Grundsätzlich entscheidet der Standort eines Cloud-Anbieters, welches Datenschutzrecht gilt. Wir empfehlen daher einen Anbieter mit Serverstandort in Europa zu wählen, da innerhalb Europas die Datenschutzgrundverordnung (DSGVO) gilt. Bei Anbietern mit Servern außerhalb der EU ist immer Vorsicht geboten, hier wird es datenschutzrechtlich schnell kompliziert. In den USA zum Beispiel gibt es noch kein einheitlich geltendes Datenschutzrecht. Für dich als Nutzer eines Cloud-Dienstes in Deutschland gelten natürlich die deutschen Gesetze. Neben der DSGVO greift hier das deutsche Bundesdatenschutzgesetz (BDSG).
Pflichten Cloud-Nutzer
Wenn du als Nutzer eines Cloud-Dienstes Daten in die Cloud hochlädst, handelt es sich hierbei laut BDSG um eine Auftragsdatenverarbeitung, da der Cloud-Anbieter die Daten der Nutzer verarbeitet. Darüber hinaus ist in § 11 Absatz 1 BDSG geregelt, dass bei der Auftragsdatenverarbeitung durch andere der Auftraggeber dafür Sorge tragen muss, dass die Datenschutzbestimmungen eingehalten werden.
Wenn Datenschutzverstöße vorliegen, ist an erster Stelle der Cloud-Nutzer dafür haftbar, nicht der Cloud-Anbieter. Aus diesem Grund sollten Unternehmen, insbesondere wenn sie mit personenbezogenen Daten von Kunden oder Mitarbeitern arbeiten, bei der Auswahl des Cloud-Anbieters darauf achten, dass dieser ein Datenschutz-Zertifikat besitzt.
ISO 27001 ist in diesem Zusammenhang ein Nachweis dafür, dass Cloud Provider für die stetige Aktualisierung der datenschutzrechtlichen Sicherheitsmaßnahmen sorgen und die gesetzlichen Prüfpflichten der Cloud-Nutzer übernehmen. Wenn du auf der sicheren Seite sein willst, wähle einen Cloud-Dienst, der ein Trusted Cloud-Datenschutzprofil (TCDP) vorweisen kann. Wenn du einen Anbieter mit dieser Zertifizierung wählst, hat dieser die Pflichten im Sinne des BDSG in jedem Fall erfüllt.
Pflichten Cloud-Anbieter
Für die Anbieter von Cloud-Services gelten eine ganze Reihe an Vorgaben, an die sie sich halten müssen. Festgehalten sind diese Pflichten in der DSGVO, die in ganz Europa gilt. In erster Linie müssen Cloud-Anbieter für die Datensicherheit sorgen, indem sie entsprechende technische und organisatorische Maßnahmen bereitstellen, welche die typischen Risiken einer cloudbasierten Datenverarbeitung abdecken.
Auf der technischen Seite muss sichergestellt sein, dass ausreichende Verschlüsselungs- und Anonymisierungsoptionen sowie Backup-Lösungen vorhanden sind. Außerdem müssen die Cloud-Anbieter dafür sorgen, dass die Kunden bei Bedarf Betroffenenrechte umsetzen können. Betroffene sind in diesem Fall Personen, deren personenbezogene Daten verarbeitet wurden. Sie haben das Recht auf Auskunft, Berichtigung, Löschung und Übertragung ihrer verarbeiteten Daten. Diese Prozesse muss der Anbieter technisch ermöglichen. Des Weiteren untersagt die DSGVO eine Zusammenarbeit mit Sub-Dienstleistern, ohne vorherige schriftliche Einverständniserklärung des Kunden.