SlideShare ist ein Scribd-Unternehmen logo
Datenschutz in der Cloud


So geht's richtig!




Dr. Marc Störing
SecTXL'11, Hamburg
11. August 2011
Bedeutung der Auftragsdatenverarbeitung
osborneclarke.de




Übermittlung an Dritte
Funktionsübertragung



   Datensubjekt    Erhebung      Anbieter




                                  Übermitt-
                                    lung




                                                             Verarbei-
                              Datenverarbeiter                 tung
osborneclarke.de




Übermittlung an Dritte
Rechtfertigung?

• Einwilligung des Kunden
• Gesetzliche Rechtfertigung
  – zur Vertragserfüllung
  – Interessenabwägung
  – Listenprivileg …
  – …
liegen häufig nicht vor oder sind unzweckmäßig
osborneclarke.de




Datenschutz
Auftragsdatenverarbeitung und § 9 BDSG

§ 3 Abs. 8 S. 3 BDSG
"Dritte sind nicht … Stellen, die … personenbezogene Daten im Auftrag
erheben, verarbeiten oder nutzen"
osborneclarke.de




Übermittlung an Dritte
Auftragsdatenverarbeitung


   Auftragsdatenverarbeitung               Funktionsübertragung

 Weisungsgebundenheit des             Weisungsfreiheit des Dienstleisters
 Auftragnehmers                       Eigenverantwortlichkeit des
 Fehlende Entscheidungsbe-            Dienstleisters
 fugnis des Auftragnehmers            Handeln des Dienstleisters im
 Auftragnehmer tritt (gegenüber dem   eigenen Namen gegenüber dem
 Betroffenen) nicht in eigenem        Betroffenen
 Namen auf
osborneclarke.de




Übermittlung an Dritte
Auftragsdatenverarbeitung



   Datensubjekt    Erhebung     Anbieter


                                      Auftrags-
                                      datenver-
                                      arbeitung




                              Auftragnehmer                Verarbei-
                                                             tung
Die rechtlichen Herausforderungen
osborneclarke.de




Internationaler Aspekt
Beschränkung auf EU/EWR

§ 3 Abs. 8 S. 3 BDSG
"Dritte sind nicht … Stellen, die …"
• im Inland,
• in der EU oder
• im EWR (EU zusammen mit Island, Liechtenstein, Norwegen)
"personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen"
osborneclarke.de




Kontrollpflichten
Auftragsdatenverarbeitung und § 9 BDSG

§ 9 S. 1 BDSG
"Stellen, die .. im Auftrag personenbezogene Daten erheben, verarbeiten oder
nutzen, haben … insbesondere die in der Anlage … genannten Anforderungen
zu gewährleisten"
§ 11 Abs. 2 BDSG
"Der Auftraggeber hat sich … regelmäßig von der Einhaltung der beim
Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu
überzeugen"
osborneclarke.de




Kontrollpflichten
Technische und organisatorische Maßnahmen

Aus der Anlage zu § 9 S.1 BDSG
• "Zutrittskontrolle"
• "Zugangskontrolle"
• "Zugriffskontrolle"
• "Weitergabekontrolle"
• "Eingabekontrolle"
• "Auftragskontrolle"
• "Verfügbarkeitskontrolle"
• Gebot der Trennung nach Zweck
osborneclarke.de




Die rechtlichen Herausforderungen
Fazit für das Cloud Computing

• Faktische Beschränkung auf Anbieter aus EU, EWR
• Zumindest im Falle des Public Cloud Computings Kontrollpflichten kaum
  wahrzunehmen
• In der (Virtual) Private Cloud jedoch lösbar (solange der Anbieter wirklich nur
  Datenverarbeiter bleibt)
So geht's richtig – technische Lösung
osborneclarke.de




Technische Lösung
Sicherheit im klassischen RZ

Klassisches RZ
• Die WAN-Verbindung ist verschlüsselt
• Im RZ liegen die Daten im Klartext – Das RZ ist auditierbar geschützt
osborneclarke.de




Technische Lösung
Sicherheit in der Cloud

Could Computing
• Keine physischen Barrieren – Sicherheit durch Verschlüsselung
osborneclarke.de




Technische Lösung
Resultat der Verschlüsselung

Dank Verschlüsselung erfolgt eine technisch beschlagnahmesichere
Speicherung der Daten
• Niemand ist technisch in der Lage, die Vertraulichkeit global aufzuheben
• Einziger Sicherheitsanker: Das Geheimnis des Teilnehmers
osborneclarke.de




Technische Lösung
Bedeutung der Verschlüsselung

• Anonymisierte Daten sind für den die Daten erhaltenden Anbieter keine
  personenbezogenen Daten i. S. v. § 3 Abs. 1 BDSG, Vorschriften des BDSG
  sind nicht anwendbar.
• Einzelheiten zwar umstritten, Konzept trägt aber in der Praxis
• Verschlüsselung erleichtert in jedem Fall die Interessensabwägung nach §
  28 BDSG und vor allem die Auftragsdatenverarbeitung (Zugangskontrolle,
  Zugriffskontrolle, Weitergabekontrolle)!
So geht's richtig – rechtliche Lösungen
osborneclarke.de




Erforderlichkeit der ADV vermeiden
Fehlende Personenbeziehbarkeit

Cloud Computing ist ohne Auftragsdatenverarbeitung verwendbar bei Daten
ohne Personenbezug und ohne Personenbeziehbarkeit
Prüfen Sie dennoch, welche Daten Sie wie in die Cloud geben. Auch nicht dem
Bundesdatenschutzgesetz unterfallene Daten können etwa als
Geschäftsgeheimnis kritisch sein
Verschlüsselung trägt als Lösung für beide Aspekte
osborneclarke.de




Erforderlichkeit der ADV vermeiden
EU-Standardvertragsklauseln als Alternative

EU-Standardvertragsklauseln
• Übermittlung an Dritten liegt vor
• Lücken mit Wertungen von § 11 BDSG ausfüllen
• Rechtfertigung der Übermittlung nach § 28 Abs. 1 S. 1 Nr. 2 BDSG
• § 28 Abs. 6 BDSG als Grenze
 – Nicht in die Cloud dürfen Angaben über die rassische und ethnische
   Herkunft, politische Meinungen, religiöse oder philosophische
   Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder
   Sexualleben (§ 3 Abs. 9 BDSG)
osborneclarke.de




Erforderlichkeit der ADV vermeiden
Vermeintliche Alternativen

In der Praxis teilweise als Erlaubnistatbestand missverstanden
• Übermittlung an sichere Drittstaaten; oder
• Safe-Harbor
Diese Mechanismen erfüllen lediglich die zusätzlichen Anforderungen nach
§ 4b BDSG, rechtfertigen aber nicht die eigentliche Übermittlung
osborneclarke.de




So geht's richtig
Territoriale Beschränkung

Anbieter in EU/EWR auswählen
• Entscheidend ist der Serverstandort
• Komplexe Kettenvertragsverhältnisse mit Anbietern aus verschiedenen
  Ländern sind möglich
osborneclarke.de




So geht's richtig
Best Practices

• Suchen Sie den Anbieter sorgfältig aus
• Verschlüsseln Sie Daten nach Möglichkeit
• Sorgen Sie für eine Auditierbarkeit – idealerweise der Daten, sonst der
  Technologien und Prozesse
• Achten Sie auf Transparenz! Können Sie die Aussagen der Anbieter prüfen?
osborneclarke.de




Ansprechpartner




Dr. Marc Störing
Rechtsanwalt
T +49 (0) 221 5108 4206
F +49 (0) 221 5108 4267
marc.stoering@osborneclarke.de

Weitere ähnliche Inhalte

Was ist angesagt?

Mitarbeiterkontrolle datenschutz
Mitarbeiterkontrolle datenschutzMitarbeiterkontrolle datenschutz
Mitarbeiterkontrolle datenschutzDigicomp Academy AG
 
SecTXL '11 | Frankfurt - Jan Schneider: "Cloud Compliance Was Provider und Nu...
SecTXL '11 | Frankfurt - Jan Schneider: "Cloud Compliance Was Provider und Nu...SecTXL '11 | Frankfurt - Jan Schneider: "Cloud Compliance Was Provider und Nu...
SecTXL '11 | Frankfurt - Jan Schneider: "Cloud Compliance Was Provider und Nu...Symposia 360°
 
Datenschutz Schulung Bernd Fuhlert 2013
Datenschutz Schulung Bernd Fuhlert 2013Datenschutz Schulung Bernd Fuhlert 2013
Datenschutz Schulung Bernd Fuhlert 2013
Bernd Fuhlert
 
Cybercrime & Datenklau - rechtliche Aspekte
Cybercrime & Datenklau - rechtliche AspekteCybercrime & Datenklau - rechtliche Aspekte
Cybercrime & Datenklau - rechtliche Aspekte
Michael Lanzinger
 
Sebastian Louven - Industrie 4.0
Sebastian Louven - Industrie 4.0Sebastian Louven - Industrie 4.0
Sebastian Louven - Industrie 4.0
Sebastian Louven
 
[2018-02-25] epicenter.works Koordinationstreffen: Regierungsprogramm und Übe...
[2018-02-25] epicenter.works Koordinationstreffen: Regierungsprogramm und Übe...[2018-02-25] epicenter.works Koordinationstreffen: Regierungsprogramm und Übe...
[2018-02-25] epicenter.works Koordinationstreffen: Regierungsprogramm und Übe...
Daniel Lohninger
 
Cebit mitarbeiterdaten kundendaten_cloud_beckmann_19032015
Cebit mitarbeiterdaten kundendaten_cloud_beckmann_19032015Cebit mitarbeiterdaten kundendaten_cloud_beckmann_19032015
Cebit mitarbeiterdaten kundendaten_cloud_beckmann_19032015
Marcus Beckmann
 
FOM Vortrag Bernd Fuhlert
FOM Vortrag Bernd FuhlertFOM Vortrag Bernd Fuhlert
FOM Vortrag Bernd Fuhlert
Bernd Fuhlert
 
SecTXL '11 | Hamburg - Roberto Valerio: "Public Cloud: Sicherheit und Datensc...
SecTXL '11 | Hamburg - Roberto Valerio: "Public Cloud: Sicherheit und Datensc...SecTXL '11 | Hamburg - Roberto Valerio: "Public Cloud: Sicherheit und Datensc...
SecTXL '11 | Hamburg - Roberto Valerio: "Public Cloud: Sicherheit und Datensc...Symposia 360°
 
Datenschutz in der Rechtsanwaltskanzlei
Datenschutz in der RechtsanwaltskanzleiDatenschutz in der Rechtsanwaltskanzlei
Datenschutz in der Rechtsanwaltskanzlei
Michael Lanzinger
 

Was ist angesagt? (11)

Mitarbeiterkontrolle datenschutz
Mitarbeiterkontrolle datenschutzMitarbeiterkontrolle datenschutz
Mitarbeiterkontrolle datenschutz
 
SecTXL '11 | Frankfurt - Jan Schneider: "Cloud Compliance Was Provider und Nu...
SecTXL '11 | Frankfurt - Jan Schneider: "Cloud Compliance Was Provider und Nu...SecTXL '11 | Frankfurt - Jan Schneider: "Cloud Compliance Was Provider und Nu...
SecTXL '11 | Frankfurt - Jan Schneider: "Cloud Compliance Was Provider und Nu...
 
Datenschutz Schulung Bernd Fuhlert 2013
Datenschutz Schulung Bernd Fuhlert 2013Datenschutz Schulung Bernd Fuhlert 2013
Datenschutz Schulung Bernd Fuhlert 2013
 
Cybercrime & Datenklau - rechtliche Aspekte
Cybercrime & Datenklau - rechtliche AspekteCybercrime & Datenklau - rechtliche Aspekte
Cybercrime & Datenklau - rechtliche Aspekte
 
Sebastian Louven - Industrie 4.0
Sebastian Louven - Industrie 4.0Sebastian Louven - Industrie 4.0
Sebastian Louven - Industrie 4.0
 
Datenschutz
DatenschutzDatenschutz
Datenschutz
 
[2018-02-25] epicenter.works Koordinationstreffen: Regierungsprogramm und Übe...
[2018-02-25] epicenter.works Koordinationstreffen: Regierungsprogramm und Übe...[2018-02-25] epicenter.works Koordinationstreffen: Regierungsprogramm und Übe...
[2018-02-25] epicenter.works Koordinationstreffen: Regierungsprogramm und Übe...
 
Cebit mitarbeiterdaten kundendaten_cloud_beckmann_19032015
Cebit mitarbeiterdaten kundendaten_cloud_beckmann_19032015Cebit mitarbeiterdaten kundendaten_cloud_beckmann_19032015
Cebit mitarbeiterdaten kundendaten_cloud_beckmann_19032015
 
FOM Vortrag Bernd Fuhlert
FOM Vortrag Bernd FuhlertFOM Vortrag Bernd Fuhlert
FOM Vortrag Bernd Fuhlert
 
SecTXL '11 | Hamburg - Roberto Valerio: "Public Cloud: Sicherheit und Datensc...
SecTXL '11 | Hamburg - Roberto Valerio: "Public Cloud: Sicherheit und Datensc...SecTXL '11 | Hamburg - Roberto Valerio: "Public Cloud: Sicherheit und Datensc...
SecTXL '11 | Hamburg - Roberto Valerio: "Public Cloud: Sicherheit und Datensc...
 
Datenschutz in der Rechtsanwaltskanzlei
Datenschutz in der RechtsanwaltskanzleiDatenschutz in der Rechtsanwaltskanzlei
Datenschutz in der Rechtsanwaltskanzlei
 

Andere mochten auch

Le referencement web
Le referencement webLe referencement web
Le referencement web
Stephane PERES
 
Inexistencia
InexistenciaInexistencia
Inexistencia
darlin
 
Präsentation Frankfurt 2013 Tel 1
Präsentation Frankfurt 2013 Tel 1Präsentation Frankfurt 2013 Tel 1
Präsentation Frankfurt 2013 Tel 1tabeachen1
 
Tourte aux pommes. pablo
Tourte aux pommes. pabloTourte aux pommes. pablo
Tourte aux pommes. pablo
School
 
Ley forestal
Ley forestalLey forestal
Ley forestal
Save Solutions
 
Tpd Nº4 Luaces Matrtinez Gomez Archetti
Tpd Nº4 Luaces Matrtinez Gomez ArchettiTpd Nº4 Luaces Matrtinez Gomez Archetti
Tpd Nº4 Luaces Matrtinez Gomez Archetti
Rocio
 
Dalida - Douce Nuit, Sainte Nuit
Dalida - Douce Nuit, Sainte NuitDalida - Douce Nuit, Sainte Nuit
Dalida - Douce Nuit, Sainte Nuit
zorpar
 
Salón Manga
Salón MangaSalón Manga
Salón Manga
Marian Dunia
 
Bitácoras viajeras
Bitácoras viajerasBitácoras viajeras
Bitácoras viajeras
saragonzalezalzate
 
Losmoluscos
LosmoluscosLosmoluscos
Losmoluscos
chony82
 
Metodologia de investigacion
Metodologia de investigacionMetodologia de investigacion
Metodologia de investigacion
saragonzalezalzate
 
Cartes de noël
Cartes de noëlCartes de noël
Cartes de noël
School
 
Die Innovationsformel für den Media Shift
Die Innovationsformel für den Media Shift Die Innovationsformel für den Media Shift
Die Innovationsformel für den Media Shift
neuwaerts
 
Presentacion pp blog
Presentacion pp blogPresentacion pp blog
Presentacion pp blog
raci2010
 
Ley de-procedimientos-mercantiles
Ley de-procedimientos-mercantilesLey de-procedimientos-mercantiles
Ley de-procedimientos-mercantiles
Save Solutions
 

Andere mochten auch (20)

Best photos 2009
Best photos 2009Best photos 2009
Best photos 2009
 
Le referencement web
Le referencement webLe referencement web
Le referencement web
 
Inexistencia
InexistenciaInexistencia
Inexistencia
 
Präsentation Frankfurt 2013 Tel 1
Präsentation Frankfurt 2013 Tel 1Präsentation Frankfurt 2013 Tel 1
Präsentation Frankfurt 2013 Tel 1
 
Wolf georg vassilis
Wolf georg vassilisWolf georg vassilis
Wolf georg vassilis
 
Tourte aux pommes. pablo
Tourte aux pommes. pabloTourte aux pommes. pablo
Tourte aux pommes. pablo
 
Vademecum 2011
Vademecum 2011Vademecum 2011
Vademecum 2011
 
Ley forestal
Ley forestalLey forestal
Ley forestal
 
Tpd Nº4 Luaces Matrtinez Gomez Archetti
Tpd Nº4 Luaces Matrtinez Gomez ArchettiTpd Nº4 Luaces Matrtinez Gomez Archetti
Tpd Nº4 Luaces Matrtinez Gomez Archetti
 
6-Cm7
6-Cm76-Cm7
6-Cm7
 
Dalida - Douce Nuit, Sainte Nuit
Dalida - Douce Nuit, Sainte NuitDalida - Douce Nuit, Sainte Nuit
Dalida - Douce Nuit, Sainte Nuit
 
Le ballet
Le balletLe ballet
Le ballet
 
Salón Manga
Salón MangaSalón Manga
Salón Manga
 
Bitácoras viajeras
Bitácoras viajerasBitácoras viajeras
Bitácoras viajeras
 
Losmoluscos
LosmoluscosLosmoluscos
Losmoluscos
 
Metodologia de investigacion
Metodologia de investigacionMetodologia de investigacion
Metodologia de investigacion
 
Cartes de noël
Cartes de noëlCartes de noël
Cartes de noël
 
Die Innovationsformel für den Media Shift
Die Innovationsformel für den Media Shift Die Innovationsformel für den Media Shift
Die Innovationsformel für den Media Shift
 
Presentacion pp blog
Presentacion pp blogPresentacion pp blog
Presentacion pp blog
 
Ley de-procedimientos-mercantiles
Ley de-procedimientos-mercantilesLey de-procedimientos-mercantiles
Ley de-procedimientos-mercantiles
 

Ähnlich wie SecTXL '11 | Hamburg - Dr. Marc Störing: "Datenschutz in der Cloud - So geht's richtig!"

Datenschutz in der Cloud
Datenschutz in der CloudDatenschutz in der Cloud
Datenschutz in der Cloud
datenschutzbeauftragter
 
Cloud Computing
Cloud Computing Cloud Computing
Von der Horst: Vom Datenschutz und der Datensicherheit zur „Datenschutzkultur“
Von der Horst: Vom Datenschutz und der Datensicherheit zur „Datenschutzkultur“Von der Horst: Vom Datenschutz und der Datensicherheit zur „Datenschutzkultur“
Von der Horst: Vom Datenschutz und der Datensicherheit zur „Datenschutzkultur“Raabe Verlag
 
Digital Marketing - Akademischer Handelsmanager 2017
Digital Marketing - Akademischer Handelsmanager 2017Digital Marketing - Akademischer Handelsmanager 2017
Digital Marketing - Akademischer Handelsmanager 2017
Michael Lanzinger
 
Sichere Datenübermittlung ins Ausland
Sichere Datenübermittlung ins AuslandSichere Datenübermittlung ins Ausland
Sichere Datenübermittlung ins Ausland
Michael Rohrlich
 
Datenschutz 2013 bernd_fuhlert
Datenschutz 2013 bernd_fuhlertDatenschutz 2013 bernd_fuhlert
Datenschutz 2013 bernd_fuhlert
Bernd Fuhlert
 
Minenfeld Archivierung - Ansätze. Rechtsfragen. Verantwortlichkeiten.
Minenfeld Archivierung - Ansätze. Rechtsfragen. Verantwortlichkeiten.Minenfeld Archivierung - Ansätze. Rechtsfragen. Verantwortlichkeiten.
Minenfeld Archivierung - Ansätze. Rechtsfragen. Verantwortlichkeiten.
Bernd Fuhlert
 
Verträge für die Cloud - Rechtliche Besonderheiten und praktische Relevanz
Verträge für die Cloud - Rechtliche Besonderheiten und praktische RelevanzVerträge für die Cloud - Rechtliche Besonderheiten und praktische Relevanz
Verträge für die Cloud - Rechtliche Besonderheiten und praktische Relevanz
eBusiness-Lotse Potsdam
 
Dokumentationspflichten im Datenschutzrecht
Dokumentationspflichten im DatenschutzrechtDokumentationspflichten im Datenschutzrecht
Dokumentationspflichten im Datenschutzrecht
Michael Rohrlich
 
Datenschutz-Vortrag im Axis Linz
Datenschutz-Vortrag im Axis LinzDatenschutz-Vortrag im Axis Linz
Datenschutz-Vortrag im Axis Linz
Michael Lanzinger
 
Online-Befragungen: ADV-Vertrag für mehr Sicherheit
Online-Befragungen: ADV-Vertrag für mehr SicherheitOnline-Befragungen: ADV-Vertrag für mehr Sicherheit
Online-Befragungen: ADV-Vertrag für mehr Sicherheit
LamaPoll
 
Bernd Fuhlert: Vortrag an der FOM Hochschule - Dezember 2011
Bernd Fuhlert: Vortrag an der FOM Hochschule - Dezember 2011Bernd Fuhlert: Vortrag an der FOM Hochschule - Dezember 2011
Bernd Fuhlert: Vortrag an der FOM Hochschule - Dezember 2011
Bernd Fuhlert
 
Datenschutz, datensicherheit und urheberrecht
Datenschutz, datensicherheit und urheberrechtDatenschutz, datensicherheit und urheberrecht
Datenschutz, datensicherheit und urheberrechtCBeuster
 
Bernd Fuhlert: AMC Arbeitskreis - Dialogmarketing trotz Recht
Bernd Fuhlert: AMC Arbeitskreis - Dialogmarketing trotz RechtBernd Fuhlert: AMC Arbeitskreis - Dialogmarketing trotz Recht
Bernd Fuhlert: AMC Arbeitskreis - Dialogmarketing trotz Recht
Bernd Fuhlert
 
Microsoft Trusted Cloud - Security Privacy & Control, Compliance, Transparency
Microsoft Trusted Cloud - Security Privacy & Control, Compliance, TransparencyMicrosoft Trusted Cloud - Security Privacy & Control, Compliance, Transparency
Microsoft Trusted Cloud - Security Privacy & Control, Compliance, Transparency
Microsoft Österreich
 
Digital Marketing - Teil I von III
Digital Marketing - Teil I von IIIDigital Marketing - Teil I von III
Digital Marketing - Teil I von III
Michael Lanzinger
 
Rechtliche Aspekte von Homeoffice, Hybrid Work und Mitarbeiterüberwachung
Rechtliche Aspekte von Homeoffice, Hybrid Work und  MitarbeiterüberwachungRechtliche Aspekte von Homeoffice, Hybrid Work und  Mitarbeiterüberwachung
Rechtliche Aspekte von Homeoffice, Hybrid Work und Mitarbeiterüberwachung
Marcus Beckmann
 
Auftragsdatenverarbeitung in der Praxis - Hinweise zur Vertragsgestaltung
Auftragsdatenverarbeitung in der Praxis - Hinweise zur VertragsgestaltungAuftragsdatenverarbeitung in der Praxis - Hinweise zur Vertragsgestaltung
Auftragsdatenverarbeitung in der Praxis - Hinweise zur Vertragsgestaltung
Sascha Kremer
 
Impressum & Datenschutzerklärung
Impressum &  DatenschutzerklärungImpressum &  Datenschutzerklärung
Impressum & Datenschutzerklärung
Michael Rohrlich
 

Ähnlich wie SecTXL '11 | Hamburg - Dr. Marc Störing: "Datenschutz in der Cloud - So geht's richtig!" (20)

Datenschutz in der Cloud
Datenschutz in der CloudDatenschutz in der Cloud
Datenschutz in der Cloud
 
Cloud Computing
Cloud Computing Cloud Computing
Cloud Computing
 
Von der Horst: Vom Datenschutz und der Datensicherheit zur „Datenschutzkultur“
Von der Horst: Vom Datenschutz und der Datensicherheit zur „Datenschutzkultur“Von der Horst: Vom Datenschutz und der Datensicherheit zur „Datenschutzkultur“
Von der Horst: Vom Datenschutz und der Datensicherheit zur „Datenschutzkultur“
 
Digital Marketing - Akademischer Handelsmanager 2017
Digital Marketing - Akademischer Handelsmanager 2017Digital Marketing - Akademischer Handelsmanager 2017
Digital Marketing - Akademischer Handelsmanager 2017
 
Sichere Datenübermittlung ins Ausland
Sichere Datenübermittlung ins AuslandSichere Datenübermittlung ins Ausland
Sichere Datenübermittlung ins Ausland
 
Datenschutz 2013 bernd_fuhlert
Datenschutz 2013 bernd_fuhlertDatenschutz 2013 bernd_fuhlert
Datenschutz 2013 bernd_fuhlert
 
1612011[1]
1612011[1]1612011[1]
1612011[1]
 
Minenfeld Archivierung - Ansätze. Rechtsfragen. Verantwortlichkeiten.
Minenfeld Archivierung - Ansätze. Rechtsfragen. Verantwortlichkeiten.Minenfeld Archivierung - Ansätze. Rechtsfragen. Verantwortlichkeiten.
Minenfeld Archivierung - Ansätze. Rechtsfragen. Verantwortlichkeiten.
 
Verträge für die Cloud - Rechtliche Besonderheiten und praktische Relevanz
Verträge für die Cloud - Rechtliche Besonderheiten und praktische RelevanzVerträge für die Cloud - Rechtliche Besonderheiten und praktische Relevanz
Verträge für die Cloud - Rechtliche Besonderheiten und praktische Relevanz
 
Dokumentationspflichten im Datenschutzrecht
Dokumentationspflichten im DatenschutzrechtDokumentationspflichten im Datenschutzrecht
Dokumentationspflichten im Datenschutzrecht
 
Datenschutz-Vortrag im Axis Linz
Datenschutz-Vortrag im Axis LinzDatenschutz-Vortrag im Axis Linz
Datenschutz-Vortrag im Axis Linz
 
Online-Befragungen: ADV-Vertrag für mehr Sicherheit
Online-Befragungen: ADV-Vertrag für mehr SicherheitOnline-Befragungen: ADV-Vertrag für mehr Sicherheit
Online-Befragungen: ADV-Vertrag für mehr Sicherheit
 
Bernd Fuhlert: Vortrag an der FOM Hochschule - Dezember 2011
Bernd Fuhlert: Vortrag an der FOM Hochschule - Dezember 2011Bernd Fuhlert: Vortrag an der FOM Hochschule - Dezember 2011
Bernd Fuhlert: Vortrag an der FOM Hochschule - Dezember 2011
 
Datenschutz, datensicherheit und urheberrecht
Datenschutz, datensicherheit und urheberrechtDatenschutz, datensicherheit und urheberrecht
Datenschutz, datensicherheit und urheberrecht
 
Bernd Fuhlert: AMC Arbeitskreis - Dialogmarketing trotz Recht
Bernd Fuhlert: AMC Arbeitskreis - Dialogmarketing trotz RechtBernd Fuhlert: AMC Arbeitskreis - Dialogmarketing trotz Recht
Bernd Fuhlert: AMC Arbeitskreis - Dialogmarketing trotz Recht
 
Microsoft Trusted Cloud - Security Privacy & Control, Compliance, Transparency
Microsoft Trusted Cloud - Security Privacy & Control, Compliance, TransparencyMicrosoft Trusted Cloud - Security Privacy & Control, Compliance, Transparency
Microsoft Trusted Cloud - Security Privacy & Control, Compliance, Transparency
 
Digital Marketing - Teil I von III
Digital Marketing - Teil I von IIIDigital Marketing - Teil I von III
Digital Marketing - Teil I von III
 
Rechtliche Aspekte von Homeoffice, Hybrid Work und Mitarbeiterüberwachung
Rechtliche Aspekte von Homeoffice, Hybrid Work und  MitarbeiterüberwachungRechtliche Aspekte von Homeoffice, Hybrid Work und  Mitarbeiterüberwachung
Rechtliche Aspekte von Homeoffice, Hybrid Work und Mitarbeiterüberwachung
 
Auftragsdatenverarbeitung in der Praxis - Hinweise zur Vertragsgestaltung
Auftragsdatenverarbeitung in der Praxis - Hinweise zur VertragsgestaltungAuftragsdatenverarbeitung in der Praxis - Hinweise zur Vertragsgestaltung
Auftragsdatenverarbeitung in der Praxis - Hinweise zur Vertragsgestaltung
 
Impressum & Datenschutzerklärung
Impressum &  DatenschutzerklärungImpressum &  Datenschutzerklärung
Impressum & Datenschutzerklärung
 

Mehr von Symposia 360°

SecTXL '11 | Frankfurt - Dr. Dietmar Wiedemann: "IT-Governance matters. - Dre...
SecTXL '11 | Frankfurt - Dr. Dietmar Wiedemann: "IT-Governance matters. - Dre...SecTXL '11 | Frankfurt - Dr. Dietmar Wiedemann: "IT-Governance matters. - Dre...
SecTXL '11 | Frankfurt - Dr. Dietmar Wiedemann: "IT-Governance matters. - Dre...Symposia 360°
 
SecTXL '11 | Frankfurt - Ulf Feger: "Der Weg zur Cloud Security – ein Transfo...
SecTXL '11 | Frankfurt - Ulf Feger: "Der Weg zur Cloud Security – ein Transfo...SecTXL '11 | Frankfurt - Ulf Feger: "Der Weg zur Cloud Security – ein Transfo...
SecTXL '11 | Frankfurt - Ulf Feger: "Der Weg zur Cloud Security – ein Transfo...Symposia 360°
 
SecTXL '11 | Frankfurt - Chris Boos: "Standardisierung funktioniert nicht Akt...
SecTXL '11 | Frankfurt - Chris Boos: "Standardisierung funktioniert nicht Akt...SecTXL '11 | Frankfurt - Chris Boos: "Standardisierung funktioniert nicht Akt...
SecTXL '11 | Frankfurt - Chris Boos: "Standardisierung funktioniert nicht Akt...Symposia 360°
 
SecTXL '11 | Frankfurt - Andreas Weiss: "Cloud Computing und SaaS - Sicher!"
SecTXL '11 | Frankfurt - Andreas Weiss: "Cloud Computing und SaaS - Sicher!"SecTXL '11 | Frankfurt - Andreas Weiss: "Cloud Computing und SaaS - Sicher!"
SecTXL '11 | Frankfurt - Andreas Weiss: "Cloud Computing und SaaS - Sicher!"Symposia 360°
 
SecTXL '11 | Hamburg - Ulf Feger: "Der Weg zur Cloud Security - ein Transform...
SecTXL '11 | Hamburg - Ulf Feger: "Der Weg zur Cloud Security - ein Transform...SecTXL '11 | Hamburg - Ulf Feger: "Der Weg zur Cloud Security - ein Transform...
SecTXL '11 | Hamburg - Ulf Feger: "Der Weg zur Cloud Security - ein Transform...Symposia 360°
 
SecTXL '11 | Hamburg - Dr. Markus Wulf: "Vertragliche Fallstricke beim Cloud ...
SecTXL '11 | Hamburg - Dr. Markus Wulf: "Vertragliche Fallstricke beim Cloud ...SecTXL '11 | Hamburg - Dr. Markus Wulf: "Vertragliche Fallstricke beim Cloud ...
SecTXL '11 | Hamburg - Dr. Markus Wulf: "Vertragliche Fallstricke beim Cloud ...Symposia 360°
 
SecTXL '11 | Hamburg - Sven Thomsen: "Datenschutz beim Cloud-Computing - Heiß...
SecTXL '11 | Hamburg - Sven Thomsen: "Datenschutz beim Cloud-Computing - Heiß...SecTXL '11 | Hamburg - Sven Thomsen: "Datenschutz beim Cloud-Computing - Heiß...
SecTXL '11 | Hamburg - Sven Thomsen: "Datenschutz beim Cloud-Computing - Heiß...Symposia 360°
 
SecTXL '11 | Hamburg - Florian von-Kurnatowski: "Das ENX-Netzwerk der Automob...
SecTXL '11 | Hamburg - Florian von-Kurnatowski: "Das ENX-Netzwerk der Automob...SecTXL '11 | Hamburg - Florian von-Kurnatowski: "Das ENX-Netzwerk der Automob...
SecTXL '11 | Hamburg - Florian von-Kurnatowski: "Das ENX-Netzwerk der Automob...Symposia 360°
 
SecTXL '11 | Hamburg - Dr. Dietmar Wiedemann: "IT-Governance - die Wolke fest...
SecTXL '11 | Hamburg - Dr. Dietmar Wiedemann: "IT-Governance - die Wolke fest...SecTXL '11 | Hamburg - Dr. Dietmar Wiedemann: "IT-Governance - die Wolke fest...
SecTXL '11 | Hamburg - Dr. Dietmar Wiedemann: "IT-Governance - die Wolke fest...Symposia 360°
 
SecTXL '11 | Hamburg - Christian Els: "Bewertung von Risikoszenarien am Beisp...
SecTXL '11 | Hamburg - Christian Els: "Bewertung von Risikoszenarien am Beisp...SecTXL '11 | Hamburg - Christian Els: "Bewertung von Risikoszenarien am Beisp...
SecTXL '11 | Hamburg - Christian Els: "Bewertung von Risikoszenarien am Beisp...Symposia 360°
 
SecTXL '11 | Hamburg - Andreas Weiss: "Cloud Computing ist die Zukunft- aber ...
SecTXL '11 | Hamburg - Andreas Weiss: "Cloud Computing ist die Zukunft- aber ...SecTXL '11 | Hamburg - Andreas Weiss: "Cloud Computing ist die Zukunft- aber ...
SecTXL '11 | Hamburg - Andreas Weiss: "Cloud Computing ist die Zukunft- aber ...Symposia 360°
 

Mehr von Symposia 360° (11)

SecTXL '11 | Frankfurt - Dr. Dietmar Wiedemann: "IT-Governance matters. - Dre...
SecTXL '11 | Frankfurt - Dr. Dietmar Wiedemann: "IT-Governance matters. - Dre...SecTXL '11 | Frankfurt - Dr. Dietmar Wiedemann: "IT-Governance matters. - Dre...
SecTXL '11 | Frankfurt - Dr. Dietmar Wiedemann: "IT-Governance matters. - Dre...
 
SecTXL '11 | Frankfurt - Ulf Feger: "Der Weg zur Cloud Security – ein Transfo...
SecTXL '11 | Frankfurt - Ulf Feger: "Der Weg zur Cloud Security – ein Transfo...SecTXL '11 | Frankfurt - Ulf Feger: "Der Weg zur Cloud Security – ein Transfo...
SecTXL '11 | Frankfurt - Ulf Feger: "Der Weg zur Cloud Security – ein Transfo...
 
SecTXL '11 | Frankfurt - Chris Boos: "Standardisierung funktioniert nicht Akt...
SecTXL '11 | Frankfurt - Chris Boos: "Standardisierung funktioniert nicht Akt...SecTXL '11 | Frankfurt - Chris Boos: "Standardisierung funktioniert nicht Akt...
SecTXL '11 | Frankfurt - Chris Boos: "Standardisierung funktioniert nicht Akt...
 
SecTXL '11 | Frankfurt - Andreas Weiss: "Cloud Computing und SaaS - Sicher!"
SecTXL '11 | Frankfurt - Andreas Weiss: "Cloud Computing und SaaS - Sicher!"SecTXL '11 | Frankfurt - Andreas Weiss: "Cloud Computing und SaaS - Sicher!"
SecTXL '11 | Frankfurt - Andreas Weiss: "Cloud Computing und SaaS - Sicher!"
 
SecTXL '11 | Hamburg - Ulf Feger: "Der Weg zur Cloud Security - ein Transform...
SecTXL '11 | Hamburg - Ulf Feger: "Der Weg zur Cloud Security - ein Transform...SecTXL '11 | Hamburg - Ulf Feger: "Der Weg zur Cloud Security - ein Transform...
SecTXL '11 | Hamburg - Ulf Feger: "Der Weg zur Cloud Security - ein Transform...
 
SecTXL '11 | Hamburg - Dr. Markus Wulf: "Vertragliche Fallstricke beim Cloud ...
SecTXL '11 | Hamburg - Dr. Markus Wulf: "Vertragliche Fallstricke beim Cloud ...SecTXL '11 | Hamburg - Dr. Markus Wulf: "Vertragliche Fallstricke beim Cloud ...
SecTXL '11 | Hamburg - Dr. Markus Wulf: "Vertragliche Fallstricke beim Cloud ...
 
SecTXL '11 | Hamburg - Sven Thomsen: "Datenschutz beim Cloud-Computing - Heiß...
SecTXL '11 | Hamburg - Sven Thomsen: "Datenschutz beim Cloud-Computing - Heiß...SecTXL '11 | Hamburg - Sven Thomsen: "Datenschutz beim Cloud-Computing - Heiß...
SecTXL '11 | Hamburg - Sven Thomsen: "Datenschutz beim Cloud-Computing - Heiß...
 
SecTXL '11 | Hamburg - Florian von-Kurnatowski: "Das ENX-Netzwerk der Automob...
SecTXL '11 | Hamburg - Florian von-Kurnatowski: "Das ENX-Netzwerk der Automob...SecTXL '11 | Hamburg - Florian von-Kurnatowski: "Das ENX-Netzwerk der Automob...
SecTXL '11 | Hamburg - Florian von-Kurnatowski: "Das ENX-Netzwerk der Automob...
 
SecTXL '11 | Hamburg - Dr. Dietmar Wiedemann: "IT-Governance - die Wolke fest...
SecTXL '11 | Hamburg - Dr. Dietmar Wiedemann: "IT-Governance - die Wolke fest...SecTXL '11 | Hamburg - Dr. Dietmar Wiedemann: "IT-Governance - die Wolke fest...
SecTXL '11 | Hamburg - Dr. Dietmar Wiedemann: "IT-Governance - die Wolke fest...
 
SecTXL '11 | Hamburg - Christian Els: "Bewertung von Risikoszenarien am Beisp...
SecTXL '11 | Hamburg - Christian Els: "Bewertung von Risikoszenarien am Beisp...SecTXL '11 | Hamburg - Christian Els: "Bewertung von Risikoszenarien am Beisp...
SecTXL '11 | Hamburg - Christian Els: "Bewertung von Risikoszenarien am Beisp...
 
SecTXL '11 | Hamburg - Andreas Weiss: "Cloud Computing ist die Zukunft- aber ...
SecTXL '11 | Hamburg - Andreas Weiss: "Cloud Computing ist die Zukunft- aber ...SecTXL '11 | Hamburg - Andreas Weiss: "Cloud Computing ist die Zukunft- aber ...
SecTXL '11 | Hamburg - Andreas Weiss: "Cloud Computing ist die Zukunft- aber ...
 

SecTXL '11 | Hamburg - Dr. Marc Störing: "Datenschutz in der Cloud - So geht's richtig!"

  • 1. Datenschutz in der Cloud So geht's richtig! Dr. Marc Störing SecTXL'11, Hamburg 11. August 2011
  • 3. osborneclarke.de Übermittlung an Dritte Funktionsübertragung Datensubjekt Erhebung Anbieter Übermitt- lung Verarbei- Datenverarbeiter tung
  • 4. osborneclarke.de Übermittlung an Dritte Rechtfertigung? • Einwilligung des Kunden • Gesetzliche Rechtfertigung – zur Vertragserfüllung – Interessenabwägung – Listenprivileg … – … liegen häufig nicht vor oder sind unzweckmäßig
  • 5. osborneclarke.de Datenschutz Auftragsdatenverarbeitung und § 9 BDSG § 3 Abs. 8 S. 3 BDSG "Dritte sind nicht … Stellen, die … personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen"
  • 6. osborneclarke.de Übermittlung an Dritte Auftragsdatenverarbeitung Auftragsdatenverarbeitung Funktionsübertragung Weisungsgebundenheit des Weisungsfreiheit des Dienstleisters Auftragnehmers Eigenverantwortlichkeit des Fehlende Entscheidungsbe- Dienstleisters fugnis des Auftragnehmers Handeln des Dienstleisters im Auftragnehmer tritt (gegenüber dem eigenen Namen gegenüber dem Betroffenen) nicht in eigenem Betroffenen Namen auf
  • 7. osborneclarke.de Übermittlung an Dritte Auftragsdatenverarbeitung Datensubjekt Erhebung Anbieter Auftrags- datenver- arbeitung Auftragnehmer Verarbei- tung
  • 9. osborneclarke.de Internationaler Aspekt Beschränkung auf EU/EWR § 3 Abs. 8 S. 3 BDSG "Dritte sind nicht … Stellen, die …" • im Inland, • in der EU oder • im EWR (EU zusammen mit Island, Liechtenstein, Norwegen) "personenbezogene Daten im Auftrag erheben, verarbeiten oder nutzen"
  • 10. osborneclarke.de Kontrollpflichten Auftragsdatenverarbeitung und § 9 BDSG § 9 S. 1 BDSG "Stellen, die .. im Auftrag personenbezogene Daten erheben, verarbeiten oder nutzen, haben … insbesondere die in der Anlage … genannten Anforderungen zu gewährleisten" § 11 Abs. 2 BDSG "Der Auftraggeber hat sich … regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen"
  • 11. osborneclarke.de Kontrollpflichten Technische und organisatorische Maßnahmen Aus der Anlage zu § 9 S.1 BDSG • "Zutrittskontrolle" • "Zugangskontrolle" • "Zugriffskontrolle" • "Weitergabekontrolle" • "Eingabekontrolle" • "Auftragskontrolle" • "Verfügbarkeitskontrolle" • Gebot der Trennung nach Zweck
  • 12. osborneclarke.de Die rechtlichen Herausforderungen Fazit für das Cloud Computing • Faktische Beschränkung auf Anbieter aus EU, EWR • Zumindest im Falle des Public Cloud Computings Kontrollpflichten kaum wahrzunehmen • In der (Virtual) Private Cloud jedoch lösbar (solange der Anbieter wirklich nur Datenverarbeiter bleibt)
  • 13. So geht's richtig – technische Lösung
  • 14. osborneclarke.de Technische Lösung Sicherheit im klassischen RZ Klassisches RZ • Die WAN-Verbindung ist verschlüsselt • Im RZ liegen die Daten im Klartext – Das RZ ist auditierbar geschützt
  • 15. osborneclarke.de Technische Lösung Sicherheit in der Cloud Could Computing • Keine physischen Barrieren – Sicherheit durch Verschlüsselung
  • 16. osborneclarke.de Technische Lösung Resultat der Verschlüsselung Dank Verschlüsselung erfolgt eine technisch beschlagnahmesichere Speicherung der Daten • Niemand ist technisch in der Lage, die Vertraulichkeit global aufzuheben • Einziger Sicherheitsanker: Das Geheimnis des Teilnehmers
  • 17. osborneclarke.de Technische Lösung Bedeutung der Verschlüsselung • Anonymisierte Daten sind für den die Daten erhaltenden Anbieter keine personenbezogenen Daten i. S. v. § 3 Abs. 1 BDSG, Vorschriften des BDSG sind nicht anwendbar. • Einzelheiten zwar umstritten, Konzept trägt aber in der Praxis • Verschlüsselung erleichtert in jedem Fall die Interessensabwägung nach § 28 BDSG und vor allem die Auftragsdatenverarbeitung (Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle)!
  • 18. So geht's richtig – rechtliche Lösungen
  • 19. osborneclarke.de Erforderlichkeit der ADV vermeiden Fehlende Personenbeziehbarkeit Cloud Computing ist ohne Auftragsdatenverarbeitung verwendbar bei Daten ohne Personenbezug und ohne Personenbeziehbarkeit Prüfen Sie dennoch, welche Daten Sie wie in die Cloud geben. Auch nicht dem Bundesdatenschutzgesetz unterfallene Daten können etwa als Geschäftsgeheimnis kritisch sein Verschlüsselung trägt als Lösung für beide Aspekte
  • 20. osborneclarke.de Erforderlichkeit der ADV vermeiden EU-Standardvertragsklauseln als Alternative EU-Standardvertragsklauseln • Übermittlung an Dritten liegt vor • Lücken mit Wertungen von § 11 BDSG ausfüllen • Rechtfertigung der Übermittlung nach § 28 Abs. 1 S. 1 Nr. 2 BDSG • § 28 Abs. 6 BDSG als Grenze – Nicht in die Cloud dürfen Angaben über die rassische und ethnische Herkunft, politische Meinungen, religiöse oder philosophische Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheit oder Sexualleben (§ 3 Abs. 9 BDSG)
  • 21. osborneclarke.de Erforderlichkeit der ADV vermeiden Vermeintliche Alternativen In der Praxis teilweise als Erlaubnistatbestand missverstanden • Übermittlung an sichere Drittstaaten; oder • Safe-Harbor Diese Mechanismen erfüllen lediglich die zusätzlichen Anforderungen nach § 4b BDSG, rechtfertigen aber nicht die eigentliche Übermittlung
  • 22. osborneclarke.de So geht's richtig Territoriale Beschränkung Anbieter in EU/EWR auswählen • Entscheidend ist der Serverstandort • Komplexe Kettenvertragsverhältnisse mit Anbietern aus verschiedenen Ländern sind möglich
  • 23. osborneclarke.de So geht's richtig Best Practices • Suchen Sie den Anbieter sorgfältig aus • Verschlüsseln Sie Daten nach Möglichkeit • Sorgen Sie für eine Auditierbarkeit – idealerweise der Daten, sonst der Technologien und Prozesse • Achten Sie auf Transparenz! Können Sie die Aussagen der Anbieter prüfen?
  • 24. osborneclarke.de Ansprechpartner Dr. Marc Störing Rechtsanwalt T +49 (0) 221 5108 4206 F +49 (0) 221 5108 4267 marc.stoering@osborneclarke.de