Die DSGVO kurz erklärt, für alle, die die Cloud nutzen

Modul 1: Warum eine europäische Cloud? · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie die Rollen und Pflichten aus der DSGVO benennen, die bei der Nutzung eines Clouddienstes eine Rolle spielen, und erklären, warum Sie verantwortlich bleiben, auch wenn die Daten bei einem anderen Anbieter liegen.

Kernbegriffe: DSGVO (GDPR), personenbezogene Daten, Verarbeiten, Verantwortlicher, Auftragsverarbeiter, Unterauftragsverarbeiter, Grundsätze (Art. 5), Rechenschaftspflicht, Auftragsverarbeitungsvertrag (Art. 28), Sicherheit der Verarbeitung (Art. 32), Übermittlung (Kapitel V), Datenschutz-Aufsichtsbehörde, Bussgelder (Art. 83)

Warum die DSGVO hier plötzlich eine Rolle spielt

Die DSGVO (Datenschutz-Grundverordnung, auf Englisch GDPR) ist eine europäische Verordnung: Verordnung (EU) 2016/679. Sie gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Ländern. In den Niederlanden übt die Autoriteit Persoonsgegevens (AP) die Aufsicht aus; in jedem anderen EU-Land gibt es eine eigene Aufsichtsbehörde. In Deutschland ist das die Datenschutz-Aufsichtsbehörde Ihres Bundeslandes, für Bundesbehörden und Telekommunikationsanbieter die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI).

Sie denken vielleicht: Die DSGVO betrifft grosse Unternehmen mit Kundendatenbanken. Aber auch Bakkerij De Korrel fällt darunter. Im E-Mail-Postfach stehen Bestellungen mit Namen, Adressen und Telefonnummern. In den Online-Ordnern liegen Dienstpläne, Gehaltsabrechnungen und eine Kopie eines Ausweisdokuments eines neuen Mitarbeiters. Im Kalender stehen Kundennamen bei Lieferterminen. Das sind alles personenbezogene Daten: alle Informationen über eine identifizierte oder identifizierbare Person (Art. 4 Nr. 1). Und Speichern, Versenden per E-Mail, Teilen und Löschen sind alles Verarbeitungen (Art. 4 Nr. 2).

Eine Ausnahme: Was Sie rein privat tun, wie Ihre eigenen Familienfotos, fällt nicht unter die DSGVO (die sogenannte "Haushaltsausnahme", Art. 2 Abs. 2 lit. c). Sobald es um Ihre Arbeit, Ihr Unternehmen oder Ihren Verein geht, gilt die DSGVO jedoch.

Dies ist eine Erläuterung, keine Rechtsberatung.

Drei Rollen: Wer ist wer?

Die wichtigste Erkenntnis: Die Verantwortung zieht nicht mit den Daten um. Die Bäckerei bleibt Verantwortlicher, auch wenn die Daten bei einem Clouddienst liegen. Verspricht der Clouddienst etwas und geht etwas schief, muss die Bäckerei trotzdem nachweisen können, dass sie eine vernünftige Wahl getroffen und gute Vereinbarungen festgelegt hat. Das nennt man die Rechenschaftspflicht (Art. 5 Abs. 2 und Art. 24).

Achtung: Ein Clouddienst ist nicht immer nur Auftragsverarbeiter. Nutzt der Anbieter Ihre Daten auch für eigene Zwecke, etwa Produktentwicklung, Werbung oder das Training eigener Systeme, dann ist er für diesen Teil selbst Verantwortlicher. Das ist einer der Punkte, die Sie in den Nutzungsbedingungen und im Auftragsverarbeitungsvertrag prüfen (Lektion 9.2).

Die Grundsätze, die bei der Cloud eine Rolle spielen

Artikel 5 nennt die Grundsätze, denen jede Verarbeitung entsprechen muss. Für die Wahl eines Clouddienstes sind diese am wichtigsten:

• Zweckbindung: Sie nutzen Daten nur für den Zweck, für den Sie sie erhoben haben. Ein Dienst, der Ihre Kundendaten für eigene Zwecke nutzt, steht damit im Widerspruch.
• Datenminimierung: nicht mehr speichern als nötig. Ein Umstieg ist ein guter Zeitpunkt zum Aufräumen (Lektion 3.2).
• Speicherbegrenzung: nicht länger speichern als nötig. Denken Sie an alte Bewerbungsschreiben in einem Postfach.
• Integrität und Vertraulichkeit: angemessene Sicherheit gegen Verlust, Diebstahl und unbefugten Zugriff. Das wird in Artikel 32 konkretisiert: Sie treffen Massnahmen, die dem Risiko angemessen sind, wie Verschlüsselung, Zugriffsverwaltung, Wiederherstellung nach einer Störung und regelmässiges Testen.

Vier Pflichten, denen Sie bei einem Umstieg begegnen

1. Einen Auftragsverarbeiter wählen, der ausreichende Garantien bietet (Art. 28 Abs. 1). Sie müssen also prüfen, wie der Anbieter die Sicherheit gewährleistet und wo er die Daten verarbeitet. Das tun Sie in Modul 2.
2. Einen Auftragsverarbeitungsvertrag abschliessen (Art. 28 Abs. 3). Darin stehen verpflichtende Punkte: was verarbeitet wird, Weisungen, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Unterstützung bei Datenpannen und was mit den Daten geschieht, wenn Sie aufhören. Das behandeln wir in Lektion 9.2.
3. Ein Verzeichnis von Verarbeitungstätigkeiten führen (Art. 30). Eine Liste Ihrer Verarbeitungen: welche Daten, warum, mit wem geteilt, wie lange gespeichert. Nach einem Umstieg passen Sie die Empfänger und den Speicherort an (Lektion 9.3).
4. Regeln für Übermittlung ausserhalb des EWR befolgen (Kapitel V, Art. 44 bis 49). Gehen Daten in ein Land ausserhalb des Europäischen Wirtschaftsraums, ist das nur zulässig, wenn dieses Land ein angemessenes Schutzniveau bietet (ein Angemessenheitsbeschluss, Art. 45) oder mit zusätzlichen Garantien wie Standardvertragsklauseln (Art. 46). Darum geht es in Lektion 1.4.

Was passiert, wenn etwas schiefgeht?

Bei einer Datenpanne (zum Beispiel ein gehacktes Konto mit Kundendaten) muss der Verantwortliche das innerhalb von 72 Stunden der Aufsichtsbehörde melden, sofern nicht wahrscheinlich kein Risiko besteht (Art. 33). Der Auftragsverarbeiter muss den Verantwortlichen "unverzüglich" informieren (Art. 33 Abs. 2). Deshalb steht in einem guten Auftragsverarbeitungsvertrag, wie schnell der Anbieter Sie warnt.

Die Aufsichtsbehörde kann Bussgelder verhängen. Das Maximum liegt bei den schwersten Verstössen bei 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist (Art. 83 Abs. 5). Für kleine Organisationen ist das Bussgeld selten das grösste Risiko. Das eigentliche Risiko ist der Schaden für Kunden und Mitarbeiter sowie der Vertrauensverlust.

Warum das Ihre Cloud-Wahl betrifft

Die DSGVO verbietet die Nutzung US-amerikanischer Clouddienste nicht. Sie müssen jedoch erklären können, warum Ihre Wahl verantwortbar ist: welche Daten, welche Risiken, welche Vereinbarungen. Je sensibler die Daten (Gesundheit, Kinder, Finanzen, Personalakten), desto schwerer wiegt diese Abwägung. Für eine Bäckerei ist das überschaubar; für eine Physiotherapiepraxis oder eine Schule wiegt es deutlich schwerer. Ein Dienst, der im EWR ansässig ist, im EWR verarbeitet und keine Unterauftragsverarbeiter ausserhalb des EWR hat, macht diese Abwägung deutlich einfacher, weil die Übermittlungsregeln dann nicht greifen.

In der Praxis: So sieht es bei einem Anbieter aus

Ein Anbieter, der geschäftlich genutzt wird, sollte einen Auftragsverarbeitungsvertrag und eine Liste der Unterauftragsverarbeiter haben. Bei WebOké steht in den häufig gestellten Fragen der Nextcloud-Anleitung, dass Sie einen Auftragsverarbeitungsvertrag abschliessen, wenn Sie Nextcloud geschäftlich nutzen und personenbezogene Daten anderer darin speichern. Bei anderen Anbietern finden Sie Ähnliches meist unter "Auftragsverarbeitungsvertrag", "Data Processing Agreement (DPA)" oder in den rechtlichen Dokumenten am Seitenende.

Zusammenfassung

• Auch eine kleine Organisation verarbeitet personenbezogene Daten in E-Mail, Kalender und Dateien und fällt damit unter die DSGVO.
• Sie sind Verantwortlicher; der Clouddienst ist Auftragsverarbeiter; seine Dienstleister sind Unterauftragsverarbeiter.
• Die Verantwortung zieht nicht mit um: Sie müssen einen Auftragsverarbeiter mit ausreichenden Garantien wählen und das erklären können.
• Wichtige Artikel: 5 (Grundsätze), 28 (Auftragsverarbeiter und Auftragsverarbeitungsvertrag), 30 (Verzeichnis), 32 (Sicherheit der Verarbeitung), 33 (Datenpanne innerhalb von 72 Stunden), 44 bis 49 (Übermittlung).
• Daten, die innerhalb des EWR bleiben, vereinfachen die Abwägung, weil die Übermittlungsregeln dann nicht gelten.

Quiz

Aufgabe

Aufgabe E1.2: Ihre Rollen und Daten. Erstellen Sie eine kurze Liste der personenbezogenen Daten, die Ihre Organisation in der Cloud gespeichert hat (E-Mail, Kalender, Dateien, Chat). Geben Sie für jede Art an, wer Verantwortlicher ist, wer Auftragsverarbeiter, und ob sensible Daten darunter sind.

Weiterführende Informationen

Die Schritte in diesen Artikeln gelten für die Dienste von WebOké; bei anderen Anbietern funktioniert es vergleichbar.

• Nextcloud-Anleitung 15.13: Häufig gestellte Fragen zu Sicherheit und Datenschutz
• Nextcloud-Anleitung 3.1: Wie sichert WebOké Ihre Nextcloud ab?
• Verordnung (EU) 2016/679 (DSGVO), Artikel 4, 5, 24, 28, 30, 32, 33, 44 bis 49 und 83, auf EUR-Lex
• Autoriteit Persoonsgegevens (die niederländische Aufsichtsbehörde), Themen "Verwerkersovereenkomst" und "Datalek melden": https://www.autoriteitpersoonsgegevens.nl. Für Ihre eigene Situation wenden Sie sich an die Datenschutz-Aufsichtsbehörde Ihres Bundeslandes.