"The interesting thing about cloud computing is that we've redefined cloud computing to include everything that we already do." (Larry Elison)

Meine Beratung:

  • Prüfung und Gutachten zur rechtlichen Zulässigkeit;
  • Erstellung von Verträgen zur Auftragsdatenverarbeitung;
  • Prüfung der Rechtfertigung des § 28 BDSG oder der "Safe-Harbor"-Regelungen;
  • Beratung über Aufbewahrungspflichten für Dokumente;
  • Beratung über die Pflicht zur Wahrung von Betriebsgeheimnissen;
  • Beratung zu externen und internen Clouds;
  • ggf. Beratung zu den Regelungen des Verbraucherschutzrechts;

Der Hintergrund:

Cloud Computing ist zwar sehr praktisch für Ihr Unternehmen - allerdings bereitet dies eine Vielzahl an juristischen Problemen. Ich berate Sie dabei, wie Sie diese umgehen bzw. das rechtliche Risiko gering halten können.

Cloud Computing ist derzeit in Mode, insbesondere Begriffe wie “Software as a Service” oder “Infrastructure as a Service” sind weitverbreitet.

Insbesondere gibt es Konflikte mit dem deutschen Datenschutzrecht - einige Juristen sind sogar der Ansicht, dass Cloud Computing derzeit nach deutschen Recht generell unzulässig sei. Neben dem Datenschutzrecht dürfen jedoch auch andere wichtige Vorschriften nicht übersehen werden, wie z.B. Aufbewahrungspflichten für Dokumente, Pflicht zur Wahrung von Betriebsgeheimnissen und ggf. die Regelungen des Verbraucherschutzrechts.

Wichtig ist weiterhin die Frage des Zugriffs Dritter auf Daten in der Cloud. Dies betrifft nicht nur die Sicherheit gegen Hacker sondern insbesondere auch um legale Zugriffe, Z.B. durch Finanzbehörden oder Sicherheitsorganisationen.

Bei Auslagerung von Daten in die Cloud liegt in aller Regel eine Verarbeitung personenbezogener Daten vor. Damit findet - auch bei private Clouds - § 9 BDSG mit seinen Anlagen Anwendung, was zu umfangreichen Anforderungen an die Datensicherheit führt. Bei Public Clouds ist zudem in der Regel eine Auftragsdatenverarbeitung im Sinne des § 11 BDSG anzunehmen, was zu weiteren rechtlichen Anforderungen führt. Insbesondere ist es an sich nicht möglich, einen Anbieter mit Sitz außerhalb der EU zu wählen, was beim Cloud Computing offensichtlich zu erheblichen Problemen führt. Hier ist daher sicherzustellen, dass die Anbieter durch Selbstbindung und verbindliche Zusagen ein hohes Sicherheitsniveau gewährleisten.

Wenn die Voraussetzungen an die Auftragsdatenverarbeitung nicht vorliegen, muss eine Rechtfertigung nach § 28 BDSG vorliegen und “Safe Harbor“-Regelungen oder EU-Standard-Vertragsklauseln sind zu prüfen. Stets ist nach deutschem Recht dabei eine zweistufige Prüfung vorzunehmen hinsichtlich angemessenem Schutzniveau und Rechtfertigung. Problematisch ist bei Daten in den USA die umfassenden Regelungen des USA Patriot Acts, der unter Umständen den Zugriff von Behörden auf die sensiblen Daten erlaubt.