CLOUDAct – so heißt die neueste Herausforderung für Datenschützer. Wer in einer globalisierten Welt in Sachen Datenschutz auf dem neuesten Stand bleiben will, der hat es schwer. Ständig ändern sich die Rahmenbedingungen. Am 23.03.2018 wurde in den USA zuletzt nach recht kurzer Beratung im US-Kongress der sog. ‚CLOUDAct‘ verabschiedet und unmittelbar danach vom US-Präsidenten in Kraft gesetzt. Mit diesem Gesetz sind Regeln geschaffen worden, die die Kooperation zwischen US-Strafverfolgungsbehörden und ausländischen (Regierungs-)Partnern regeln und u.a. den Zugriff auf persönliche Daten ermöglichen die sich auf Servern auch außerhalb der USA befinden. In erster Linie gilt dieses Gesetz aber in den USA ansässigen Interprovidern. Sie sollen nun bei Verdacht auf schwere Straftaten Daten von Verdächtigen herausgeben. Dabei ist es gleich, wo auf der Welt diese Daten physisch gespeichert sind. Im CLOUDAct heißt es dazu:

“… unabhängig davon, ob sich die Kommunikation, Aufzeichnung oder andere Informationen innerhalb oder außerhalb der Vereinigten Staaten befinden.”

CLOUDAct ausführlich betrachtet

“US-Behörden dürfen nun ausdrücklich weitgehend unbeschränkt von ausländischem Recht auf ausschließlich im Ausland gespeicherte Daten US-fremder Personen und Unternehmen zugreifen, jedenfalls wenn US-Unternehmen diese kontrollieren. Nur wenn andere Länder ein Privatsphäre- und Datenaustausch-Abkommen mit den USA unterzeichnen, gibt es für ihre Bürger und Unternehmen kodifizierte Zugriffsbeschränkungen und Kontrollmöglichkeiten in den USA.”

Zentraler Punkt: Dieses Gesetz ist in den USA bereits in Kraft. Mit ausländischen Regierungen – in Europa bspw. auch der EU-Kommission – können bilaterale Abkommen geschlossen werden, um der Durchsetzung des CLOUDAct auch außerhalb der Landesgrenzen rechtssichere Gültigkeit zu verschaffen. Dann können bspw. auch ausländische Cloud-Provider direkt um Datenauskunft angegangen werden. Beteiligte bei der Nutzung des CLOUDAct wie auch bei Schaffung dieser bilateralen Abkommen sind einerseits Behörden und Regierungen der USA und anderer Staaten – alles Angehörige der Exekutive. Bürger und andere Beteiligte bleiben weitgehend außen vor. Ohne Abkommen besteht kein Rechtsschutz für Nicht-US-Bürger.

Zusammenspiel mit der EU-DSGVO ungeklärt

“… um sicherzustellen, dass das durch diese Verordnung gewährleistete Schutzniveau für natürliche Personen nicht untergraben wird” (Art. 44 Satz 2 DSGVO)”

Schutzniveau – so lautet das Stichwort aus der DSGVO. Diese am 25.05.2018 endgültig in Kraft tretende Datenschutznovelle soll EU-Bürgern eigentlich besseren Datenschutz über die Grenzen des Heimatlandes hinweg garantieren. Der CLOUDAct läuft den Bestrebungen der DSGVO klar zuwider. Es müsste also schleunigst ein Abkommen her, dessen Regelungskraft deutlich über den existierenden ‘Privacy Shield’ hinausgehen.

Aushöhlung der Judikative

Der CLOUDAct schafft Stratfverfolgungsbehörden in den USA weitreichende Rechte zum Eingriff in die Datensouveränität nicht nur der Bürger der USA. Es kommt noch besser: Eine richterliche Anordnung auf Datenauskunft wäre nicht mehr erforderlich; es muss nur um Verfolgung ‚schwerer‘ Straftaten gehen. Nach Abschluss passender bilateraler Abkommen wären demzufolge auch Unternehmen außerhalb der USA zur Herausgabe von Daten verpflichtet. Unabhängig davon bleibt UNGEKLÄRT, was mit Daten geschieht, die auf Servern US-amerikanischer Dienstleister außerhalb der USA lagern. Skeptisch machen sollte letztlich, dass die USA nicht zentral mit der EU-Kommission als Repräsentanz der Mitgliedsstaaten bspw. sondern mit einzelnen europäischen (Mitglieds-)Staaten Abkommen festklopfen wollen. Da diese Abkommen auch den Exekutiven der nicht-amerikanischen Vertragspartner zu Gute kämen, ist je nach Land mit wenig Widerstand pro Datenschutz zu rechnen.

Einmal mehr gilt: Persönliche Daten sind im eigenen, deutschen Rechtskreis immer noch am besten aufgehoben – zum Beispiel bei ProfitBricks.

Rechtmäßigkeit, Auftragsverarbeitung nach Treu und Glauben, Transparenz
Art. 5/1a DSGVO

Die Verarbeitung personenbezogener Daten in der Cloud ist nach der DSGVO nur dann gestattet, wenn die Betroffenen der Verarbeitung zugestimmt haben oder eine andere Rechtsgrundlage existiert. Die Verarbeitung der Daten muss auf eine für den Betroffenen nachvollziehbare Weise stattfinden. Cloud-Anbieter müssen (als Dienstleister für Auftragsverarbeitung) Transparenz bei der Datenverarbeitung nachweisen. Die Grenzen sind hier sehr eng gezogen.

Vertraulichkeit, Integrität und Verfügbarkeit Art. 5/1f & 32  DSGVO

Daten sind auf eine Weise zu verarbeiten, die eine angemessene Sicherheit der Daten garantiert; das schließt den Schutz vor unrechtmäßiger Verarbeitung, Verlust oder Beschädigung ein. Stichworte wie Back-up und Disaster Recovery sind hier zu nennen.

Sicherheit und Stand der Technik Art. 32 DSGVO

Bei der Verarbeitung muss ein ausreichendes Sicherheitsniveau gewährleistet sein. Der Gesetzgeber verlangt Absicherung auf dem sog. Stand der Technik mit fortlaufender Verbesserung der Sicherungsprozeduren.

Privacy by Design und Privacy by Default Art. 25 DSGVO

Datenschutz muss bereits durch Privacy by Design und datenschutzfreundliche Voreinstellungen, Privacy by Default, gewährleistet sein.

Rechenschaftspflicht Art. 5/2, 28, 30 & 35 DSGVO

Grundsätzlich ist schon das Cloud nutzende Unternehmen für die Einhaltung aller genannten Anforderungen verantwortlich und muss diese bereits vorab nachweisen können. Es hat die Verarbeitung in der Cloud in das Verzeichnis der Verarbeitungstätigkeiten aufnehmen.

Auftragsverarbeitung Art. 28 DSGVO

Beim Cloud-Computing  erteilt der Nutzer dem Provider den Auftrag, personenbezogene Daten zu verarbeiten. Damit der Cloud-Nutzer seiner Verantwortung den Betroffenen gegenüber gerecht werden kann, schließt er mit dem Cloud Provider eine Vereinbarung zur Auftragsverarbeitung. Der Provider erklärt, die Anforderungen vollumfänglich zu erfüllen. Teil einer solchen Vereinbarung muss sein, dass der Cloud-Anbieter alle erforderlichen Informationen zum Nachweis der Einhaltung der Anforderungen vorhält.

Weitere wertvolle Erkenntnisse darüber, wie weit Ihr Unternehmen bereits voran geschritten ist, wenn es heißt, die DSGVO umzusetzen, gibt der kostenfreie DSGVO Readiness Check von ProfitBricks und Crisp Research.

DSGVO Check: Datenschutzmanagement

Datenschutzmanagement wird mit Einführung der DSGVO immer wichtiger. Am 25. Mai 2018 ist es soweit! Dann wird die EU-Datenschutz-Grundverordnung (EU-DSGVO) 2016/679 unmittelbar geltendes Recht in allen Mitgliedstaaten der Europäischen Union. Die Datenschutznovelle gehört unbestritten zu den großen IT-Herausforderungen für 2018. Keine Panik, mit dem DSGVO Check von ProfitBricks und Crisp gelingt es Ihnen, in kurzer Zeit eine erste Einschätzung zu erhalten, wie gut Ihr Unternehmen bereits auf die Einführung der neuen Datenschutzbestimmungen vorbereitet ist.
Die umfangreichen Vorschriften bereiten Unternehmen erstmal Anfangsschwierigkeiten. Wo fängt man am besten mit der Umsetzung an? Welche Prozesse muss man im Unternehmen in Gang setzen? Und wie sieht ein DSGVO-konformes Datenschutzmanagement aus?

DSGVO-konformes Datenschutzmanagement

In Deutschland wird die Verordnung durch eine neue Fassung des Bundesdatenschutzgesetzes ergänzt, das jedoch nur Umsetzungscharakter hat und Einzelfragen regelt, z.B. zu den Themen Videoüberwachung, Gesundheitsdaten oder betrieblicher Datenschutzbeauftragter. Diese Änderung des Datenschutzrechtes hat damit unmittelbare Auswirkung auf jedes Unternehmen in Deutschland, denn alle Geschäftsprozesse müssen neu bewertet und alle datenschutzrelevanten Dokumente überarbeitet werden. Verstöße können mit schmerzhaften Geldbußen in Millionenhöhe belegt werden. Somit ist es an der Zeit, sich umfassend mit der DSGVO zu beschäftigen.

DSGVO Check:Welche Prozesse und Dokumente müssen Unternehmen überprüfen?

Viele Unternehmen haben bereits Datenschutzvorschriften. Diese gilt es an die DSGVO anzupassen und die eigenen Prozesse sauber zu dokumentieren, darunter:

• Dokumentation der Datenverarbeitungsprozesse im Unternehmen
• Risk und Privacy Impact Assessment
• Datenschutz- und Einwilligungserklärungen
• Anpassung der Betriebsvereinbarungen
• Prozesse zur Umsetzung von Widersprüchen
• Vereinbarungen zur Auftragsverarbeitung (Haftungsregelung, Dokumentation)

Welche Abteilungen sollten über Änderungen informiert werden?

Neben dem betrieblichen Datenschutzbeauftragten sollten auch andere Stellen in Ihrem Unternehmen über die Änderungen in der DSGVO informiert werden:

• Geschäftsleitung
• Recht und Compliance
• IT-Security
• Finanzen
• Forschung und Entwicklung
• Personalabteilung und Betriebsrat

Machen Sie jetzt den DSGVO Readiness Check:
Der IaaS-Anbieter ProfitBricks und Crisp helfen Ihnen mit dem DSGVO Readiness Check. Mithilfe dieses Evaluierungstools gelingt es Ihnen, in kurzer Zeit eine erste Einschätzung zu erhalten, wie gut Ihr Unternehmen bereits auf die Einführung der neuen Datenschutzbestimmungen vorbereitet ist.
Jetzt kostenfreien Check starten