Suchen

Letzte Folge des Themenschwerpunkts zum Status quo von Cloud Computing (Teil 6)

Rechtliche Rahmenbedingungen beim Cloud Computing

Seite: 2/2

Firmen zum Thema

Folgende Punkte sind im Rahmen der Risikobetrachtung und vor Vertragsabschluss besonders zu beleuchten:

  • Datenschutz bei der Datenübertragung, Datenverarbeitung (Erheben, Speichern, Verändern), Datenspeicherung und Datenlöschung.
  • Art und Schutzbedarf der Daten z. B. „Auftragsdatenverarbeitung“, Entwicklungs- und Geschäftsdaten oder Kreditkartendaten, welche in die Cloud sollen.
  • Cloud-Rechenzentrumsstandort (Deutschland, der EU/EWR oder außerhalb der EU) - bestimmt Gerichtsstand und anwendbares Recht bzw. Datenschutznormen.

Empfehlenswert für den Abschluss eines Cloud-Vertrages sind einerseits die Einschaltung eines IT- bzw. Cloud-affinen Juristen und andererseits die Verwendung von EU-Standardvertragsklauseln (Europäische Kommission, 5.2.2010).

Initiativen und Verbände

Informationen bzw. Beratung können Unternehmen von verschiedenen Organisationen, Verbänden und Initiativen bekommen, wie z. B. BSI, Bitkom, „Cloud Services Made in Germany“ oder „German Cloud“, Euro Cloud Deutschland eco e.V.

2010 hat die Cloud Security Alliance (CSA) das CTP (Cloud Trust Protocol) ins Leben gerufen. CTP besteht aus 23 Kriterien hinsichtlich Cloud-Transparenz, wie zum Beispiel Konfiguration, Schwachstellen, Zugriff, Autorisierung, Policy, Haftung, Verankerung und Betriebsbedingungen. CPT soll bei der Auswahl von Cloud Providern unterstützen, während weitere Tools wie Cloud Audit, Cloud Control Matrix (CCM) und Consensus Assessments Initiative Questionnaire (CAIQ) bei der Überprüfung helfen sollen.

Die EU initiierte das Projekt CloudforEurope, welches bis November 2016 einen gemeinsamen europäischen Rahmen für Cloud Computing schaffen soll.

Allgemein sollte ein Cloud-Vertrag verbindlich regeln:

  • den Umfang, die Art und den Zweck der vorgesehenen Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten,
  • die Art der Daten,
  • die Aufgaben und Maßnahmen zum Datenschutz und zur IT-Sicherheit je Vertragspartner,
  • die Änderung, Löschung und Sperrung von Daten,
  • das Reporting,
  • alle Service Management Prozesse mit Verantwortlichkeiten,
  • die von dem Auftragnehmer (Cloud-Nutzer) vorzunehmenden Datenschutzkontrollen,
  • die Kontrollrechte beider Vertragspartner und die entsprechenden Duldungs- und Mitwirkungspflichten
  • Umgang mit Sicherheitsvorfällen und Verantwortlichkeiten
  • Ausstiegs (Exit)-Klausel zur Regelung der Rückgabe überlassener Datenträger und der Löschung aller beim Cloud-Provider (Auftragnehmer) gespeicherter Daten nach Beendigung des Auftrags gegebenenfalls über mehrere Cloud-Rechenzentren.

Themenschwerpunkt: In die Cloud? JA, aber überlegt!

Dieser Artikel ist der sechste und letzte Teil unseres Themenschwerpunkts zu grundlegenden Aspekten rund um Cloud Computing.

Teil 1 - Einführung: Ist-Situation Cloud Computing

Teil 2 – Risikoanalyse mit speziellen Cloud-Risiken

Teil 3 – Wirtschaftlichkeitsbetrachtungen für die Cloud-Einführung

Teil 4 – Identitäts- und Access Management in der Cloud

Teil 5 – IT-Sicherheit in der Cloud

Teil 6 – Rechtliche Rahmenbedingungen.

Die Autorin: Dr. Daniele Fiebig ist freiberuflich als Projektleiter und Berater im IT-Bereich tätig. Zu ihren fachlichen Schwerpunkte gehören IT-Infrastruktur und Softwareentwicklung, IT Service Management und ITIL, Prozess- und Organisationsstrukturen, IT-Sicherheit und Projektmanagement. Frau Dr. Fiebig ist zudem PRINCE2 Professional, ITIL v3 Expert, ISO/IEC 27001 und ISO/IEC 20000 Consultant und Lead Auditor, Weiterbildung IT-Grundschutz und BPMN 2.0.

(ID:42976943)