privatim-Merkblatt «Cloud-spezifische Risiken und Massnahmen»

Öffentliche Organe nehmen beim Bearbeiten von Personendaten immer mehr Dienstleistungen Dritter in Anspruch. Dabei kommen auch immer mehr Cloud-Technologien zum Einsatz.

Die Behörden sind verantwortlich, nicht nur wenn sie Daten selber bearbeiten; sie bleiben es auch, auch wenn sie Daten durch Dritte bearbeiten lassen (Auftragsdatenbearbeitung). Ob eine Auftragsdatenbearbeitung zulässig ist, ist nach den entsprechenden Rechtsgrundlagen (Datenschutzgesetze und spezifische Fachgesetze) zu bestimmen, es ist eine Risikoanalyse zu erstellen und die notwendigen Schutzvorkehren sind zu treffen. Für diese Beurteilung stellen zahlreiche Datenschutzbehörden eigene Merkblätter zur Verfügung.

Ist eine Auftragsdatenbearbeitung zulässig und möglich und sollen Cloud-Technologien verwendet werden, sind zusätzlich die Cloud-spezifischen Risiken zu beurteilen und die zur Minimierung dieser Risiken notwendigen Massnahmen vorzukehren

Für diese Situation stellt privatim ein Merkblatt zur Verfügung. Der Einsatz von Cloud-Lösungen ist im konkreten Einzelfall zu beurteilen. Es muss eine umfassende Risikoanalyse durchgeführt werden, die neben der Art der Datenbearbeitung insbesondere auch die Fragen des anwendbaren Rechts und des Gerichtsstandes, des Orts der Datenbearbeitung (Serverstandort) und des Geheimnisschutzes (Verschlüsselung, Schlüsselmanagement) in den Fokus stellt.

Das Merkblatt soll helfen zu beurteilen, wie hoch die Cloud-spezifischen Risiken sind, damit dann in einer Gesamtbeurteilung entschieden werden kann, ob die Verwendung von Cloud-Technologien bei einer bestimmten behördlichen Datenbearbeitung vertretbar erscheint oder ob aufgrund der nicht zu beseitigenden oder nicht reduzierbaren Risiken darauf zu verzichten ist. Der Entscheid ist transparent zu dokumentieren, so dass das verantwortliche öffentliche Organ (nicht der IT-Dienstleister) die Risiken kennt und das verbleibende Restrisiko bewusst übernehmen und verantworten kann.

Merkblatt «Cloud-spezifische Risiken und Massnahmen»

Verwandte Artikel

Vernehmlassung Bundesgese... Der Entwurf des Bundesgesetzes über Geldspiele vermag den rechtstaatlichen Anforderungen aus datenschutzrechtlicher Sicht nicht in allen Bereichen zu genügen: Die Tragweite der Datenbearbeitungen sind zu wenig klar
Google Street View Google Street View: Widerspruchsrecht auch für die Schweizer Bevölkerung Die Bildaufnahmen für Google Street View verstossen gegen das schweizerische Datenschutzrecht. Privatim, die Vereinigung der schweizerischen Datenschutzbeauftragten, fordert
Cloud Computing im Schulb... Microsoft passt Vertragsbedingungen für Bildungsinstitutionen an privatim hat einen Durchbruch bei der Umsetzung der datenschutzrechtlichen Vorgaben bei Standardprodukten im Cloudbereich erreicht: Microsoft passt seine Vertragsbedingungen für Bildungsinstitutionen
Was Sie über die Zeitenw... Ab 25. Mai gilt die neue Datenschutzverordnung der EU, die den Bürgern die Kontrolle über ihre persönlichen Daten im digitalen Raum zurückgeben will. Was bringt die Reform
digma 2011.4 Aus den Datenschutzbehörden Die News in digma 2011.4 berichten über die neuen Datenschutzorgane, welche die EU-Datenschutzrechts-Revision mit sich bringen könnte, und führen die Bedenken des DSB des
Verwendung der AHV-Nummer... In über 14’000 staatlichen Datenbanken wird heute als zusätzlicher Personenidentifikator die AHV-Nummer (AHVN13) eingesetzt. Ein Gutachten der ETH Zürich zeigt, dass die damit verbundenen Risiken für den
Videoüberwachung Videoüberwachung braucht klare Grenzen Die Ausbreitung der Videoüberwachung beeinträchtigt zunehmend die Privatheit der Bürgerinnen und Bürger. privatim, die Vereinigung der schweizerischen Datenschutzbeauftragten, verlangt, dass klare Grenzen eingehalten
Umgang mit Datenschutz in... Der ehemalige Bundespräsident Joachim Gauck warnt davor, sich von den technologischen Entwicklungen überrollen zu lassen. Der digitale Wandel müsse vom Menschen gestaltet werden. Der Tagesspiegel
digma 2013.2 Aus den Datenschutzbehörden Die News in digma 2013.2 können endlich die Inbetriebnahme des Schengener Informationssystems der zweiten Generation verkünden, berichten unter anderem von einem nicht unproblematischen Entscheid
digma 2012.4 Aus den Datenschutzbehörden Die News in digma 2012.4 enthalten frohe Neuigkeiten zum Schengener Informationssystem der zweiten Generation – und weniger erfreuliche Nachrichten zur Budgetkürzung im Kanton Genf.