WKO_Sicherheitshandbuch

IT Sicherheitshandbuch für KMU
Unternehmen, die den Umstieg auf Cloud Computing planen, müssen sich des Risikos bewusst sein,
dass in der Cloud die Daten und IT-Ressourcen geographisch verteilt sind. Cloud-Nutzerinnen und
-Nutzer haben daher oft keine Ahnung, wo sich ihre Daten befinden und ihre Dienstleistungen
erbracht werden. Das Ausmaß der Gefährdungspotenziale ist dabei von dem in Anspruch genommenen
Servicemodell abhängig.
V.a. jetzt, nach der Entscheidung des Europäischen Gerichtshofs (EuGH) in der Sache Max Schrems
gegen Facebook Irland, in welcher der EuGH das Safe Harbor-Abkommen zwischen der Europäischen
Union und den USA für ungültig erklärt hat und eine Datenübermittlung oder –überlassung
ins Ausland noch schwieriger geworden ist, bieten verschiedene Cloud-Anbieter an, Daten ausschließlich
in bestimmten Cloud-Rechenzentren innerhalb der EU zu verarbeiten. Auch in diesem
Fall besteht keine völlige Sicherheit vor unbefugten Zugriffen, da US-Unternehmen gesetzlich dazu
verpflichtet sind, auf richterliche Anordnung die Daten ihrer Kunden an amerikanische Sicherheitsbehörden
zu übermitteln. Gerade aber im Fall USA ist nach Ansicht des EuGH durch die NSA
Überwachungsmöglichkeiten und durch das Überwachungsprogramm PRISM ein entsprechend
adäquater Datenschutz für personenbezogene Daten nicht mehr gegeben. Einerseits werde über
den Zweckbindungsgrundsatz der Übermittlung und weitergehenden Verarbeitung hinausgegangen;
die amerikanischen Behörden hätten unmittelbaren Zugriff und könnten die personenbezogenen
Daten derart verarbeiten, dass dies nicht mehr mit der Zielsetzung der Übermittlung vereinbar
und daher unverhältnismäßig sei. Andererseits seien für Betroffene keine administrativen
oder gerichtlichen Rechtsmittel verfügbar, dh sie haben weder Zugang zu den sie betreffenden
Daten, noch die Möglichkeit deren Richtigstellung oder Löschung zu verlangen.
Die EU-Kommission verhandelte mit den USA bereits seit Jahren an einer überarbeiteten Version
des Safe Harbor-Abkommens, diese Verhandlungen haben nun natürlich auch das EuGH Urteil zu
berücksichtigen und einzubinden.
Betroffenen Unternehmen ist nun dringend anzuraten zu prüfen, auf welcher Rechtsgrundlage der
Austausch personenbezogener Daten mit den USA derzeit abgewickelt wird um feststellen zu
können, ob etwaig ein Fall einer genehmigungsfreie Ausnahme vorliegt (z.B. zur Erfüllung von
eindeutig im Interesse des Betroffenen abgeschlossenen Verträgen notwendig, Standardvertragsklausel
wurden verwendet – siehe auch www.wko.at – „Datentransfer in die USA: Safe Harbor
ungültig“). Weiters erscheint es sinnvoll zu prüfen, ob bereits eine zweifelsfreie Zustimmung zur
konkreten Datenübermittlung/-überlassung eingeholt wurde.
20