CLOUD Technology & Services Conference 2017 Die EU-DSGVO - Chancen & Herausforderungen für Cloud Provider und Anwender

Anbieter zum Thema

Vogel IT-Akademie

Heidelberg iT Management GmbH & Co. KG

Impossible Cloud GmbH

XOPERO SOFTWARE S.A.

Die Europäische Datenschutzgrundverordnung (EU-DSGVO) gehört unbestritten zu den großen IT-Herausforderungen für 2018. Ein Grund mehr, das Thema auch auf der „CLOUD Technology & Services Conference 2017“ der Vogel IT-Akademie mit auf die Agenda zu nehmen.

Vor welchen Herausforderungen Unternehmen und Cloud-Provider vor dem Hintergrund der anstehenden Europäischen Datenschutzgrundverordnung (EU-DSGVO) stehen, damit beschäftigt sich Rechtsanwalt Wilfried Reiners in seiner Keynote auf der „CLOUD Technology & Services Conference 2017“, die am 12.9.2017 in Frankfurt am Main beginnt.

Im Vorfeld der Veranstaltung haben wir den Rechtsexperten zum Thema befragt:

Datenschutz spielt beim Thema Cloud Computing schon seit jeher eine große Rolle. Wie können Cloud-Anbieter vor dem Hintergrund der neuen europäischen Datenschutzgrundverordnung (DS-GVO) bei Ihren Kunden besonders punkten?

Wilfried Reiners / Janina Thieme: Das noch geltende deutsche wie das neue europäische Datenschutzrecht findet auf Cloud Computing dann Anwendung, wenn es sich bei den in der Cloud verarbeiteten und gespeicherten Daten um sogenannte „personenbezogene Daten“ handelt. Liegt eine cloudbasierte Verarbeitung von personenbezogenen Daten vor, kann diese datenschutzkonform und somit unbedenklich erfolgen, wenn die notwendigen Rechtsgrundlagen vorliegen und ein angemessenes Datenschutzniveau gewährleistet wird. Die Cloud-Anbieter agieren gegenüber Ihren Kunden in der Regel als sogenannte Auftragsdatenverarbeiter. In dieser Rolle können und müssen die Cloud Anbieter gegenüber ihren Kunden punkten, indem sie ihre Prozesse und Sicherheitsstandards sowie ihr Vertrags- und Dokumentationsmanagement so frühzeitig wie möglich auf die neuen Anforderungen der europäischen Datenschutzgrundverordnung (DS-GVO) umstellen. Kunden in Europa dürfen in Zukunft nur noch die IT-Dienstleister auswählen, die die DS-GVO erfolgreich umgesetzt haben und datenschutzkonform agieren.

Hinter diesem „must“ steckt aber für die Cloud-Anbieter ein nicht zu unterschätzender und dank der Cloud-Technologie beliebig skalierbarer neuer Business Case. Sobald der Cloud-Anbieter die eigene Umstellung erfolgreich vollzogen hat, kann er dies als klaren Wettbewerbsvorteil gegenüber der Gesamtheit seiner Kunden und in Abgrenzung zu den anderen Wettbewerbern nutzen. Darüber hinaus müssen selbstverständlich auch die Kunden den neuen Datenschutz umsetzen und stehen dabei vor großen Herausforderungen, die sie in der Regel nicht alleine bewältigen können. Cloud-Anbieter sollten diese gaps analysieren und die neuen Geschäftsfelder produkt- wie beratungsseitig für sich erschließen.

Worauf ist bei der Prüfung und Erstellung datenschutzrechtlicher Verträge zu achten? Müssen für die DS-GVO neue Verträge erstellt werden, oder reicht es i.d. Regel aus, bestehende Verträge auf Konformität hinsichtlich der DS-GVO n zu überprüfen und ggf. zu erweitern?

Reiners / Thieme: Im Gegensatz zur europäischen Datenschutzrichtlinie 95/46/EG, die von den EU-Mitgliedsstaaten in nationales Recht umgesetzt werden musste, wird die europäische Datenschutzgrundverordnung ohne Umsetzungsakt in allen EU-Mitgliedsstaaten ab dem 25. Mai 2018 unmittelbar gelten. Den nationalen Gesetzgebern steht zwar der Weg offen über sogenannte Öffnungs- bzw. Konkretisierungsklauseln zu einzelnen Themen nationale Spezifizierungsvorschriften zu erlassen. Im Wesentlichen wird aber eine Ablösung der alten nationalen Vorschriften durch die neue europäische Verordnung stattfinden. Auch wenn die DS-GVO und das noch geltende deutsche Datenschutzrecht große Parallelen, wie z.B. bei dem sachlichen Anwendungsbereich hinsichtlich der Anknüpfung an den Begriff der personenbezogenen Daten oder hinsichtlich datenschutzrechtlicher Grundsätze, wie dem Verbotsprinzip aufweisen, bedeutet die DS-GVO für die bestehenden Vertragsdokumente einen fundamentalen Anpassungsbedarf. Ob es dabei aus Sicht der Praktiker effektiver ist, neue Dokumente zu erstellen oder bestehende Vertragswerke zu überarbeiten und zu erweitern muss dabei einzelfallbezogenen beurteilt werden.

Datenschutzkonformität als Entscheidungskriterium

Worauf müssen Kunden von Cloud Service Providern hinsichtlich der DS-GVO achten? Wer prüft, und bei wem liegt letztlich die Verantwortung in Sachen Einhaltung?

Reiners / Thieme: Wie bereits dargestellt, agiert der Cloud-Anbieter in der Regel in der Rolle des Auftragsdatenverarbeiters. Der Kunde ist die sogenannte verantwortliche Stelle. In Zukunft wird es an beiden sein, zum einen die eigene Umstellung auf den neuen europäischen Datenschutz erfolgreich zu projektieren und zum anderen bei der Partnerwahl das Thema Datenschutzkonformität als Entscheidungskriterium einzustellen. Nicht nur, weil in Zukunft der Grundsatz geltend wird, dass Kunden wie Anbieter nur noch Geschäftspartner auswählen dürfen, die datenschutzkonform agieren. Die neuen Anforderungen der DS-GVO bedingen grundsätzlich eine intensivere Zusammenarbeit und einen Schulterschluss zu den Themen Vertragsgestaltung, Dokumentationen und Sicherheitsmaßnahmen. Außerdem drohen sowohl den Kunden als auch den Anbietern bei Datenschutzverstößen erhebliche Sanktionen. Auf die Frage wer die rechtskonforme Umsetzung der DS-GVO überprüfen wird, ist der Blick auf die zuständigen Datenschutzaufsichtsbehörden zu richten. Neben der behördlichen Überprüfung und dem Risiko bei Verstoß ein hohes Bußgeld zahlen zu müssen, ist in Zukunft vor allem auch Art. 82 DS-GVO im Hinblick auf das Thema Schadensersatzansprüche der Betroffenen in das eigene unternehmerische Risikomanagement einzustellen.

(ID:44815942)