Cloud-Computing

Cloud-Computing bezeichnet die Bereitstellung von IT-Dienstleistungen wie Speicherplatz, Rechenleistung oder Software über ein Netzwerk, insbesondere das Internet. Unternehmen können dadurch IT-Ressourcen flexibel nutzen, ohne die gesamte technische Infrastruktur selbst betreiben zu müssen. Werden dabei personenbezogene Daten verarbeitet, müssen die Anforderungen der Datenschutz-Grundverordnung (DS-GVO) eingehalten werden.

Wie funktioniert Cloud-Computing?

Beim Cloud-Computing stellt ein externer Dienstleister, der sogenannte Cloud-Service-Provider (CSP), IT-Ressourcen zur Verfügung.

Anstatt eigene Server und Anwendungen vollständig selbst zu betreiben, können Unternehmen die benötigten Leistungen über das Internet beziehen.

Die Datenverarbeitung erfolgt dabei auf der technischen Infrastruktur des Cloud-Anbieters oder weiterer von ihm eingesetzter Dienstleister.

Zu den typischen Cloud-Dienstleistungen gehören:

• Cloud-Speicher: Speicherung und Bereitstellung von Dateien auf externen Servern.
• Cloud-Software: Nutzung von Anwendungen, die über das Internet bereitgestellt werden.
• Cloud-Rechenleistung: Bereitstellung zusätzlicher Rechenkapazitäten für Anwendungen und Geschäftsprozesse.
• Cloud-Datenbanken: Speicherung und Verwaltung strukturierter Daten auf einer externen Infrastruktur.

Ein wesentliches Merkmal des Cloud-Computings ist die flexible Anpassung der verfügbaren Ressourcen an den tatsächlichen Bedarf.

Unternehmen können beispielsweise ihre Speicherkapazitäten erhöhen, ohne eigene Server anschaffen zu müssen.

Diese Skalierbarkeit und die häufig nutzungsabhängige Abrechnung gehören zu den wichtigsten Vorteilen des Cloud-Computings.

Welche Datenschutzanforderungen gelten beim Cloud-Computing?

Werden beim Cloud-Computing personenbezogene Daten verarbeitet, gelten die allgemeinen Anforderungen der DS-GVO.

Unternehmen müssen insbesondere sicherstellen, dass die Verarbeitung rechtmäßig erfolgt und die personenbezogenen Daten angemessen geschützt werden.

Bei der Nutzung externer Cloud-Dienstleister liegt häufig eine Auftragsverarbeitung nach Art. 28 DS-GVO vor.

Dies ist insbesondere dann der Fall, wenn der Cloud-Anbieter personenbezogene Daten im Auftrag und nach Weisung des Unternehmens verarbeitet.

In solchen Fällen muss zwischen dem Unternehmen und dem Cloud-Anbieter ein Auftragsverarbeitungsvertrag geschlossen werden, der die gesetzlichen Anforderungen des Art. 28 DS-GVO erfüllt.

Darüber hinaus sind insbesondere folgende Punkte zu beachten:

• Rechtsgrundlage: Die Verarbeitung personenbezogener Daten muss auf einer geeigneten Rechtsgrundlage nach Art. 6 DS-GVO beruhen.
• Zweckbindung: Die Daten dürfen nur für festgelegte, eindeutige und rechtmäßige Zwecke verarbeitet werden.
• Datensicherheit: Geeignete technische und organisatorische Maßnahmen müssen den Schutz der Daten gewährleisten.
• Kontrolle des Dienstleisters: Das Unternehmen muss prüfen, ob der Cloud-Anbieter ausreichende Garantien für eine datenschutzkonforme Verarbeitung bietet.
• Einsatz weiterer Dienstleister: Werden Unterauftragsverarbeiter eingesetzt, müssen die Voraussetzungen des Art. 28 DS-GVO eingehalten werden.

Auch bei der Auslagerung der Datenverarbeitung bleibt das beauftragende Unternehmen grundsätzlich für die Einhaltung seiner datenschutzrechtlichen Pflichten verantwortlich.

Der Einsatz eines Cloud-Dienstleisters führt daher nicht automatisch zu einer Übertragung der datenschutzrechtlichen Verantwortung.

Welche Risiken bestehen beim Einsatz von Cloud-Diensten?

Cloud-Computing bietet Unternehmen zahlreiche technische und wirtschaftliche Vorteile. Gleichzeitig können durch die Auslagerung der Datenverarbeitung besondere Datenschutzrisiken entstehen.

Ein wesentliches Risiko besteht darin, dass personenbezogene Daten auf externen Systemen gespeichert und verarbeitet werden, auf deren technische Infrastruktur das Unternehmen keinen unmittelbaren Zugriff hat.

Daraus ergeben sich insbesondere folgende Herausforderungen:

• Unbefugte Zugriffe: Unzureichende Sicherheitsmaßnahmen können dazu führen, dass Dritte Zugriff auf personenbezogene Daten erhalten.
• Eingeschränkte Kontrollmöglichkeiten: Unternehmen müssen sich bei bestimmten Sicherheitsmaßnahmen auf die Angaben und Nachweise des Cloud-Anbieters verlassen.
• Einsatz von Unterauftragsverarbeitern: Weitere beteiligte Dienstleister können die Kontrolle über die Datenverarbeitung erschweren.
• Verfügbarkeit der Daten: Technische Störungen oder Ausfälle beim Cloud-Anbieter können den Zugriff auf wichtige Informationen beeinträchtigen.
• Unklare Verarbeitungsorte: Bei international betriebenen Cloud-Diensten kann die Feststellung der tatsächlichen Datenverarbeitungsorte besondere Anforderungen mit sich bringen.

Nach Art. 32 DS-GVO müssen Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Dazu können insbesondere Verschlüsselung, Zugriffsbeschränkungen, Datensicherungen und regelmäßige Sicherheitsüberprüfungen gehören.

Unternehmen sollten deshalb bereits vor der Auswahl eines Cloud-Anbieters prüfen, welche Sicherheitsmaßnahmen bestehen und wie deren Wirksamkeit nachgewiesen werden kann.

Was gilt beim Cloud-Computing für Datenübermittlungen ins Ausland?

Werden personenbezogene Daten beim Cloud-Computing an Empfänger außerhalb des Europäischen Wirtschaftsraums übermittelt, sind insbesondere die Anforderungen der Art. 44–49 DS-GVO zu beachten.

Eine solche Übermittlung kann beispielsweise zulässig sein, wenn für das betreffende Drittland ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DS-GVO besteht.

Liegt kein entsprechender Beschluss vor, können unter den gesetzlichen Voraussetzungen geeignete Garantien nach Art. 46 DS-GVO eingesetzt werden. Hierzu gehören insbesondere die Standardvertragsklauseln der Europäischen Kommission.

Je nach Drittland und konkreter Verarbeitung können zusätzliche Schutzmaßnahmen erforderlich sein.

Auch bei Cloud-Anbietern mit europäischen Rechenzentren sollte geprüft werden, ob personenbezogene Daten an Empfänger in Drittländern übermittelt werden oder entsprechende Zugriffe stattfinden.

Entscheidend ist daher nicht allein der Standort der Server, sondern auch, welche Dienstleister an der Verarbeitung beteiligt sind und welche Datenübermittlungen tatsächlich erfolgen.

Praxisbeispiel: Speicherung von Kundendaten in einer Cloud

Ein Unternehmen möchte seine bisher lokal gespeicherten Kundendaten künftig über einen externen Cloud-Dienst verwalten.

Der Cloud-Anbieter stellt die erforderliche Speicherinfrastruktur bereit und übernimmt die technische Verarbeitung der Daten nach den Weisungen des Unternehmens.

Da der Dienstleister personenbezogene Daten im Auftrag verarbeitet, liegt eine Auftragsverarbeitung nach Art. 28 DS-GVO vor.

Vor der Nutzung muss das Unternehmen deshalb einen entsprechenden Auftragsverarbeitungsvertrag mit dem Anbieter schließen.

Außerdem muss es prüfen, ob geeignete technische und organisatorische Maßnahmen zum Schutz der Kundendaten bestehen.

Bei der Überprüfung stellt das Unternehmen fest, dass der Cloud-Anbieter weitere Dienstleister einsetzt und unter bestimmten Voraussetzungen auch Zugriffe aus einem Drittland möglich sind.

Das Unternehmen muss daher zusätzlich prüfen, ob die Anforderungen an den Einsatz von Unterauftragsverarbeitern und gegebenenfalls an internationale Datenübermittlungen erfüllt werden.

Erst wenn die einschlägigen datenschutzrechtlichen Voraussetzungen vorliegen, darf die entsprechende Verarbeitung erfolgen.

legal data Einschätzung: Unternehmen sollten Cloud-Dienste nicht allein nach Kosten, Funktionsumfang und technischer Leistungsfähigkeit auswählen. Entscheidend ist auch, ob der Anbieter eine datenschutzkonforme Verarbeitung personenbezogener Daten ermöglicht. Besonders wichtig sind die vertragliche Absicherung nach Art. 28 DS-GVO, geeignete Sicherheitsmaßnahmen sowie die Prüfung möglicher

Drittlandübermittlungen. Eine sorgfältige Auswahl und regelmäßige Überprüfung des Cloud-Anbieters können rechtliche und technische Risiken erheblich reduzieren.

Rechtsgrundlagen

Art. 5 DS-GVO

Art. 6 DS-GVO

Art. 24 DS-GVO

Art. 25 DS-GVO

Art. 28 DS-GVO

Art. 32 DS-GVO

bei internationalen Datenübermittlungen Art. 44–49 DS-GVO