Newsfeed abonnieren
Bis vor kurzem musste jedes Unternehmen die benötigte IT-Infrastruktur (z. B. PCs, Datenspeicher,...) selbst anschaffen, die erforderlichen Dienste (z. B. Datenbanken, Rechenleistung ...) darauf selbst bereitstellen und die gewünschten Anwendungen (z. B. Office, Buchhaltung,...) selbst beschaffen und betreiben.
Heute besteht die Möglichkeit, diese Aufgaben an externe Dienstleister auszulagern. Je nach Bedarf kann die Infrastruktur der Dienstleister genutzt, auf deren angebotene Dienste zugegriffen oder deren Software online verwendet werden. Der Zugang zu diesen Leistungen erfolgt meist über das Internet, sodass der Auftraggeber in der Regel nicht weiß, wo genau seine Leistungen erbracht und seine Daten gespeichert sind (daher Cloud Computing).
Ist Cloud Computing datenschutzrechtlich zulässig?
Das Datenschutzgesetz 2000 (DSG) schützt sogenannte personenbezogene Daten; das sind Angaben über Betroffene, deren Identität bestimmt oder bestimmbar ist. Besonderen Schutz genießen sensible Personendaten betreffend ihre rassische und ethnische Herkunft, politische Meinung, Gewerkschaftszugehörigkeit, religiöse und philosophische Überzeugung, Gesundheit und ihr Sexualleben.
Der Anwendungsbereich des DSG ist weit. Unter dem Überbegriff „Verwenden von Daten“ kennt das DSG einerseits die Verarbeitung von Daten (u. a. das Ermitteln, Erfassen, Speichern, Aufbewahren, Ordnen, Vergleichen, Verändern, Verknüpfen, Vervielfältigen, Abfragen, Ausgeben, Benützen, Überlassen, Sperren, Löschen, Vernichten sowie weitere Arten der Datenhandhabung) und andererseits das Übermitteln von Daten an Dritte. Aufgrund dieser weiten Umschreibung unterliegen die typischen Anwendungen des Cloud Computing in Österreich meist dem DSG.
Neben den bei jeder Datenanwendung zu erfüllenden gesetzlichen Voraussetzungen sind beim Cloud Computing folgende Regelungen hervorzuheben:
- Daten dürfen nur für festgelegte, eindeutige und rechtmäßige Zwecke ermittelt und in diesem Sinne weiterverwendet werden.
- Daten dürfen nur solange aufbewahrt werden, als dies für die Erreichung des Zwecks erforderlich ist.
- Auftraggeber dürfen bei ihren Datenanwendungen nur Dienstleister in Anspruch nehmen, wenn diese ausreichende Gewähr für eine rechtmäßige und sichere Datenverwendung bieten.
- Mitarbeiter des Dienstleisters müssen einer Verschwiegenheitspflicht unterliegen.
- Der Dienstleister darf nur mit Zustimmung des Auftraggebers seinerseits Dienstleister beiziehen.
- Die Übermittlung und Überlassung von Daten an Staaten außerhalb des europäischen Wirtschaftsraumes ist nur bei angemessenem Datenschutzniveau zulässig. Der Auftraggeber muss daher wissen, wo seine Daten gespeichert werden. Mitunter ist eine Genehmigung der Datenschutzkommission einzuholen.
Die rechtliche Verantwortung trägt – auch für Verfehlungen des Dienstleisters – der Auftraggeber. Es ist daher empfehlenswert und zum Teil auch gesetzlich vorgeschrieben, die Einhaltung u. a. dieser Bestimmungen durch den Dienstleister vertraglich (schriftlich!) abzusichern und einen Speicherort der Daten zu vereinbaren. Weiters hat sich der Auftraggeber von der Einhaltung der Vorschriften seitens des Dienstleisters zu überzeugen.
HINWEIS: Dieser Artikel gibt die Rechtslage zusammengefasst wieder und kann eine rechtliche Beratung im Einzelfall nicht ersetzen.
Mag. Thomas Hofmann LL.M. ist selbständiger Rechtsanwalt und Partner bei der PALLAS Rechtsanwälte Partnerschaft. Die Kanzlei berät und vertritt klein- und mittelständische Unternehmen im Software- und IT-Umfeld, im Vertragsrecht der Kunden- und Lieferantenbeziehungen sowie in der Unternehmensorganisation.
Hier gratis downloaden!
1/2012
7/2011
Dunja Koelwel ist freie Journalistin in München. Die studierte Juristin arbeitet für Verlage und Agenturen und betreut vor allem die Themen Internet und Business-Software aus einem strategisch- wirtschaftlichen Blickwinkel. 