Leuchtturm für das Cloud Computing

Im globalen Internetdorf herrscht Unruhe. Unternehmen wie auch Privatanwender nutzen zwar zunehmend Dienste aus dem Netz: Privat mailt oder vernetzt sich der Otto-Normal-Surfer anhand der Webangebote internationaler Anbieter. Auch Unternehmen schätzen zunehmend die Vorteile weltweit verfügbarer Cloud-Services. So ist der größte Anbieter von Systemen für das Kundenbeziehungsmanagement (CRM) mittlerweile der US-Webdienst Salesforce.com. Microsoft, SAP und Co. rücken nach und bauen ihre Anwendungen momentan so um, dass sie als Service über das Internet zur Verfügung stehen.

Doch nicht nur Datenschützer fragen sich momentan, ob die Verteilung von Daten über weltweite Netze rechtens ist. „Die aktuelle Situation ist für den Anwender in der Tat verwirrend“, so der Anwalt und Cloud-Rechtsexperte Dr. Christoph Ohrmann. „Da es keine speziell auf Cloud Computing zugeschnittenen Gesetzestexte gibt, greifen Datenschützer auf bestehendes Recht zurück.“ Diese in der rechtlichen Praxis übliche Vorgehensweise führt jedoch zu unterschiedlichen Interpretationen und Aussagen. Zur Frage, ob etwa der Like-Button bei Facebook und die damit verbundene Weitergabe von persönlichen Informationen durch geltendes Recht abgedeckt ist, haben die Datenschutzbeauftragten der Bundesländer durchaus unterschiedliche Meinungen.

Schutz personenbezogener Daten

Kernpunkt der Datenschutzdiskussion sind die so genannten personenbezogenen Daten. Das sind laut deutschem Recht Angaben, die natürlichen Personen zugeordnet werden – also beispielsweise die Adresse, der Geburtsort oder auch die Augenfarbe. Diese Informationen sind durch die EU-Grundrechtecharta sowie durch das deutsche „Recht auf informationelle Selbstbestimmung“ geschützt. Demnach hat jeder das Anrecht auf den Schutz dieser Daten vor Missbrauch. Für Unternehmen hat dies zur Folge, dass persönliche Angaben etwa in Arbeitsverträgen dem Datenschutz unterliegen. Auch personenbezogene Informationen wie die Adressdaten von Kunden sind diesem Schutz unterworfen.

Einer der Kernpunkte der Cloud-Datenschutzdiskussion ist daher die Frage, ob Unternehmen diese personenbezogenen Daten an Cloud-Anbieter verlagern dürfen. Angaben hierzu macht unter anderem der Paragraph 11 des Bundesdatenschutzgesetzes. Dieser Abschnitt regelt die so genannte Auftragsdatenverarbeitung (siehe Kasten). Der in den 1970er Jahren erstmals in Kraft getretene Gesetzestext ordnet bis heute die Weitergabe personenbezogener Daten an Dritte – also auch an Cloud-Computing-Dienstleister.

Wichtig für Anwenderunternehmen: Ob die Daten nun im Unternehmen selber oder bei einem Cloud-Dienstleister liegen, ist in Bezug auf die Haftung nach dem Bundesdatenschutzgesetz nicht relevant. So ist nach wie vor derjenige, der ursprünglich über die Daten verfügt, in der Pflicht, die Angaben zu schützen. In letzter Konsequenz bedeutet das: Bei Datenlecks des Cloud-Dienstleisters kann das Anwenderunternehmen und demzufolge beispielsweise auch ein persönlich haftender Gesellschafter zur Rechenschaft gezogen werden.

(Un)klare Regelungen für die Weitergabe der Daten

Bei US-amerikanischen Cloud-Dienstleistern, die dem deutschen Datenschutzrecht nicht unterliegen, ist die Sachlage kompliziert. So zeigt etwa die Facebook-Datenschutzdiskussion, dass persönliche Angaben, zumindest laut der Auffassung der meisten Datenschutzrechtler, nicht einfach an IT-Firmen im Ausland weitergegeben werden dürfen. Zwar ist die Verlagerung personenbezogener Daten laut deutschem Recht durchaus möglich. Denn das „Safe Harbor“-Abkommen zwischen der Europäischen Union und den Vereinigten Staaten regelt die legale Übermittlung derartiger Angaben. Ursprünglich gedacht ist diese Regelung jedoch nur für Anwendungsfälle, bei denen etwa Firmen mit Hauptsitz in Deutschland Daten mit ihren US-Niederlassungen austauschen.

Fraglich ist nun, ob das Abkommen auch auf die Weitergabe personenbezogener Daten an US-Cloud-Firmen angewendet werden kann. Zu dieser Frage hat sich kürzlich der Deutsche Anwaltsverein geäußert: Seiner Auffassung nach ist die Verlagerung etwa eines kompletten CRM-Systems in die Cloud eines US-amerikanischen Anbieters, dessen Rechenzentrum zudem ausschließlich außerhalb des EU/EWR-Raums liegen, in letzter Konsequenz nicht rechtens. Gleiches gilt letztlich für alle Staaten außerhalb des europäischen Staatenverbundes.

Große internationale IT-Unternehmen wie Microsoft machen sich daher vermehrt daran, Rechenzentren in EU-Ländern aufzubauen und sie damit geltenden Bestimmungen unterzuordnen. „Im Zweifelsfall“, so Cloud-Rechtsexperte Dr. Ohrmann, „unterliegen die Daten jedoch wieder dem Recht des Landes, in dem ihr Hauptfirmensitz liegt.“ Für Anwenderunternehmen hat dies unter anderem zur Folge, dass etwa US-Behörden laut dem „National Security Letter“ im begründeten Verdachtsfall Zugriff auf die Daten der US-amerikanischen Cloud-Anbieter haben. Für die Anwender bleibt aufgrund eines Redeverbots der US-Behörden – der so genannten „Gag order“ – ein solcher Zugriff in der Regel jedoch unbemerkt.

„Cloud made in Germany“

Für die oftmals propagierte deutsche Cloud, bei der sowohl der Hauptsitz des Dienstleisters als auch die Rechenzentren in Deutschland liegen, sprechen demzufolge auch datenschutzrechtliche Gründe. Peter Bodino, IT-Sicherheitsexperte und Geschäftsführer des IT-Beratungshauses Trigonum, rät Unternehmen, genau darauf zu achten, wo die Rechenzentren des Dienstleisters tatsächlich liegen. Große deutsche Cloud-Provider wie T-Systems oder mittelständische wie die Pironet NDH Datacenter bieten daher Cloud-Leistungen, bei denen sich die Anwender sicher sein können, dass die Rechenzentren in Deutschland stehen und demnach die Übergabe, Speicherung und Verarbeitung der Daten mit geltendem Recht vereinbar ist.

Laut Bundesdatenschutzgesetz sind Unternehmen zudem in der Pflicht, sich von den so genannten technisch-organisatorischen Maßnahmen, die auf Dienstleisterseite zum Schutz der Daten getroffen werden, zu überzeugen. „In der Praxis ist es jedoch aus organisatorischen Gründen unmöglich, dass Unternehmen ihren IT-Dienstleister bis ins letzte Detail auf sämtliche Datenschutzkriterien hin durchleuchten“, weiß Khaled Chaar, Managing Director Business Strategy bei Pironet NDH Datacenter. So würde eine umfassende Überprüfung Wochen, wenn nicht gar Monate, in Anspruch nehmen.

Der Cloud-Betreiber hat seine Rechenzentren daher gemäß der internationalen IT-Sicherheitsnorm ISO 27001 zertifiziert. Die Norm legt in einem 134 Punkte umfassenden Katalog die genauen Anforderungen eines IT-Dienstleisters an Datenschutz und Datensicherheit fest. Da die Zertifizierung in regelmäßigen Abständen von unabhängigen Stellen überprüft wird, ersparen sich Anwender eine Kontrolle jeder einzelnen datenschutzrechtlichen Maßnahme. Sie müssen lediglich sicherstellen, dass der Anbieter nach wie vor über die Zertifizierung verfügt.

Sicherheitsexperte Bodino rät Unternehmen daher, bei der Auswahl eines Cloud-Providers auf diese Norm zu achten. „Anhand derartiger Zertifizierungen können Kunden erkennen, dass der Dienstleister angemessene technische und organisatorische Maßnahme definiert hat“, so Bodino. Auch die Gütesiegel der Eurocloud Deutschland, einer Tochterorganisation des Verbands der deutschen Internetwirtschaft Eco, seien ein glaubwürdiger Nachweis für die Sicherheit von Cloud-Angeboten. Zudem sorgen die Zertifizierungen dafür, dass Anwender bei der Diskussion pro und contra Datenschutz und Cloud Computing nicht die entscheidenden Gründe für den Schritt in die Wolke aus den Augen verlieren: Nur noch für die IT zu bezahlen, die sie tatsächlich verwenden, Software und Hardware als Service zu nutzen und die IT für sich arbeiten zu lassen – und nicht umgekehrt.


Wichtige Regelungen bei der Auftragsdatenverarbeitung

Die sogenannte Auftragsdatenverarbeitung sichert die Auslagerung von Daten – auch im Falle von Cloud Computing – datenschutzrechtlich ab. Da die Verantwortung für die ordnungsgemäße Datenverarbeitung beim Auftraggeber verbleibt, sollten Anwender bei Cloud-Computing-Verträgen folgende Punkte beachten: 

• Es müssen unter anderem der Umfang der Datenverarbeitung, die verwendeten Programme sowie Datensicherheitsmaßnahmen des Auftragnehmers geregelt sein.
• Die in dem Vertrag festgeschriebenen Datenschutz- und Sicherheitsstandards müssen vom Auftraggeber kontrolliert werden.
• Der Cloud-Betreiber muss sich vergewissern, dass er die vereinbarten Datenschutz- und Datensicherheitsmaßnahmen erfüllen kann.
• Der Vertrag muss schriftlich festgehalten werden.
• Personenbezogene Daten muss der Auftragnehmer von den Daten trennen, die er für eigene Zwecke erhoben hat oder die er für andere Auftraggeber verarbeitet und nutzt. Der Gesetzgeber bezeichnet dies als „interne Mandantenfähigkeit“.
• Läuft der Vertrag aus, muss der Cloud-Dienstleister die Daten dem Anwender in einem zuvor festgelegten Verfahren zur Verfügung stellen.

Bildquelle: iStockphoto.com/Juuce Interactive