Worum geht's?
Cloud-Dienste wie Dropbox, iCloud, Microsoft OneDrive und Google Drive gehören für die meisten Unternehmen zum Standard-Repertoire, bringen aber auch datenschutzrechtliche Herausforderungen mit sich. Um zu gewährleisten, dass die gespeicherten Cloud-Daten sicher sind, ist es wichtig, einen DSGVO-konformen Anbieter zu wählen – ganz besonders, wenn es sich um fremde, personenbezogene Daten handelt, beispielsweise von Kunden, Mitarbeitern oder Geschäftspartnern. Wir zeigen Ihnen, worauf es ankommt.
1. Was ist Cloud-Computing?
Unter Cloud-Computing versteht man die Bereitstellung von IT-Diensten und IT-Ressourcen über das Internet, z. B. von
- Speicherplatz
- Rechenleistung
- Software
- Datenbanken
In der Regel werden in der Cloud (zu deutsch: “Wolke”) vor allem Daten gespeichert. Dazu werden große Rechenzentren mit Servern betrieben. Mittels Fernzugriff via APIs, Apps oder Webschnittstellen können die Nutzer via Fernzugriff (remote access) auf die Inhalte zugreifen – und das von überall auf der Welt aus. Vorausgesetzt, es besteht eine Internetverbindung.
Datenschutzrechtliche Aspekte von Cloud-Computing
Werden Daten in die Cloud geladen, handelt es sich aus datenschutzrechtlicher Sicht um eine Auftragsverarbeitung. Das bedeutet: Der Cloud-Anbieter verwaltet als externer Dienstleister die Daten von Ihnen als Kunden. Als Nutzer müssen Sie in diesem Fall dennoch dafür sorgen, dass der Schutz der Daten sichergestellt ist. Das erfolgt u. a. durch den Abschluss eines DSGVO-konformen Auftragsverarbeitungsvertrags und durch angemessene Datenschutzmaßnahmen wie z. B. Verschlüsselung und Zugriffsbeschränkung.
Vertragliche Aspekte von Cloud-Computing
Bei „Cloud-Verträgen“ handelt es sich nicht um Verträge, die sich einem bestimmten Vertragstypus des Bürgerlichen Gesetzbuchs (BGB) zuordnen lassen. Das heißt: Sie müssen selbst prüfen, wie das konkrete Nutzungsverhältnis ausgestaltet ist. In aller Regel wird es sich um einen gemischten Vertrag handeln, der – je nachdem, welche Leistungen erbracht werden – schwerpunktmäßig als Mietvertrag, Werkvertrag oder Dienstvertrag eingestuft wird.
WUSSTEN SIE'S?
Wird z. B. Cloud-Speicher zur Verfügung gestellt, den Sie gegen ein kostenpflichtiges Upgrade erweitern können, handelt es sich um einen Vertrag mit Mietcharakter nach §§ 535 ff. BGB. Je nachdem, wie der Nutzungsvertrag eingeordnet wird, unterscheiden sich Ihre Rechte und Pflichten als Nutzer, z. B. bei auftretenden Mängeln.
2. Die Arten des Cloud-Computings
Cloud-Anbieter stellen externen Speicherplatz im Internet zur Verfügung, um Inhalte auslagern zu können. Hierbei gibt es verschiedene Arten:
- Infrastructure-as-a-Service (IaaS, IT-Infrastruktur)
- Platform-as-a-Service (PaaS)
- Software-as-a-Service (SaaS)
Welche Services die Arten umfassen, sehen Sie in der Grafik:
3. Datenschutz und Datensicherheit in der Cloud
Speichern Sie in der Cloud fremde, personenbezogene Daten (z. B. von Kunden, Mitarbeitern oder Geschäftspartnern), müssen Sie deren Schutz gewährleisten – denn es gelten die Vorschriften der Datenschutzgrundverordnung (DSGVO). Und die schreibt für sämtliche Informationen, die Rückschlüsse auf konkrete Personen zulassen, einen besonders strengen Datenschutz vor.
Die DSGVO gilt nicht für Daten über juristische Personen (also Unternehmen wie GmbHs oder AGs) und auch nicht für anonyme Daten. Je nachdem, ob Dateien in der Cloud Personenbezug aufweisen oder nicht, sind diese also entweder von den Datenschutzbestimmungen der DSGVO erfasst oder nicht.
Cloud-Anbieter in Deutschland und der EU
Da die DSGVO nicht nur in Deutschland, sondern europaweit gilt, sind Sie als Cloud-Nutzer auf der sicheren Seite, wenn Sie sich für einen Anbieter mit Sitz und Servern in Deutschland oder der EU entscheiden – denn diese sind verpflichtet, umfassend für den Datenschutz in der Cloud zu sorgen.
Das europäische Datenschutzrecht greift, sobald die Daten einer Person mit Wohnsitz in einem EU-Land von Cloud-Anwendungen mit Niederlassung in einem EU-Land auf EU-Servern verarbeitet werden.
Cloud-Anbieter aus den USA und anderen Drittländern
Möchten Sie Ihre Daten in einer Cloud speichern, deren Anbieter keinen Sitz in der EU hat, müssen Sie diese Daten so schützen, dass es mit dem Cloud-Datenschutz vergleichbar ist, den die DSGVO vorschreibt. Für Anbieter mit Sitz in den USA wie Google oder Dropbox ist die Grundlage dafür ein Datenschutzabkommen zwischen den Vereinigten Staaten und der Europäischen Union – das Data Privacy Framework, kurz DPF.
Voraussetzung für eine Zertifizierung nach dem DPF ist eine Konformitätsbewertung des Unternehmens nach bestimmten Kriterien. Ist diese erfolgt, können Sie von einem angemessenen Schutzniveau für personenbezogene Daten ausgehen und auch einen Cloud-Anbieter mit Sitz und Serverstandorten in den USA nutzen.
Eine Auflistung von US-Unternehmen, die nach dem DPF zertifiziert sind, finden Sie im Artikel zum Thema “Data Privacy Framework”. Suchen Sie dafür einfach in unserer interaktiven Tabelle nach dem Begriff “Cloud”. Alternativ können Sie u. a. die folgenden US-Cloud-Anbieter datenschutzrechtlich sicher verwenden:
4. Wie kann ich prüfen, ob der Cloud-Anbieter DSGVO-konform ist?
Cloud-Anbieter, die ihren Serverstandort in der EU haben, müssen DSGVO-konform sein und können daher meist bedenkenlos genutzt werden. Bevor Sie sich für einen Cloud-Dienst entscheiden, sollten Sie aber den Einsatzzweck und die Daten definieren, die gespeichert werden sollen, denn auch hier gibt es Unterschiede. Ein wichtiger Punkt: Die verschiedenen Sicherheitszertifikate und Verschlüsselungen.
Cloud Computing Zertifikat
Prüfen Sie, über welche Zertifizierungen der Anbieter verfügt. Zertifikate wie das
Trusted Cloud-Zertifikat und das C5-Testat des Bundesministeriums für Sicherheit in der Informationstechnik (BSI) bescheinigen ebenso wie die ISO-Norm ISO/IEC 27001 angemessene Maßnahmen zum Datenschutz und zur Datensicherheit.
Serverstandort des Cloud-Anbieters
Auch anhand der Serverstandorte lassen sich Aussagen zur DSGVO-Konformität des Cloud-Anbieters treffen. Werden die Daten auf Servern in Deutschland oder der EU gespeichert, greifen die Vorgaben der DSGVO, die der Anbieter in jedem Fall umsetzen muss. Damit sind Sie als Nutzer in Sachen Datenschutz auf der sichersten Seite.
Serverstandorte in Nicht-EU-Drittländern sind dann unbedenklich, wenn das jeweilige Land einen Schutz der gespeicherten Daten gewährleistet, der mit dem Datenschutz vergleichbar ist, den die DSGVO fordert.
SCHON GEWUSST?
Alternativ zu Serverstandorten in der EU und bilateralen Datenschutzabkommen wie dem DPF können Sie mit dem Cloud-Anbieter sogenannte Standardvertragsklauseln abschließen. Diese Vertragsmuster der EU-Kommission sind unverändert zu übernehmen.
AV-Vertrag
Nutzen Sie die Cloud, um fremde, personenbezogene Daten darin abzulegen – beispielsweise die von Kunden –, müssen Sie mit dem Anbieter einen AV-Vertrag abschließen. Denn: Sobald Sie als Unternehmen personenbezogene Daten durch einen externen Dienstleister verarbeiten lassen (dazu gehören auch Cloud-Anbieter) und dieser Zugriff auf die Daten hat, liegt eine Auftragsverarbeitung vor.
Um den Schutz der Daten sicherzustellen, schreibt die DSGVO den Abschluss eines Auftragsverarbeitungsvertrags – kurz AV-Vertrag – vor. Diesen müssen Sie nicht selbst entwerfen, sondern er wird Ihnen in der Regel von den Anbietern zur Verfügung gestellt. Prüfen Sie den Vertrag und achten Sie darauf, dass er die erforderlichen Kontrollrechte und Löschpflichten enthält.
WICHTIG
Neben einem AV-Vertrag ist es sinnvoll, den Einsatz des Cloud-Dienstes über eine Datenschutzfolgenabschätzung (DSFA) abzusichern – besonders, wenn Sie vorhaben, sensible Daten oder große Datenmengen in der Wolke abzuspeichern.
Datenschutzerklärung
Der Cloud-Anbieter sollte weiterhin eine klare und verständliche Datenschutzerklärung haben, die offenlegt
- welche Daten verarbeitet werden,
- wie diese Daten verarbeitet werden,
- wer auf die Daten Zugriff hat,
- welche Subdienstleister eingebunden sind.
Außerdem sollte das Unternehmen Sie als Nutzer bei der Einforderung Ihrer Betroffenenrechte gemäß DSGVO unterstützen und Meldeprozesse bei Datenschutzverletzungen implementiert haben.
Technische und organisatorische Maßnahmen prüfen
Prüfen Sie, welche Maßnahmen zum Datenschutz und zur Cloud-Sicherheit der Anbieter ergriffen hat. Zu den technischen und organisatorischen Maßnahmen (TOMs) der DSGVO zählen u. a. Verschlüsselungstechnologien wie die Ende-zu-Ende-Verschlüsselung, Zugriffskontrollen, Multi-Faktor-Authentifizierungen und Protokollierung.
5. Datenverlust und Hackerangriffe: Wann haftet der Cloud-Anbieter?
Ob der Cloud-Anbieter bei einem Datenverlust oder einem Cyberangriff haftet, hängt von verschiedenen vertraglichen und rechtlichen Faktoren ab. Für eine Haftung nach dem Zivilrecht kommt es auf den zugrunde liegenden Vertrag (Hauptvertrag, AV-Vertrag) an.
Entscheidend für einen zivilrechtlichen Schadensersatzanspruch bei gehackten Cloud-Daten ist die Frage, ob dem Anbieter die Verletzung seiner Sorgfaltsanforderungen, sprich ein Verschulden (Vorsatz oder Fahrlässigkeit), nachgewiesen werden kann. Dies wäre beispielsweise der Fall, wenn er unzureichende Sicherheitsmaßnahmen ergriffen hat oder auf einen Datenschutzvorfall verspätet oder fehlerhaft reagiert.
Häufig versuchen Cloud-Anbieter, ihre Haftung vertraglich zu beschränken, beispielsweise auf grobe Fahrlässigkeit oder bestimmte Höchstbeträge, sollte es zum Verlust von gespeicherten Daten kommen. Nicht immer ist das jedoch mit den Vorgaben der DSGVO vereinbar und zulässig.
Eine generelle Haftung nach der Datenschutzgrundverordnung ist denkbar, wenn der Cloud-Anbieter die Verarbeitung der personenbezogenen Daten nicht DSGVO-konform durchführt. Das wäre z. B. der Fall bei
- Datenverlusten durch mangelhafte Backups
- Hackerangriffe durch eine unzureichende Verschlüsselung der Daten
- Offenlegung personenbezogener Daten durch Fehlkonfiguration
Kann der Anbieter nicht beweisen, dass ihn keine Schuld trifft, muss er für entstandene Schäden haften. Sind Daten von anderen Personen betroffen (z. B. von Kunden), kann der Cloud-Anbieter auch diesen gegenüber haftbar sein und nicht nur Ihnen als Auftraggeber.
ACHTUNG
Handeln Sie selbst fahrlässig bzw. entgegen der Nutzungsbedingungen, können auch Sie für Schäden ganz oder teilweise verantwortlich gemacht werden. Eine alleinige oder gemeinsame Haftbarkeit könnte z. B. bei fehlerhaften Konfigurationen oder fehlenden Zugriffskontrollen vorliegen. Hier kommt es aber immer auf den Einzelfall an.
6. Nutzungsbedingungen von Cloud-Computing im Vergleich
Vor der Cloud-Nutzung sollten Sie sich die Nutzungsbedingungen (AGB, terms and conditions) des Cloud-Dienstleisters genau durchlesen. Achten Sie dabei insbesondere auf datenschutzrechtliche, sicherheitsrelevante und haftungsbezogene Ausführungen.
Nutzungsbedingungen von Dropbox
Nutzen Sie Dropbox, bleiben die Rechte an den abgelegten Daten bei Ihnen als Nutzer. Gespeichert sind diese zwar auch auf Servern in der EU – allerdings befinden sich die Serverstandorte auf der ganzen Welt und Sie haben keinen Einfluss darauf, auf welchen Servern Ihre Daten liegen.
Bei einem Datenverlust ist die Haftung auf vorhersehbare Verluste beschränkt. Bei höherer Gewalt oder externen Angriffen haftet Dropbox nicht. Sämtliche Daten werden sowohl im Ruhezustand als auch während des Datentransfers verschlüsselt.
Nutzungsbedingungen von Dropbox
Nutzungsbedingungen von Google Drive
Google Drive speichert Ihre Daten ebenfalls auf weltweit verteilten Servern. Zu genauen Standorten werden keine Aussagen getroffen. Zwar werden die Daten dabei verschlüsselt, es gibt allerdings keine standardmäßige Ende-zu-Ende-Verschlüsselung. Als Nutzer sind Sie bei Google Drive für Sicherheitsupdates selbst verantwortlich. Das US-Unternehmen übernimmt keine Haftung für Datenverluste durch Angriffe oder Systemfehler.
Nutzungsbedingungen von Google Drive
GUT ZU WISSEN
Sowohl Dropbox, als auch Apple, Google und Microsoft stellen ihren Business-Kunden einen AV-Vertrag bereit.
Nutzungsbedingungen Apple iCloud
An den in der iCloud gespeicherten Daten lässt sich Apple ein weltweites einfaches Nutzungsrecht einräumen – allerdings nur, sofern dies für den Betrieb der Cloud erforderlich ist. Auch hier wissen Sie als Nutzer nicht genau, auf welchen Servern die Daten gespeichert sind. Beim Datenschutz gibt es eine standardmäßige Verschlüsselung der Daten beim Datentransfer und im Ruhezustand. Sollen die Daten Ende-zu-Ende-verschlüsselt werden, müssen Sie dies selbst über “erweiterten Datenschutz” einstellen.
Auch bei Apple wird keine Haftung für Datenverluste aufgrund von Cyberangriffen oder Systemfehlern übernommen. Für Sicherheitsupdates sind Sie als Nutzer selbst verantwortlich.
Nutzungsbedingungen Apple iCloud
Nutzungsbedingungen von Microsoft OneDrive
In Sachen verschlüsselte Datenübertragung unterscheidet sich OneDrive nicht zu anderen Anbietern wie etwa Google: Auch hier gibt es keine standardmäßige Ende-zu-Ende-Verschlüsselung. Nicht alle Daten, die über Microsoft OneDrive oder Microsoft Office 365 in der Cloud verarbeitet werden, können auf europäische Rechenzentren ausgelagert werden. Zu den genauen weltweiten Serverstandorten gibt es keine Informationen.
Achten Sie darauf, regelmäßige Updates vorzunehmen, da bei einem Datenschutzvorfall die Haftung des Anbieters sonst ausgeschlossen sein kann.
Nutzungsbedingungen von Microsoft OneDrive
7. Fazit: Darauf sollten Sie beim Thema Cloud und Datenschutz achten
Nutzen Sie eine Cloud, um Ihre Daten oder die von Kunden, Mitarbeitern oder Geschäftspartnern auszulagern, sollten Sie den Anbieter sorgfältig wählen. Achten Sie
insbesondere darauf, dass er Ihnen einen AV-Vertrag zur Verfügung stellt, der den Vorgaben der DSGVO entspricht.
Bedenken Sie auch, dass Sie fremde, personenbezogene Daten nicht beliebig lang aufbewahren dürfen: Als Unternehmer haben Sie gemäß Artikel 17 DSGVO bestimmte Löschpflichten. Sie müssen die Daten u. a. löschen, wenn die betroffene Person (z. B. Ihr Kunde) ihre Einwilligung widerruft oder wenn der Zweck der Datenverarbeitung erfüllt wurde und die Datenspeicherung nicht mehr notwendig ist.
Der Cloud-Anbieter muss einen gestellten Löschantrag umsetzen können. Verantwortlich für die Datenlöschung bleiben aber Sie selbst bei einer Auftragsverarbeitung. Das bedeutet auch: Sie müssen dokumentieren können, wann und wie die personenbezogenen Daten der betroffenen Person gelöscht wurden – z. B. in einem Verarbeitungsverzeichnis.
Prüfen Sie außerdem die Nutzungsbedingungen und Datenschutzrichtlinien. Mit einem Cloud-Anbieter mit Sitz und Servern in Deutschland oder der EU sind Sie auf der sichersten Seite. Da es sich bei allen großen Anbietern aber zumeist um US-Unternehmen handelt, muss für die rechtssichere Nutzung ein vergleichbarer Datenschutz gewährleistet sein. Zumindest aktuell ist dies in den USA über das Data Privacy Framework (DPF) sichergestellt.
8. FAQ: Cloud Computing und Datenschutz
Alles, was Sie wissen müssen
