Datenschutz & Cloud - Wie sicher sind meine Daten?

In Zusammenhang mit Digitalisierung hört man in den letzten Jahren immer wieder die Begriffe Cloud und Cloud-Computing, aber viele wissen gar nicht, was damit genau gemeint ist. Wir erklären noch einmal kurz, was die Cloud eigentlich bedeutet. Die Bezeichnung Cloud stammt aus dem Englischen und bedeutet auf deutsch übersetzt „Wolke“. Die Wolke galt in der IT schon lange als Symbol für ein Netz aus verschiedenen Rechnern, die ihre Leistung untereinander aufteilen. Heute wird unter der Cloud hauptsächlich das Zusammenspiel von mehreren Servern verstanden. Diese Server stehen überall auf der Welt verteilt, für den Nutzer ist das aber nicht erkenntlich. Der genaue Aufbau wird wie von einer Wolke verhüllt, daher der Name Cloud.

Die Server innerhalb der Cloud arbeiten unabhängig voneinander und übernehmen unterschiedliche Aufgaben, je nachdem, was ein Kunde/Benutzer möchte. Üblicherweise sind das die Datenspeicherung, das Bereitstellen von Rechenleistung oder das Bereitstellen von passenden Softwarelösungen, wie z.B. unsere cloudbasierte Handwerkersoftware HERO. Die wohl bekannteste Funktion der Cloud ist die des Online-Speichermediums. Dabei werden die Daten über das Internet einmalig auf den Cloud Server hochgeladen und stehen dann auf allen Endgeräten mobil zur Verfügung, ohne erneut heruntergeladen werden zu müssen.

Cloud-Lösungen bringen Unternehmen sowie Privatpersonen viele Mehrwerte. Seine Daten im Internet zu speichern, kann ziemlich praktisch sein. Nahezu unbegrenzter Speicherplatz und der Datenzugriff von überall aus stellen nur zwei dieser Vorteile dar. Allerdings gibt es auch einige kritische Aspekte, derer man sich bewusst sein sollte. Wir schauen uns beide Seiten einmal an, bevor wir auf die rechtliche Situation eingehen.

Grundsätzlich entscheidet der Standort eines Cloud-Anbieters, welches Datenschutzrecht gilt. Wir empfehlen daher einen Anbieter mit Serverstandort in Europa zu wählen, da innerhalb Europas die Datenschutzgrundverordnung (DSGVO) gilt. Bei Anbietern mit Servern außerhalb der EU ist immer Vorsicht geboten, hier wird es datenschutzrechtlich schnell kompliziert. In den USA zum Beispiel gibt es noch kein einheitlich geltendes Datenschutzrecht. Für dich als Nutzer eines Cloud-Dienstes in Deutschland gelten natürlich die deutschen Gesetze. Neben der DSGVO greift hier das deutsche Bundesdatenschutzgesetz (BDSG).

Pflichten Cloud-Nutzer

Wenn du als Nutzer eines Cloud-Dienstes Daten in die Cloud hochlädst, handelt es sich hierbei laut BDSG um eine Auftragsdatenverarbeitung, da der Cloud-Anbieter die Daten der Nutzer verarbeitet. Darüber hinaus ist in § 11 Absatz 1 BDSG geregelt, dass bei der Auftragsdatenverarbeitung durch andere der Auftraggeber dafür Sorge tragen muss, dass die Datenschutzbestimmungen eingehalten werden.

Wenn Datenschutzverstöße vorliegen, ist an erster Stelle der Cloud-Nutzer dafür haftbar, nicht der Cloud-Anbieter. Aus diesem Grund sollten Unternehmen, insbesondere wenn sie mit personenbezogenen Daten von Kunden oder Mitarbeitern arbeiten, bei der Auswahl des Cloud-Anbieters darauf achten, dass dieser ein Datenschutz-Zertifikat besitzt.

ISO 27001 ist in diesem Zusammenhang ein Nachweis dafür, dass Cloud Provider für die stetige Aktualisierung der datenschutzrechtlichen Sicherheitsmaßnahmen sorgen und die gesetzlichen Prüfpflichten der Cloud-Nutzer übernehmen. Wenn du auf der sicheren Seite sein willst, wähle einen Cloud-Dienst, der ein Trusted Cloud-Datenschutzprofil (TCDP) vorweisen kann. Wenn du einen Anbieter mit dieser Zertifizierung wählst, hat dieser die Pflichten im Sinne des BDSG in jedem Fall erfüllt.

Pflichten Cloud-Anbieter

Für die Anbieter von Cloud-Services gelten eine ganze Reihe an Vorgaben, an die sie sich halten müssen. Festgehalten sind diese Pflichten in der DSGVO, die in ganz Europa gilt. In erster Linie müssen Cloud-Anbieter für die Datensicherheit sorgen, indem sie entsprechende technische und organisatorische Maßnahmen bereitstellen, welche die typischen Risiken einer cloudbasierten Datenverarbeitung abdecken.

Auf der technischen Seite muss sichergestellt sein, dass ausreichende Verschlüsselungs- und Anonymisierungsoptionen sowie Backup-Lösungen vorhanden sind. Außerdem müssen die Cloud-Anbieter dafür sorgen, dass die Kunden bei Bedarf Betroffenenrechte umsetzen können. Betroffene sind in diesem Fall Personen, deren personenbezogene Daten verarbeitet wurden. Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Übertragung ihrer verarbeiteten Daten. Diese Prozesse muss der Anbieter technisch ermöglichen. Des Weiteren untersagt die DSGVO eine Zusammenarbeit mit Sub-Dienstleistern, ohne vorherige schriftliche Einverständniserklärung des Kunden.

Wenn du bei der Auswahl des Cloud-Anbieters die oben genannten Punkte beachten, sind deine Daten in der Regel sicherer als auf deinen privaten Servern. Das liegt unter anderem daran, dass die Cloud-Anbieter das entsprechende Know-How haben, was ansonsten intern vorhanden sein oder teuer eingekauft werden müsste. Hast du einen seriösen Anbieter, kannst du sicher sein, dass dieser regelmäßige Updates durchführt und deine Daten vor Hackerangriffen geschützt sind. Schließlich ist er gesetzlich dazu verpflichtet, für entsprechende technische Sicherheitsmaßnahmen zu sorgen.

Die Entscheidung, welche und wie viele Daten in eine Cloud ausgelagert werden, ist dennoch immer eine individuelle. Abhängig von der jeweiligen Ausgangslage kann es Sinn machen, große Datenmengen in eine Public Cloud auszulagern, es gibt aber durchaus Konstellationen, wo sich eine Private Cloud besser eignet. Für viele ist auch die Option der Hybrid Cloud ein guter Mittelweg. Hier besteht die Möglichkeit, die Rechenleistung der hausinternen IT immer dann durch die Public Cloud zu ergänzen, wenn Bedarf besteht.

Zusammenfassend lässt sich festhalten, dass die Daten in cloudbasierten Systemen sicherer sind, als bei selbst gehosteten Lösungen. Es sei denn, du hast hausintern ein kompetentes IT-Team zur Verfügung. Das ist aber in den seltensten Fällen so und darüber hinaus mit einem erhöhten Kostenaufwand verbunden. Grundsätzlich sind deine Daten in der Cloud sicher, sofern du einen professionellen Cloud-Anbieter wählst.