Cloud · Datenschutz · Informationssicherheit

Cloud-Dienste nutzen, ohne die Kontrolle über Daten und Pflichten abzugeben

Auftragsverarbeitung, Drittlandübermittlung, Dienstleistersteuerung und Cloud-Risiken verständlich erklärt, mit den Fundstellen aus DSGVO, BSI-Gesetz und ISO/IEC 27001. Von Dr. Stefan Spörrer, LL.M.

Zur Cloud-Checkliste Drittland verstehen
Art. 28 DSGVOCloud-Anbieter, die personenbezogene Daten im Auftrag verarbeiten, brauchen einen Vertrag mit festgelegten Pflichtinhalten
Art. 44 ff. DSGVOÜbermittlungen in Drittländer sind nur mit Angemessenheitsbeschluss, geeigneten Garantien oder Ausnahme zulässig
ISO 27001 A.5.23Informationssicherheit bei der Nutzung von Cloud-Diensten ist eine eigene Maßnahme im Anhang A

Quellen: DSGVO (EUR-Lex), Überblick Dienstleistersteuerung

Was heißt „Cloud datenschutz- und ISMS-konform nutzen“?

Wer Cloud-Dienste nutzt, gibt den Betrieb ab, nicht die Verantwortung. Datenschutzkonform heißt: Es gibt eine Rechtsgrundlage, einen Vertrag zur Auftragsverarbeitung, eine geprüfte Lösung für Drittlandübermittlungen und angemessene technische und organisatorische Maßnahmen. ISMS-konform heißt zusätzlich: Der Dienst ist als Lieferant erfasst, seine Risiken sind bewertet, Anforderungen sind vertraglich vereinbart und werden laufend überwacht, und es gibt einen Ausstiegsplan.

Auftragsverarbeitung

Pflichtinhalte nach Art. 28 DSGVO, Unterauftragsverarbeiter und worauf bei Cloud-AVV zu achten ist.

Zur Auftragsverarbeitung →

Drittlandübermittlung

Angemessenheitsbeschluss, Data Privacy Framework, Standardvertragsklauseln und Transfer-Folgenabschätzung.

Zum Drittland →

Dienstleistersteuerung

Lieferantenmanagement nach ISO/IEC 27001 und § 30 BSIG, Nachweise wie BSI C5, Exit-Strategie.

Zur Dienstleistersteuerung →

Cloud-Risiken

Die typischen Risiken von Cloud-Diensten und passende Maßnahmen in einer Tabelle.

Zu den Risiken →

Checkliste

Die Prüfschritte vor Einführung eines neuen Cloud-Dienstes zum Abhaken.

Zur Checkliste →

FAQ

Antworten auf häufige Fragen zu Cloud, Microsoft 365, US-Anbietern und Serverstandort.

Zu den Fragen →

Geteilte Verantwortung: Was macht der Anbieter, was bleibt beim Kunden?

BereichInfrastruktur (IaaS)Plattform (PaaS)Software (SaaS)
Rechenzentrum, Hardware, NetzAnbieterAnbieterAnbieter
Betriebssystem, LaufzeitumgebungKundeAnbieterAnbieter
AnwendungKundeKundeAnbieter
Konfiguration, Benutzer und BerechtigungenKundeKundeKunde
Daten, Rechtsgrundlage, LöschungKundeKundeKunde
Verträge, Risikobewertung, Kontrolle des AnbietersKundeKundeKunde

Vereinfachtes Modell; die genaue Aufteilung ergibt sich aus Vertrag und Leistungsbeschreibung des jeweiligen Dienstes.

Cloud-Dienstleister, Verträge und Datenschutz in einem System steuern

MGMSYS führt Verarbeitungsverzeichnis, DSFA und TOM mit dem Vendor-Risk-Management für Lieferanten und dem Lizenz- und Vertragsmanagement zusammen: Jeder Cloud-Dienst ist mit Vertrag, Risikobewertung, Maßnahmen und Fristen verknüpft. Die Plattform selbst wird in Deutschland gehostet.

MGMSYS ansehen Preise und Testzugang

Quellen

  1. Verordnung (EU) 2016/679 (DSGVO), EUR-Lex
  2. ISO/IEC 27001:2022 Information security management systems – Requirements (ISO)
  3. BSI: Cloud Computing – Empfehlungen