt bei der Auftragsdatenverarbeitung datenschutzrechtlich stets „Herr des Verfahrens“, ist also bei Verstößen voll verantwortlich. Und verstoßen kann er gegen vieles. Die Cloud erweist sich juristisch als eine Wolke voller Fallstricke und Fußangeln. „Bei der Nutzung von Virtualisierung und Cloud Computing besteht generell ein gesteigertes technisches und rechtliches Risiko.

Damit erhöhen sich auch die Anforderungen zur Einhaltung gesetzlicher und unternehmensinterner Compliance Vorgaben“, so Heidrich. Besonders sensibel sind hier alle personenbezogenen Daten, vom Direktmarketing über das Callcenter bis hin zur Lohnbuchhaltung sowie natürlich alle unternehmenskritischen Daten.

Im Falle von Verlust oder Industriespionage gefährden sie den Bestand des Unternehmens. Was in Europa aus datenschutzrechtlichen Gründen streng untersagt ist, etwa die Sicherheitskopie an staatliche Stellen als Standard, kann in anderen Rechtssystemen die Norm sein.

Daten-Mißbrauch verboten

Jede Firma, die Daten in die Cloud auslagert, übernimmt vom EU-Gesetzgeber mit flinker Feder formulierte Kontrollpflichten, die in der Praxis aber schwer umzusetzen sind.

So hat sich die auslagernde Firma als Auftraggeber zu überzeugen, dass der Cloud-Provider ausreichende technische und organisatorische Maßnahmen ergriffen hat, um den gesetzlichen Vorgaben der Auftragsdatenverarbeitung zu genügen.

Schon die hypothetische Möglichkeit, dass der Provider die personenbezogenen Daten einsehen und Kopien anfertigen könnte, führt zu erheblich gesteigerten Anforderungen, um dies wirksam zu unterbinden.

Ansonsten drohen Bußgelder für den Auftraggeber. Der Gesetzgeber reagierte mit diesen Forderungen auf den massiven Missbrauch von Kundendaten durch unautorisierte Weitergabe von Dienstleistern in der Vergangenheit.

Wo das Inland aufhört

Zumindest ein Teil der Schwierigkeiten lässt sich umschiffen, wenn ein europäischer Provider den Zuschlag erhält, denn innerhalb der EU herrscht ein vergleichbarer Rechtsschutz personenbezogener Daten, und es gelten daher dieselben rechtlichen Voraussetzungen wie im Inland.

Selbstverständlich sollte auch das Backup-Rechenzentrum des Providers innerhalb der EU-Grenzen liegen. Rechenzentren in den USA, Indien, China oder Japan haben einen anderen Status.

Diese Länder gelten, zumindest was den Datenschutz angeht, als „unsichere Drittstaaten“, was im Einzelfall kaum zu erfüllende Überprüfungspflichten vor Ort nach sich zieht.

Überprüfung per Vertrag verboten?

Mal eben in regelmäßigen Abständen nach Tokio oder San Francisco fliegen, um die Deutschen Datenschutzrichtlinien zu überprüfen und zu dokumentieren, dürfte vielen schwer fallen. Ganz abgesehen davon, dass die Standardverträge ausländischer Provider gerade diese Art von Kontrollen ausschließen.

In solchen Fällen beschränkt sich das, was in die Cloud ausgelagert werden darf, schnell auf nicht personenbezogene und nicht unternehmensrelevante Daten, also bestenfalls auf einen Teil der IT-Aufgaben.

Wer statt der Public Cloud auf eine Private Cloud setzt, und somit zumindest teilweise Herr der Hardware bleibt, tut sich bei der Erfüllung der Aufgaben leichter, da er zumindest weiß, auf welchen Servern seine Daten verarbeitet werden.

Ein absichtlicher oder unabsichtlicher Austausch mit anderen Firmen, die ansonsten auf derselben Hardware arbeiten, ließe sich damit ausschliessen.

Sichere Datenhäfen sind Mangelware

Alternativ dazu bietet sich die Community Cloud an, bei der die Anwender aus einem bestimmten Bereich, etwa Banken, Versicherungen oder Online-Shops kommen, und somit vergleichbare Standards einzuhalten haben.

Bei der Cloud gilt es, mehr zu beachten als nur die Kosten für Rechenleistung und Softwarelizenzen. Was zählt, sind die Gesamtkosten und die Risiken. Das letzte Wort dürfte hier noch nicht gesprochen sein, ist doch selbst der Status der biederen Schweiz umstritten, der Status als sicheres Drittland nicht gesichert.

Umgekehrt versuchen die USA mit den Safe Harbor Principles ihren Firmen den Zugang zum europäischen Cloud Markt zu ermöglichen. Der sogenannte Düsseldorfer Kreis (eine informelle Vereinigung von Aufsichtsbehörden für den bundesdeutschen Datenschutz) lehnte es aber im April 2010 ab, eine Safe Harbour Zertifizierung als ausreichend anzuerkennen.

Individuelle Nachweise bleiben – noch – verpflichtend.

(ID:2050217)