Datenschutz und Compliance

Dürfen Unternehmen ihre Daten in der sogenannten Cloud, das heißt auf fremden Servern, auslagern, ohne gegen geltendes Compliance-Recht zu verstoßen?
Datenschutz betrifft nicht nur die Daten in der Cloud, sondern auch E-Mails über Google & Co. - Derzeitige Handhabung von Daten ist mit einer ordentlichen Compliance häufig nicht in Übereinstimmung zu bringen

Von Horst Leis, LL.M., Fachanwalt für Informationstechnologierecht/Fachanwalt für gewerblichen Rechtsschutz bei SNP | Schlawien Partnerschaft Düsseldorf

(14.02.14) - Datenschutz und Schutz des Unternehmens vor Rechtsverstößen (Compliance) nehmen derzeit einen breiten Raum in der öffentlichen Diskussion ein. Aber genauso verbreitet ist dabei die Ansicht: Datenschutz macht Arbeit und ist teuer!

Doch nicht zuletzt, nachdem sich nun die erste Aufregung um den Überwachungsskandal des US-Geheimdienstes gelegt hat, stellt sich einmal mehr die Frage, was das (amerikanische) Ausspähen von Daten für deutsche Unternehmen bedeutet? Dürfen Unternehmen ihre Daten in der sogenannten Cloud, das heißt auf fremden Servern, auslagern, ohne gegen geltendes Compliance-Recht zu verstoßen?

Lesen Sie zum Thema "Cloud Computing" auch: SaaS-Magazin.de (www.saasmagazin.de)

Datenschutz und Compliance im Sinne von "Rechtskonformität" sind zwei Rechtsgebiete, die sich unabhängig entwickelt haben und in einem Spannungsfeld stehen. Beide sind gesetzlich zwingend zu beachten und können eine Haftung des Managements auslösen. Da Datenschutz und Compliance trotz oder wegen des Spannungsfeldes nicht zu trennen sind, sind sie aus organisatorischen und aus Kostengründen möglichst gleichzeitig durchzuführen.

Datenschutz wird durch §§ 9, 27 ff. BDSG geboten. Aufgrund gesetzlicher Vorgaben war bereits im Herbst 2009 ein Datenschutzbeauftragter zu bestellen bei Androhung von Ordnungsgeldern bis zu 300.000 Euro je nach Fall. Es sind alle Verträge mit Datenschutzbezug, wie beispielsweise Arbeitsverträge, IT-Wartungsverträge, aber auch Ausschreibungen zu erfassen und zu überprüfen, um Handlungsbedarf festzustellen.

Compliance wird durch § 93 AktG (analog) geboten. Compliance bezeichnet im Wirtschaftsleben die Verhinderung von Rechtsverstößen, nicht nur / aber auch Straftaten, die aus dem Unternehmen heraus begangen werden und diesem erhebliche Nachteile durch Haftungsrisiken oder Ansehensverlust bringen können.

Der Umfang einer Datenschutz und Compliance-Prüfung ist an diesen Anforderungen des Gesetzgebers und der sich zunehmend verschärfenden Rechtsprechung zu messen.

Das Bundesdatenschutzgesetz (BDSG) gibt vor, wie mit personenbezogenen Daten zu verfahren ist. Es stammt aus dem Jahr 1995, vor der Entwicklung von Google und Facebook. Personenbezug hat dabei jedes Datum, das sich irgendwie - und sei es auch nur unter großen Schwierigkeiten - auf eine natürliche Person zurückführen lässt. Selbst dynamisch vergebene IP-Adressen sollen nach der herrschenden Meinung unter den Juristen solche personenbezogenen Daten sein.

Sollen solche personenbezogenen Daten in der Cloud gespeichert werden, gibt es ein Problem: Es wird sich dabei nämlich um eine Auftragsdatenverarbeitung handeln. In § 3 Absatz 4 BDSG steht: "Verarbeiten ist das Speichern, Verändern, Übermitteln, Sperren und Löschen personenbezogener Daten". Da in der Cloud also die Daten gespeichert werden, ist es nicht von der Hand zu weisen, dass ein Dritter, also der Cloud Computing-Anbieter, diese personenbezogenen Daten im Auftrag seines Kunden, also demjenigen, der die Daten hochlädt, verarbeitet.

Dieser Dritte sitzt häufig, wenn nicht regelmäßig in den USA, wo bekanntlich die strengen deutschen und europäischen Datenschutzregeln nicht gelten. Dies betrifft nicht nur in die Cloud ausgelagerte Daten, sondern auch den Emailversand über amerikanische Anbieter wie Google und Co. Jedoch läuft fasst jeder Datenversand nicht gradlinig durch die Telefonleitungen, sondern weltweit durch die Kabelnetze.

Die derzeitige Handhabung von Daten ist mit einer ordentlichen Compliance häufig nicht in Übereinstimmung zu bringen und ist eine tickende Zeitbombe. Gibt es dann ein Datenleck im Unternehmen, wird die Haftung unüberschaubar. (SNP | Schlawien Partnerschaft: ra)

SNP | Schlawien Partnerschaft: Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Invests