Die datenschutzrechtlichen Anforderungen Cloud Compting sind nicht einfach zu erfüllen. Prof. Borges gab einen Überblick wie schwierige Probleme gelöst werden können.

In seinem Vortrag »Cloud Computing und Datenschutz« am 10. November 2015 schilderte Prof. Borges die datenschutzrechtlichen Anforderungen an das Cloud Computing.

Besondere Probleme verbergen hinter der Erfüllung der dem Cloud-Nutzer durch § 11 Bundesdatenschutzgesetz (BDSG) auferlegten Pflichten. Da nach mittlerweise einhelliger Meinung Cloud Computing als Auftragsdatenverarbeitung zu qualifizieren ist, muss etwa der Vertrag über das Cloud Computing schriftlich geschlossen werden. Neben dieser vergleichsweise schlichten Anforderung, existieren aber noch weitaus schwieriger zu erfüllende: Als prominentestes Beispiel nannte Prof. Borges die Vor-Ort-Kontrolle des Rechenzentrums, in dem die Datenverarbeitung tatsächlich stattfindet. Nimmt man das strenge, deutsche Datenschutzrecht zur Grundlage, müsste jeder Cloud-Kunde sich das Rechenzentrum genauestens Ansehen und beispielsweise kontrollieren, dass eine zweite unabhängige Stromversorgung im Rechenzentrum installiert ist.

Eine solche intensive wie kostenspielige Kontrolle ist wirtschaftlich weder zumutbar noch sinnvoll. Deswegen warb Prof. Borges für die Idee einer Datenschutzzertifizierung nach dem BDSG. Nach dieser Idee würde die Prüfung nur ein einziges Mal vom Betreiber des Rechenzentrums oder dem Cloud-Anbieter angestoßen und durch einen sachkundigen Dritten durchgeführt. Die Kunden des Cloud-Anbieters dürften sich dann auf das Zertifikat verlassen. – Ein »Prüftourismus« könnte vermieden werden.

Darüber hinaus thematisierte Prof. Borges das aktuelle Urteil des EuGH, in dem dieser die Safe Harbor-Regelung der EU für ungültig erklärte. Demnach dürfen Daten nun nicht mehr auf eine Versicherung des Anbieters, sich an europäische Datenschutz-Grundsätze zu halten, in Länder außerhalb des Europäischen Wirtschaftsraums übermittelt werden. Auch hier stellte Prof. Borges mit Standardvertragsklauseln, Binding Corporate Rules, der Einwilligung des Betroffenen und der Genehmigung durch Aufsichtsbehörde alternativen vor, die Unternehmen etwa für einen Datentransfer in die USA nutzen können.

Hier können Sie die Folien des Vortrags herunterladen.