Kunden- und Mitarbeiterdaten sind ein wertvolles Gut, die ein Unternehmen schon aus Eigeninteresse schützen muss. Auch die Interessen der betroffenen Personen müssen vom Unternehmen gewahrt und die Daten insbesondere vor unberechtigtem Zugriff geschützt werden. Durch die Digitalisierung von Daten entstehen zahlreiche rechtliche Spannungsfelder, die es zu beachten gilt. Dies gilt umso mehr, wenn das Unternehmen Cloud-Dienste nutzt, die bekanntlich aus dem unternehmerischen Alltag nicht mehr wegzudenken sind und wie selbstverständlich genutzt werden. Der Vortrag gibt einen Überblick über die wesentlichen rechtlichen Problemfelder.

1. © Rechtsanwalt Marcus Beckmann
Digitalisierung: Kundendaten und
Mitarbeiterdaten in der Cloud
Rechtliche Problemfelder
Rechtsanwalt Marcus Beckmann
Beckmann und Norda - Rechtsanwälte

2. ©Rechtsanwalt Marcus Beckmann 2
Referent
Rechtsanwalt Marcus Beckmann
BECKMANN UND NORDA – RECHTSANWÄLTE
Welle 9 - 33602 Bielefeld
web: www.beckmannundnorda.de
email: info@beckmannundnorda.de
fon 0521/98628-0
fax 0521/98628-28

3. ©Rechtsanwalt Marcus Beckmann 3
Referent
twitter http://twitter.com/marcusbeckmann
facebook http://www.facebook.com/marcus.beckmann.1973
google+ https://plus.google.com/+MarcusBeckmann/
linkedin http://de.linkedin.com/in/marcusbeckmann/
xing https://www.xing.com/profile/Marcus_Beckmann
slideshare http://de.slideshare.net/marcusbeckmann1973

4. ©Rechtsanwalt Marcus Beckmann 4
Cloud Computing
NIST-Definition
(National Institute of Standards and Technology)
Cloud Computing umschreibt den Ansatz, abstrahierte IT-
Infrastrukturen (z. B. Rechenkapazität, Datenspeicher,
Netzwerkkapazitäten oder auch fertige Software) dynamisch an den
Bedarf angepasst über ein Netzwerk zur Verfügung zu stellen

5. ©Rechtsanwalt Marcus Beckmann 5
Cloud Computing
IaaS – Infrastructure as a Service
PaaS – Platform as a Service
SaaS – Software as a Service

6. ©Rechtsanwalt Marcus Beckmann 6
Cloud Computing
Public Clouds
Stehen jedermann zur Verfügung
Private Cloud
Eigene Cloud-Infrastruktur - Zugang ist beschränkt auf
Unternehmensangehörige, Kunden, Lieferanten, Geschäftspartner
Hybrid Cloud
Mischform

7. ©Rechtsanwalt Marcus Beckmann 7
Folgen der Nutzung cloudbasierter Dienste
Neben zahlreichen bekannten Vorteilen:
Abhängigkeit
Kontrollverlust

8. ©Rechtsanwalt Marcus Beckmann 8
Rechtliche Ausgangslage
Vielzahl unterschiedlicher Dienste
= Vielzahl rechtlicher Problemfelder
Grenzüberschreitende Angebote
= verschiedene Rechtsordnungen mit verschiedenen
Vorschriften und Anforderungen
Antiquierte rechtliche Regelungen und uneinheitliche Standards

9. ©Rechtsanwalt Marcus Beckmann 9
Datenschutz vs. Cloud
Relevanz der datenschutzrechtlichen Bestimmungen:
Personenbezogene Daten
= Einzelangaben über persönliche oder sachliche Verhältnisse
einer bestimmten oder bestimmbaren natürlichen Person.
(auch IP-Daten sind nach EuGH-Rechtsprechung
personenbezogene Daten)

10. ©Rechtsanwalt Marcus Beckmann 10
Datenschutz vs. Cloud
Gilt auch, wenn Zugriff auf personenbezogene Daten nicht
ausgeschlossen werden kann
Auch bei Vermischung / Verknüpfung von
nicht personenbezogenen Daten mit personenbezogenen Daten

11. ©Rechtsanwalt Marcus Beckmann 11
Datenschutz vs. Cloud
§ 28 BDSG
Das Erheben, Speichern, Verändern oder Übermitteln personenbezogener
Daten oder ihre Nutzung als Mittel für die Erfüllung eigener
Geschäftszwecke ist zulässig
1 wenn es für die Begründung, Durchführung oder Beendigung eines
rechtsgeschäftlichen oder rechtsgeschäftsähnlichen Schuldverhältnisses
mit dem Betroffenen erforderlich ist,
2. soweit es zur Wahrung berechtigter Interessen der verantwortlichen
Stelle erforderlich ist und kein Grund zu der Annahme besteht, dass das
schutzwürdige Interesse des Betroffenen an dem Ausschluss der
Verarbeitung oder Nutzung überwiegt, oder [...]

12. ©Rechtsanwalt Marcus Beckmann 12
Datenschutz vs. Cloud
§ 32 BDSG
Mitarbeiterdaten
Personenbezogene Daten eines Beschäftigten dürfen für Zwecke
des Beschäftigungsverhältnisses erhoben, verarbeitet oder genutzt
werden, wenn dies für die Entscheidung über die Begründung eines
Beschäftigungsverhältnisses oder nach Begründung des
Beschäftigungsverhältnisses für dessen Durchführung oder
Beendigung erforderlich ist.

13. ©Rechtsanwalt Marcus Beckmann 13
Datenschutzrechtliche Vorgaben
Anlage zu (zu § 9 Satz 1) BDSG
Verpflichtung,
1. Unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen
personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren
(Zutrittskontrolle),zu verhindern, dass Datenverarbeitungssysteme von
Unbefugten genutzt werden können (Zugangskontrolle)
2. zu gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems
Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden
Daten zugreifen können, und dass personenbezogene Daten bei der
Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert,
verändert oder entfernt werden können (Zugriffskontrolle),
,

14. ©Rechtsanwalt Marcus Beckmann 14
Datenschutzrechtliche Vorgaben
Anlage zu (zu § 9 Satz 1) BDSG
3.zu gewährleisten, dass die zur Benutzung eines
Datenverarbeitungssystems Berechtigten ausschließlich auf die
ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können,
und dass personenbezogene Daten bei der Verarbeitung, Nutzung
und nach der Speicherung nicht unbefugt gelesen, kopiert,
verändert oder entfernt werden können (Zugriffskontrolle),

15. ©Rechtsanwalt Marcus Beckmann 15
Datenschutzrechtliche Vorgaben
Anlage zu (zu § 9 Satz 1) BDSG
4. zu gewährleisten, dass personenbezogene Daten bei der
elektronischen Übertragung oder während ihres Transports oder
ihrer Speicherung auf Datenträger nicht unbefugt gelesen, kopiert,
verändert oder entfernt werden können, und dass überprüft und
festgestellt werden kann, an welche Stellen eine Übermittlung
personenbezogener Daten durch Einrichtungen zur
Datenübertragung vorgesehen ist (Weitergabekontrolle),

16. ©Rechtsanwalt Marcus Beckmann 16
Datenschutzrechtliche Vorgaben
Anlage zu (zu § 9 Satz 1) BDSG
5. zu gewährleisten, dass nachträglich überprüft und festgestellt
werden kann, ob und von wem personenbezogene Daten in
Datenverarbeitungssysteme eingegeben, verändert oder entfernt
worden sind (Eingabekontrolle)
6. zu gewährleisten, dass personenbezogene Daten, die im Auftrag
verarbeitet werden, nur entsprechend den Weisungen des
Auftraggebers verarbeitet werden können (Auftragskontrolle),

17. ©Rechtsanwalt Marcus Beckmann 17
Datenschutzrechtliche Vorgaben
Anlage zu (zu § 9 Satz 1) BDSG
7. zu gewährleisten, dass personenbezogene Daten gegen zufällige
Zerstörung oder Verlust geschützt sind (Verfügbarkeitskontrolle),
8. zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene
Daten getrennt verarbeitet werden können.

18. ©Rechtsanwalt Marcus Beckmann 18
Datenschutzverstöße und ihre Folgen
Rechte des Betroffenen auf
- Auskunft
- Berichtigung, Löschung oder Sperrung
- Schadensersatz

19. ©Rechtsanwalt Marcus Beckmann 19
Datenschutzverstöße und ihre Folgen
Datenschutzbehörden
- Unterlassungsverfügung
- Ordnungsgelder

20. ©Rechtsanwalt Marcus Beckmann 20
Datenschutz vs. Cloud
Nutzung von Cloud-Diensten
Auftragsdatenverarbeitung (§ 11 BDSG)
innerhalb Deutschlands und der EU
Werden personenbezogene Daten im Auftrag durch andere Stellen
erhoben, verarbeitet oder genutzt, ist der Auftraggeber für die
Einhaltung der datenschutzrechtlichen Vorgaben verantwortlich

21. ©Rechtsanwalt Marcus Beckmann 21
Datenschutz vs. Cloud
Schriftliche Vereinbarung mit Cloud-Anbieter erforderlich
Der Auftrag ist schriftlich zu erteilen

22. ©Rechtsanwalt Marcus Beckmann 22
Datenschutz vs. Cloud
Regelungsbedürftige Punkte
1.der Gegenstand und die Dauer des Auftrags
2.der Umfang, die Art und der Zweck der vorgesehenen Erhebung,
Verarbeitung oder Nutzung von Daten, die Art der Daten und der
Kreis der Betroffenen
3.die nach § 9 zu treffenden technischen und organisatorischen
Maßnahmen,
4.die Berichtigung, Löschung und Sperrung von Daten,

23. ©Rechtsanwalt Marcus Beckmann 23
Datenschutz vs. Cloud
5.die nach Absatz 4 bestehenden Pflichten des Auftragnehmers,
insbesondere die von ihm vorzunehmenden Kontrollen,
6.die etwaige Berechtigung zur Begründung von
Unterauftragsverhältnissen,
7.die Kontrollrechte des Auftraggebers und die entsprechenden
Duldungs- und Mitwirkungspflichten des Auftragnehmers,

24. ©Rechtsanwalt Marcus Beckmann 24
Datenschutz vs. Cloud
8.mitzuteilende Verstöße des Auftragnehmers oder der bei ihm
beschäftigten Personen gegen Vorschriften zum Schutz
personenbezogener Daten oder gegen die im Auftrag getroffenen
Festlegungen,
9.der Umfang der Weisungsbefugnisse, die sich der Auftraggeber
gegenüber dem Auftragnehmer vorbehält,
10.die Rückgabe überlassener Datenträger und die Löschung beim
Auftragnehmer gespeicherter Daten nach Beendigung des
Auftrags.

25. ©Rechtsanwalt Marcus Beckmann 25
Datenschutz vs. Cloud
Kontrolle der Einhaltung der datenschutzrechtlichen Vorgaben
Dokumentationspflicht
Weisungsrecht des Auftraggeber

26. ©Rechtsanwalt Marcus Beckmann 26
Datenschutz vs. Cloud
Drittländer mit vergleichbarem Datenschutzniveau
Datenexport mit EU-Standardvertragsklauseln

27. ©Rechtsanwalt Marcus Beckmann 27
Datenschutz vs. Cloud
Safe Harbor
Datenschutz-Vereinbarung zwischen der Europäischen Union und
den USA
Europäischen Unternehmen soll ermöglicht werden,
personenbezogene Daten legal in die USA zu übermitteln.

28. ©Rechtsanwalt Marcus Beckmann 28
Datenschutz vs. Cloud
Problem:
Massenhafte Abschöpfung von Daten durch staatliche Stellen
Abkommen, EU-Standardvertragsklauseln und sonstige vertragliche
Vereinbarungen sind wirkungslos.

29. ©Rechtsanwalt Marcus Beckmann 29
To-Do-Liste
Auseinandersetzung mit datenschutzrechtlichen Vorgaben
Abwägung Nutzen / Risiko
Nutzung von Public Cloud- bzw. Massendiensten
datenschutzkonform im Grunde nicht möglich

30. ©Rechtsanwalt Marcus Beckmann 30
FRAGEN ?

31. ©Rechtsanwalt Marcus Beckmann 31
FRAGEN ?
Vielen Dank für Ihre Aufmerksamkeit !
Aktuelle Entscheidungen und Beiträge zum IT-Recht
in unserem Blog
www.beckmannundnorda.de/serendipity/