privatim-Merkblatt «Cloud-spezifische Risiken und Massnahmen»

Öffentliche Organe nehmen beim Bearbeiten von Personendaten immer mehr Dienstleistungen Dritter in Anspruch. Dabei kommen auch immer mehr Cloud-Technologien zum Einsatz.

Die Behörden sind verantwortlich, nicht nur wenn sie Daten selber bearbeiten; sie bleiben es auch, auch wenn sie Daten durch Dritte bearbeiten lassen (Auftragsdatenbearbeitung). Ob eine Auftragsdatenbearbeitung zulässig ist, ist nach den entsprechenden Rechtsgrundlagen (Datenschutzgesetze und spezifische Fachgesetze) zu bestimmen, es ist eine Risikoanalyse zu erstellen und die notwendigen Schutzvorkehren sind zu treffen. Für diese Beurteilung stellen zahlreiche Datenschutzbehörden eigene Merkblätter zur Verfügung.

Ist eine Auftragsdatenbearbeitung zulässig und möglich und sollen Cloud-Technologien verwendet werden, sind zusätzlich die Cloud-spezifischen Risiken zu beurteilen und die zur Minimierung dieser Risiken notwendigen Massnahmen vorzukehren

Für diese Situation stellt privatim ein Merkblatt zur Verfügung. Der Einsatz von Cloud-Lösungen ist im konkreten Einzelfall zu beurteilen. . Es muss eine umfassende Risikoanalyse durchgeführt werden, die neben der Art der Datenbearbeitung insbesondere auch die Fragen des anwendbaren Rechts und des Gerichtsstandes, des Orts der Datenbearbeitung (Serverstandort) und des Geheimnisschutzes (Verschlüsselung, Schlüsselmanagement) in den Fokus stellt.

Das Merkblatt soll helfen zu beurteilen, wie hoch die Cloud-spezifischen Risiken sind, damit dann in einer Gesamtbeurteilung entschieden werden kann, ob die Verwendung von Cloud-Technologien bei einer bestimmten behördlichen Datenbearbeitung als vertretbar erscheint oder ob aufgrund der nicht zu beseitigenden oder nicht reduzierbaren Risiken darauf zu verzichten ist. Der Entscheid ist transparent zu dokumentieren, so dass das verantwortliche öffentliche Organ (nicht der IT-Dienstleister) die Risiken kennt und das verbleibende Restrisiko bewusst übernehmen und verantworten kann.

Verwandte Artikel

Wer war das? Biometrische... Wenn jemand per Internet eine Überweisung tätigt, hinterlässt er einzigartige Spuren. Anhand solcher biometrischer Merkmale identifiziert eine diskrete Firma im Auftrag von Banken Millionen von Nutzern. Die
Digitaler Staat braucht D... Bern, den 22. Juni 2018 Die kantonalen Datenschutzbeauftragten fordern massiv mehr Mittel Die Digitalisierung der öffentlichen Verwaltung soll forciert werden. Diese Entwicklung ist technikgetrieben. Die Rechte und
Das revidierte Datenschut... Es ist bedauerlich, dass der Bundesrat nicht den Mut gehabt hat, souverän einen schweizerischen Weg zu suchen und einfache Datenschutzregeln aufzustellen. Beat Rudin, Bruno Baeriswyl und Claudia
Snowden’s new app t... Your digital security, any sufficiently paranoid person will remind you, is only as good as your physical security. The world’s most sensitive users of technology, like dissidents, activists, or journalists in
Keine Bekanntgabe von med... Die Einführung von Fallkostenpauschalen zur Abrechnung von Spitalleistungen ab 2012 darf nicht zu einer Aushöhlung des Arzt- und Patientengeheimnisses führen. privatim, die Vereinigung der schweizerischen Datenschutzbeauftragten, verlangt,
Umgang mit Datenschutz in... Der ehemalige Bundespräsident Joachim Gauck warnt davor, sich von den technologischen Entwicklungen überrollen zu lassen. Der digitale Wandel müsse vom Menschen gestaltet werden. Der Tagesspiegel
Why Should Americans Care... We are all in this together, argues Tim Edgar in this opinion piece: In the digital age, the only way to protect the privacy of Americans is to protect
Jetzt geht es um die Wurs... Nicht nur im E-Mail-Postfach: In Salzburg sorgt auch ein Metzger mit einem Datenschutzhinweis für Lacher. 29.05.18, heute.at  
Digitalisierung und mediz... Überlebt das medizinische Berufsgeheimnis die Digitalisierung? privatim schlägt Lösungen vor Viele Ärzte und Spitäler lagern die elektronische Verwaltung, Archivierung und Bearbeitung ihrer Patientendaten an Dritte aus. Mit
Verwendung der AHV-Versic... Generelle Verwendung der AHV-Versichertennummer Aus Sicht des Datenschutzes ist die Verwendung der AHV-Versichertennummer in den Kantonen als genereller Personenidentifikator durch eine sorgfältige Gesetzgebungsarbeit demokratisch zu legitimieren. Der