Cloud-Lösungen:
Datenschutz nicht vergessen


[24.2.2016] Die Datenverarbeitung in der Cloud hat handfeste Vorteile. Bei der Auswahl des Dienstleisters sollte geprüft werden, ob der Datenschutz berücksichtigt ist und Kriterien der IT-Sicherheit eingehalten werden.

Ihren Cloud-Dienstleister sollten Kommunen sorgfältig auswählen. Software in die Cloud zu verlagern, ist technisch kein Problem mehr. Bei Online-Speichern dient die Cloud quasi als Festplatte im Internet, Cloud Software geht noch einen Schritt weiter. Hier werden nicht nur die Daten in der Cloud gespeichert, sondern auch die Anwendungsprogramme. Sie werden beim Cloud-Dienstleister installiert und in dessen Rechenzentrum ausgeführt. Eine Cloud-Lösung beispielsweise für Bibliotheken bietet das Unternehmen datronic IT-Systeme an. Diese Art der Datenverarbeitung hat handfeste Vorteile. Zum Beispiel muss sich der Kunde nicht mehr um Wartung, Backups oder das Einspielen von Updates kümmern. Oft können auch die finanziellen und personellen Mittel nicht aufgebracht werden oder das nötige Know-how fehlt, um in Eigenregie die hochkomplexen Anforderungen an die IT-Sicherheit sowie Hard- und Software zu erfüllen. Entscheidet sich ein Kunde für eine Cloud-Lösung, obliegen die Anschaffung leistungsfähiger Hardware sowie die Sorge für die notwendigen Maßnahmen zur Verfügbarkeit und zur Sicherheit dem Cloud-Dienstleister. Er kümmert sich um alle Komponenten und sorgt dafür, dass alles nach neuestem Stand der Technik umgesetzt wird. Ein weiterer Vorteil: Der Nutzer kann von überall auf die Daten und Dienste zugreifen. Beim Cloud Computing gibt der Kunde ein erhebliches Maß an Kontrolle über seine geschäftlichen und privaten Daten sowie Anwendungen an den Dienstleister ab. Hier gilt es, die Vorteile mit dem Risiko abzuwägen. Es sollte überprüft werden, ob der Grad der Ausfallsicherheit beim Cloud-Dienstleister ausreichend hoch ist. Denn wenn die Internet-Leitung ausfällt, kann der Kunde nicht auf seine Daten zugreifen. Die Maßnahmen des Cloud-Dienstleisters zum Schutz vor Viren und Hackern sind ebenso zu hinterfragen.

Kriterien erfüllt?

Ferner sollten die Daten im Internet verschlüsselt übertragen werden und die Kundendaten vor dem unberechtigten Zugriff Dritter geschützt sein. Auch ist zu überprüfen, ob weitere Dienstleister in die Cloud-Lösung involviert sind. Die Erreichbarkeit des Supports gehört ebenfalls zur Risikoabwägung: Ist dessen Erreichbarkeit zu den Geschäftszeiten ausreichend oder ist ein 24-Stunden-Support notwendig? Nicht zuletzt sind passende Schnittstellen zur Rückübertragung oder zur Löschung der Daten bei Beendigung des Vertragsverhältnisses zu bedenken. Ein guter Cloud-Dienstleister beantwortet diese Fragen umfassend und legt seine Schutzmaßnahmen transparent dar. In der Praxis können Cloud-Dienstleister meist eine höhere Ausfallsicherheit oder ein deutlich höheres Sicherheitsniveau bieten, als es beispielsweise kleineren Bibliotheken normalerweise zur Verfügung steht. Datenschutz basiert nicht nur auf IT-Sicherheit. Sind bei der Verarbeitung in der Cloud personenbezogene Daten betroffen, müssen die Regeln des Bundesdatenschutzgesetzes (BDSG) und der Landesdatenschutzgesetze beachtet werden. Beispielsweise muss der Cloud-Dienstleister seine Mitarbeiter auf das Datengeheimnis verpflichten. Es sind schriftliche Vereinbarungen zu treffen, wie der Dienstleister mit den Kundendaten umgehen soll und darf. Die Daten dürfen auch nicht ohne weiteres in Drittländern außerhalb der EU gespeichert werden. Idealerweise sollte der Speicher- und Verarbeitungsort in Deutschland sein. Sind personenbezogene Daten betroffen, können deutsche Institutionen die Cloud-Angebote mit Datenverarbeitung in Drittländern wie den USA, Indien oder China, meist gar nicht oder nur sehr aufwendig datenschutzgerecht nutzen.

Schriftliche Vereinbarung

Diese und andere Vorgaben sind schriftlich in der Vereinbarung zur Auftragsdatenverarbeitung (ADV) festzuhalten. Welche Inhalte die Vereinbarung regeln muss, legt der Gesetzgeber im §11 BDSG und den entsprechenden Landesgesetzen fest. Die Verantwortung, eine passende ADV-Vereinbarung abzuschließen, liegt beim Cloud-Kunden als Auftraggeber. Fehlt eine solche und es werden dennoch personenbezogene Daten in die Cloud verlagert, kann das ein Bußgeld durch die Datenschutzaufsichtsbehörde für den Auftraggeber nach sich ziehen. Es lohnt sich überdies bei Cloud-Lösungen beim Dienstleister nach einer passenden ADV-Vereinbarung zu fragen. Gut vorbereitete Anbieter haben auf ihre Dienstleistung zugeschnittene Vereinbarungen vorformuliert. Der Kunde sollte dann prüfen, ob die darin enthaltenen Vorgaben seinen Ansprüchen genügen. Das Unternehmen datronic kommt den Anforderungen der IT-Sicherheit und des Datenschutzes nach, indem es für seine Cloud-Lösungen ein Server-Zentrum in Deutschland garantiert. Die Sicherheit der Kundendaten bei der Übertragung wird unter anderem durch die Verschlüsselung und den Einsatz von Firewalls gewährleistet. Empfehlenswert ist darüber hinaus, dass der Cloud-Dienstleister unabhängig von einer gesetzlichen Pflicht einen Datenschutzbeauftragten bestellt hat. Da er unabhängig agiert und im Unternehmen die Einhaltung des Datenschutzes kotrolliert, bedeutet der Datenschutzbeauftragte eine zusätzliche Kontrollinstanz beim Dienstleister vor Ort. Ebenso ist er Ansprechpartner für die Kunden, wenn sie Fragen zur datenschutzkonformen Verarbeitung personenbezogener Daten haben.

Petra Nietzer ist externe Datenschutzbeauftragte bei der datronic IT-Systeme GmbH & Co. KG, Augsburg.

www.datronic.de
Dieser Beitrag ist in der Februar-Ausgabe von Kommune21 erschienen. Hier können Sie ein Exemplar bestellen oder die Zeitschrift abonnieren. (Deep Link)

Stichwörter: IT-Infrastruktur, datronic IT-Systeme, BDSG, ADV

Bildquelle: PEAK Agentur für Kommunikation

Druckversion    PDF     Link mailen


Advantic
Weitere Meldungen und Beiträge aus dem Bereich IT-Infrastruktur
Interview: Smart Parken Interview
[18.8.2017] Die Parkplatzsuche kostet mitunter Zeit und Nerven. Wie mit Sensoren ausgestattete Parkplätze zu einem intelligenten Park-Management beitragen können, erläutern die beiden Mitglieder der Telekom-Geschäftsführung Anette Bronder und Patrick Molck-Ude. mehr...
Anette Bronder und Patrick Molck-Ude.
Behördennetz: Sicher in Sachsen Bericht
[16.8.2017] Schneller, leistungsfähiger und sicherer ist das neue Kommunale DatenNetz in Sachsen, das jetzt auch den Bereich Telefonie umfasst. Die kommunale Familie in Sachsen ist damit bereit für die Zukunft. mehr...
Technologie: Die Stadt als Graph Bericht
[15.8.2017] In einer Smart City generieren Sensoren und Zähler eine Unmenge an Daten. Sie fließen in Servern zusammen, wo sie ausgewertet werden. Herkömmliche Datenbanken reichen dafür längst nicht mehr aus. Es gibt jedoch eine Alternative: die Graphtechnologie. mehr...
Graphstruktur ähnelt ÖPNV-Netzplänen.
Kreis Heinsberg: Kreisweites E-Government geplant
[9.8.2017] Einsparpotenziale im E-Government will der Kreis Heinsberg heben. Gemeinsam mit den kreisangehörigen Kommunen hat das Landratsamt daher Überlegungen zur Umsetzung eines kreisweit einheitlichen Datenportals gestartet. mehr...
Cottbus: Auf dem Weg zur Smart City 2.0
[7.8.2017] Auch Cottbus beschreitet den Weg zur Smart City. Ministerpräsident Dietmar Woidke (SPD) hat jetzt eine Förderung in Aussicht gestellt. mehr...