1 Cloud Computing und Auftragsdatenverarbeitung

Cloud Computing wird als ein wesentlicher Zukunftstrend der Datenverarbeitung angesehen.1 Unter anderem ermöglicht die-ser technologische Trend es auch Kleinunternehmern und sogar Verbrauchern, per Internet hochkarätige IT-Dienstleistungen in Anspruch zu nehmen. Anders gesagt: Internet und Cloud Com-puting ermöglichen das Outsourcing von Datenverarbeitung für jedermann.

Soweit personenbezogene Daten verarbeitet werden, sind für diese Auslagerungen jedoch die Anforderungen des Datenschutz-rechts zu beachten. Hierfür wird vor allem die datenschutzrecht-liche Auftragsdatenverarbeitung als Lösung angesehen.2 Entspre-

1 BITKOM-Leitfaden Cloud Computing – Evolution in der Technik, Revolu-tion im Business, Oktober 2009, abrufbar unter http://www.bitkom.org/files/documents/BITKOM-Leitfaden-CloudComputing_Web.pdf, S.13 ff.; Hambur-gisches WeltWirtschaftsInstitut, Cloud Computing als Instrument für effizien-te IT-Lösungen, September 2012, abrufbar unter http://www.econstor.eu/bit-stream/10419/64866/1/726593699.pdf, S. 33 ff. (jeweils letzter Abruf 1.2.2014).

2 BITKOM-Leitfaden Cloud Computing (Fn. 1), S. 51 f.; Borges/Adler, in: Bala/Müller (Hrsg.), Der gläserne Verbraucher, 2014, S. 57, 72; Borges/Brennscheidt, in: Borges/Schwenk, Daten- und Identitätsschutz in Cloud Computing, E-Govern-ment und E-Commerce, 2012, S. 43, 62 f.; BSI-Eckpunktepapier – Sicherheitsemp-fehlungen für Cloud Computing Anbieter, Februar 2012, S. 73 f., abrufbar unter https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Mindestanforderun-gen/Eckpunktepapier-Sicherheitsempfehlungen-CloudComputing-Anbieter.pdf?__blob=publicationFile (letzter Abruf 1.2.2014); Plath, in: Plath, Bundesda-tenschutzgesetz, 2013, § 11 Rn. 23.

chend werden in der Praxis Cloud-Dienstleistungen häufig im Wege einer Auftragsdatenverarbeitung erbracht. Dies ist auch sachgerecht, da der Grundgedanke der Auftragsdatenverarbei-tung der Interessenlage beim Cloud Computing entspricht. Der Cloud-Nutzer trifft die Entscheidung über Durchführung und Ausgestaltung der Datenverarbeitung, der Cloud-Anbieter liefert lediglich eine technische Infrastruktur, ohne über die Art der ver-arbeiteten Daten und die Art der Verarbeitung zu entscheiden.

2 Überforderung des Cloud-Nutzers durch Kontrollpflicht

Die gesetzliche Regelung der Auftragsdatenverarbeitung im BDSG führt allerdings für die Inanspruchnahme von IT-Dienst-leistungen, insbesondere beim Cloud-Computing, zu großen Schwierigkeiten, die nach derzeitiger Gesetzeslage kaum über-windbar sind. Nach § 11 Abs. 2 S. 4 BDSG hat sich der Auftrag-geber von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Diese Pflicht wird zutreffend als eine Pflicht zur Kontrolle des Auftragnehmers angesehen,3 die auch eine Kontrolle der techni-schen Maßnahmen vor Ort, d. h. eine Inspektion des Rechenzen-trums und der Rechner, auf denen die Datenverarbeitung statt-findet, einschließt.4

Die Notwendigkeit einer Kontrolle vor Ort ist im Grundsatz richtig.5 Ein Verzicht hierauf würde darauf hinauslaufen, dass

3 Borges/Brennscheidt (Fn.2), S. 65; Brennscheidt, Cloud Computing und Da-tenschutz, 2013, S. 98; Heckmann, jurisPK-Internetrecht, 3. Aufl. 2011, Kap. 9 Rn. 656.1; Weichert, DuD 2010, 679, 683.

4 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier „Datenschutz-rechtliche Lösungen für Cloud Computing“, Oktober 2012, abrufbar unter http://trusted-cloud.de/documents/Datenschutzrechtliche-Loesungen-fuer-Cloud-Computing.pdf, S. 7 f. (letzter Abruf 1.2.2014); Borges/Brennscheidt (Fn.2), S. 43, 65; Heidrich/Wegener, MMR 2010, 803, 806; Schuster/Reichl, CR 2010, 38, 42; Wedde, in: Däubler/Klebe/Wedde/Weichert, Bundesdatenschutzgesetz, 3. Aufl. 2010, § 11 Rn. 29.

5 Borges, in BSI (Hrsg.), Informationssicherheit stärken – Vertrauen in die Zu-kunft schaffen, 2013, S. 11, 19 f.

Prof. Dr. Georg Borges

Inhaber des Lehrstuhls für Bürgerliches Recht, deutsches und internationales Wirtschaftsrecht, insb. IT-Recht an der Ruhr-Universität Bochum

E-Mail: georg.borges@rub.de

Georg Borges

Cloud Computing und Datenschutz

Zertifizierung als Ausweg aus einem Dilemma

Cloud Computing wird datenschutzrechtlich meist als Auftragsdatenverarbeitung durchgeführt. Die dabei erforderliche Kontrolle des Cloud-Anbieters durch den Cloud-Nutzer ist am besten mittels einer datenschutzrechtlichen Zertifizierung des Cloud-Anbieters durchzuführen. Der Beitrag erläutert die Grundlagen und Ziele der datenschutzrechtlichen Zertifizierung von Cloud-Diensten im Konzept der AG „Rechtsrahmen des Cloud Computing“ und im Pilotprojekt „Datenschutz-Zertifizierung von Cloud-Diensten“ des BMWi. Der Verfasser ist Leiter der AG „Rechtsrahmen des Cloud-Computing“ und des Pilotprojekts.

DuD • Datenschutz und Datensicherheit 3 | 2014 165

SCHWERPUNKT

sich die Überprüfung auf die Entgegennahme von Angaben des IT-Dienstleisters beschränkt.6 Dadurch würde aber ein Anreiz für IT-Dienstleister geschaff en, die Durchführung der unter Um-ständen sehr aufwendigen technischen Maßnahmen lediglich zu behaupten, sie aber in der Praxis nicht durchzuführen. Die Si-cherheit der personenbezogenen Daten vor Missbräuchen wäre dann nicht gewährleistet. Die Betroff enen, die bei der Auft rags-datenverarbeitung keinen Einfl uss darauf haben, bei welchem IT-Dienstleister ihre Daten verarbeitet werden, können sich selbst nicht schützen, da sie in keinem Vertragsverhältnis zu dem IT-Dienstleister stehen. Folglich muss das Gesetz sicherstellen, dass der Auft raggeber für die Sicherheit der Datenverarbeitung sorgt.

Diese Pfl icht, nicht zuletzt die Erforderlichkeit einer Kontrolle vor Ort, ist für viele potenzielle Nutzer von IT-Dienstleistungen, insbesondere von Cloud Computing, nicht in zumutbarer Wei-se zu erfüllen.7 Bei kleinen Unternehmen fehlt es meist bereits an der erforderlichen Sachkunde, so dass für diese Kontrolle ein Dienstleister eingeschaltet werden müsste.8 Vor allem aber ist die Kontrollpfl icht, wenn sie durch jeden Nutzer von IT-Dienstleis-tungen durchgeführt wird, häufi g ineffi zient.9 Dies gilt insbeson-dere beim Cloud Computing: Dieselbe Datenverarbeitungsanlage des Cloud-Anbieters müsste durch eine Vielzahl von Cloud-Nut-zern kontrolliert werden, jeder Cloud-Nutzer müsste eine Viel-zahl von Datenverarbeitungsanlagen überwachen.10

3 Lösung: Zertifi zierung von Cloud-Diensten

Zur Lösung dieses Problems sind in der Literatur verschiedene Ansätze diskutiert worden. Der Auft raggeber könnte die Kon-trolle durch unabhängige Dritte, beispielsweise Sachverständi-ge, durchführen lassen.11 Diese stellen dann für den Auft ragge-ber individuell sicher, dass die technischen und organisatorischen Maßnahmen durch den Auft ragnehmer eingehalten werden. Die-ses Vorgehen verursacht aber für jeden Auft raggeber, der eine sol-che individuelle Überprüfung in Auft rag gibt, typischerweise ho-he Kosten.12 und wäre insbesondere beim Cloud Computing in-effi zient, da mehrfach dieselben Techniken und Organisationen, etwa ein Rechenzentrum, überprüft würden.

Teilweise wird vertreten, die Überwachungspfl icht des Auf-traggebers könnte durch eine Selbstkontrolle des Anbieters in Verbindung mit einer umfassenden Dokumentations- und Be-richtspfl icht erfüllt werden.13 Dazu sollen regelmäßige Prüfb e-richte des Auft ragnehmers, die durch den Auft raggeber ausge-

6 Für ausreichend erachten dies allerdings wohl Gola/Schomerus, Bun-desdatenschutzgesetz, 11 Aufl . 2012, § 11 Rn. 21 (Fragebögen als ausreichende Kontrollmaßnahme).

7 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 8; BIT-KOM-Leitfaden Cloud Computing (Fn. 1), S. 52; Gola/Schomerus (Fn.6), § 11 Rn. 21.

8 Brennscheidt (FN.3), S. 103; Schuster/Reichl, CR 2010, 38, 42.9 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 8.10 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 8; Sel-

zer, DuD 2013, 215, 216.11 Borges (Fn. 5), S. 17; Borges/Brennscheidt (Fn. 2), S. 66; Brennscheidt

(Fn.3), S. 104; BSI-Eckpunktepapier (Fn. 2), S. 63; Heidrich/Wegener, MMR 2010, 803, 806; Weichert, DuD 2010, 679, 685; ohne speziellen Bezug zum Cloud Com-puting auch Gola/Schomerus (Fn.6), § 11 Rn. 21.

12 Borges/Brennscheidt (Fn.2), S. 66; Brennscheidt (Fn.3), S. 104.13 BITKOM-Leitfaden Cloud Computing (Fn. 1), S. 52; Eckhardt, in: Köhler-

Schute (Hrsg.), Cloud Computing: Neue Optionen für Unternehmen, 2011, S. 187; Heidrich/Wegener, MMR 2010, 803, 806; Niemann/Hennrich, CR 2010, 686, 691; Schuster/Reichl, CR 2010, 38, 42; Stögmüller, in: Leupold/Glossner, IT-Recht, 2. Aufl . 2011, Teil 5, Rn. 353.; a.A. Brennscheidt (Fn.3), S. 105.

wertet werden können, ausreichen.14 Der Auft raggeber soll dann anhand der Prüfb erichte in die Lage versetzt werden, nachzu-weisen, dass die technischen und organisatorischen Maßnah-men beim Auft ragnehmer ordnungsgemäß ergriff en wurden. Dies reicht nach überwiegender Ansicht aber nicht aus, da keine unabhängige Kontrolle vor Ort erfolgt.15

Als beste Lösung wird daher verbreitet die Erfüllung der Kon-trollpfl icht durch eine Zertifi zierung angesehen.16 Danach erfolgt die in § 11 Abs. 2 S. 4 BDSG gebotene Kontrolle durch einen un-abhängigen Dritten, der für die Cloud-Nutzer die Überprüfung vornimmt und die Einhaltung der rechtlich gebotenen Maßnah-men durch ein Zertifi kat oder Testat bezeugt.17

4 Das Konzept der AG „Rechtsrahmen des Cloud Computing“

In der aktuellen Diskussion zur Zertifi zierung von IT-Dienstleis-tungen kommt dem Konzept der Arbeitsgruppe „Rechtsrahmen des Cloud Computing“ große Bedeutung zu, das im Oktober 2012 unter dem Titel „Datenschutzrechtliche Lösungen für Cloud Compu-ting“ Ein rechtspolitisches Th esenpapier der AG Rechtsrahmen des Cloud Computing“ veröff entlicht wurde.18

Die AG „Rechtsrahmen des Cloud Computing“ ist eine Arbeits-gruppe im Rahmen des Kompetenzzentrums Trusted Cloud, die im Auft rag des Bundesministeriums für Wirtschaft und Techno-logie (BMWi) rechtliche Rahmenbedingungen des Cloud Com-puting untersucht. Die Arbeitsgruppe und das Kompetenzzen-trum Trusted Cloud (KTC) insgesamt sind Teil der Aktivitäten des BMWi im Technologieprogramm Trusted Cloud.19

Die Arbeitsgruppe umfasst Mitglieder der im Technologiepro-gramm Trusted Cloud geförderten Projekte sowie weitere Exper-ten im Recht des Cloud Computing, die 2013 bestellt wurden.

Einen wesentlichen Arbeitsbereich der AG „Rechtsrahmen des Cloud Computing“ stellen die datenschutzrechtlichen Herausfor-derungen des Cloud Computing dar, die zu Recht als Schlüssel für die erfolgreiche Nutzung des Cloud Computing angesehen werden.

Das Th esenpapier der AG „Rechtsrahmen des Cloud Compu-ting“ beschreibt in zehn Th esen das Konzept einer datenschutz-rechtlichen Zertifi zierung einschließlich der rechtlichen Bedeu-

14 BITKOM-Leitfaden Cloud Computing (Fn. 1), S. 52; Heidrich/Wegener, MMR 2010, 803, 806; Niemann/Hennrich, CR 2010, 686, 691; Schuster/Reichl, CR 2010, 38, 42.

15 Borges (Fn. 5), S. 19; Borges/Brennscheidt (Fn.2), S. 66 f.; Brennscheidt (Fn.3), S. 105; Vander, K&R 2010, 686, 691; Weichert, DuD 2010, 679, 683.

16 Arbeitskreise Technik und Medien, Orientierungshilfe – Cloud Compu-ting, September 2011, S. 9, abrufbar unter http://www.datenschutz-bayern.de/technik/orient/oh_cloud.pdf (letzter Abruf 1.2.2014); Borges/Brennscheidt (Fn. 2), S. 67 f.; Brennscheidt (Fn. 3), S. 105 ff .; Eckhardt (Fn.13), S. 187; Heckmann, in: Hill/Schliesky (Hrsg.), Innovationen im und durch Recht, 2010, S. 107; Henn-rich, CR 2011, 546, 552; Rechtliche Anforderungen an Cloud Computing – Siche-re Cloud-Dienste, November 2011, S. 40, abrufbar unter http://www.eurocloud.de/wp-content/blogs.dir/5/fi les/anford_recht_beicloudcomputing_v1.pdf (letz-ter Abruf 1.2.2014); Marnau/Schirmer/Schlehan/Schunter, DuD 2011, 333, 336; Reindl, in: Taeger/Wiebe (Hrsg.), Inside the Cloud, 2009, S. 449; Schröder/Haag, ZD 2011, 147, 149; Selzer, DuD 2013, 215, 218 f.; Weichert, DuD 2010, 679, 683.

17 Borges (Fn.5), S. 19 f.; Borges/Brennscheidt(Fn.2), S. 67 f.; Brennscheidt (Fn.3), S. 105 f.

18 Das Thesenpapier ist abrufbar unter: http://trusted-cloud.de/documents/Datenschutzrechtliche-Loesungen-fuer-Cloud-Computing.pdf (letzter Abruf 1.2.2014).

19 Weitergehende Informationen und Dokumente zum Technologiepro-gramm Trusted Cloud unter http://www.trusted-cloud.de (letzter Abruf 1.2.2014).

166 DuD • Datenschutz und Datensicherheit 3 | 2014

SCHWERPUNKT

tung des Testats (Zertifi kats) und der wesentlichen Merkmale des Zertifzierungsverfahrens.

Das Konzept sieht im Kern vor, dass der Auft raggeber, d. h. der Cloud-Nutzer, die Pfl icht zur Überprüfung des Auft ragneh-mers, d. h. des Cloud-Anbieters, dadurch erfüllen kann, dass er sich vom Cloud-Anbieter ein Testat (Zertifi kat) vorlegen lässt, das die Gewährleistung der datenschutzrechtlichen Anforderungen durch den Cloud-Anbieter bestätigt (Th ese 5)20.

Das Th esenpapier verwendet in der deutschen Fassung den Be-griff des „Testats“, um dieses Zertifi kat von Gütesiegeln abzugren-zen. Als Synonym wird teilweise der Begriff des „Compliance-Zertifi kats“ verwendet, mit dem deutlich gemacht wird, dass die Erfüllung gesetzlicher, konkret: datenschutzrechtlicher, Anfor-derungen bestätigt wird.

Nach Auff assung der Arbeitsgruppe ist es eine entscheidende Grundlage für das Gelingen eines solchen Zertifi zierungsverfah-rens, dass die Zertifi zierung von einer fachlich geeigneten und unabhängigen Zertifi zierungsstelle durchgeführt wird. Wesent-lich ist weiterhin, dass die Prüfungen und Zertifi zierungen auf der Grundlage allgemeiner, anerkannter Kriterien erfolgen, die für alle Zertifi zierungsvorgänge gleichermaßen gelten. Entspre-chend sieht das Konzept vor, dass die Zertifi zierung nur durch ei-ne unabhängige Stelle erfolgen kann (vgl. Th ese 5)21, die eine hin-reichende fachliche und persönliche Eignung aufweist (vgl. Th e-se 8)22. Zertifi zierung wird im Konzept als eine Tätigkeit verstan-

20 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 11.21 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 12.22 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 17.

den, die im Rahmen einer privaten Wirtschaft stätigkeit, insbe-sondere also auch durch Unternehmen, erfolgen kann (Th ese 8)23.

Die Eignung der zertifi zierenden Stelle soll durch eine Akkredi-tierung nachgewiesen werden müssen (Th ese 8)24. Die ordnungsge-mäße Durchführung der Zertifi zierung soll darüber hinaus durch eine zivilrechtliche Haft ung der Zertifi zierungsstelle für fehlerhaf-te Prüfungen und Zertifi zierungen gesichert werden (Th ese 8)25.

Nach dem Konzept sollen auch die Voraussetzungen der Ak-kreditierung geregelt werden, um einheitliche Standards im ge-samten Binnenmarkt zu gewährleisten (Th ese 9)26. Um die Ein-heitlichkeit der Anforderungen an die Zertifi zierung zu sichern, sollen die Prüfk riterien für die Erteilung des Zertifi kats auf ge-setzlicher Grundlage für den europäischen Binnenmarkt einheit-lich festgesetzt werden (Th ese 7)27.

Das Konzept sieht ausdrücklich eine gesetzliche Regelung der Zertifi zierung, ihrer Voraussetzungen und ihrer Wirkung, die ei-gene Prüfungspfl icht durch Vertrauen auf die Zertifi zierung erfül-len zu können, vor (Th ese 5)28. Diese Regelung soll nach dem Kon-zept der AG „Rechtsrahmen des Cloud Computing“ in der euro-päischen Datenschutz-Grundverordnung erfolgen, damit im ge-samten Binnenmarkt einheitliche Anforderungen an die Zertifi -zierungen von IT-Dienstleistungen geschaff en werden (Th ese 7)29.

23 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 17.24 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 18.25 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 18.26 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 19 f.27 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 15.28 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 13.29 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 15 f.

BIG DATA – SMART BUSINESSDer konsequente Einsatz von Big Data-Analytics macht Unternehmen erfolgreicher. Wie Ihr Unternehmen von Big Data profitieren kann, erfahren Sie auf dem BITKOM Big Data Summit am 26. März 2014.

BITKOM Big Data Summit 26. März 2014 | Congress Park Hanau

Programm und Ticketshop unterwww.bitkom-bigdata.de | #BDS14

SCHWERPUNKT

5 Das Pilotprojekt „Datenschutz-Zertifizierung

von Cloud-Diensten“

Das Konzept der AG „Rechtsrahmen des Cloud Computing“ be-schreibt zentrale Elemente eines gesetzlich geregelten Verfahrens zur Zertifizierung von IT-Dienstleistungen, die im Rahmen einer Auftragsdatenverarbeitung erbracht werden. Allerdings besteht erheblicher Bedarf nach einer Konkretisierung dieser Zertifizie-rung. An dieser fehlt es bisher, ebenso an Praxiserfahrung mit ei-nem entsprechenden Zertifizierungsverfahren.

Das Kompetenzzentrum Trusted Cloud hat daher für das BMWi das Pilotprojekt „Datenschutz-Zertifizierung von Cloud-Diensten“ aufgesetzt, das im November 2013 seine Arbeit aufge-nommen hat.30 Im Rahmen des Pilotprojekts, das vorläufig auf ei-ne Dauer bis Frühjahr 2015 ausgelegt ist, sollen auf der Grundlage des Konzepts der AG „Rechtsrahmen des Cloud Computing“ die Einzelheiten einer Datenschutz-Zertifizierung von Cloud-Diens-ten erarbeitet und exemplarisch eine Zertifizierung einzelner ge-eigneter Cloud-Dienste durchgeführt werden. Am Pilotprojekt sind ca. 25 Institutionen beteiligt, insbesondere die Bundesbe-auftragte für den Datenschutz und die Informationsfreiheit so-wie sechs Landesaufsichtsbehörden für Datenschutz, mehrere IT-Unternehmen unterschiedlicher Größenordnung sowie Verbände der IT-Branche, Rechtsanwälte und Vertreter der Wissenschaft.

Die Ergebnisse der Arbeiten sollen sukzessive veröffentlicht und auf breiter Grundlage diskutiert werden. Die Ergebnisse kön-nen zum einen in die rechtspolitische Diskussion, etwa zur euro-päischen Datenschutz-Grundverordnung oder gegebenenfalls zu nachfolgenden delegierten Rechtsakten einfließen, zum anderen auch eine Zertifizierung auf Grundlage des BDSG ermöglichen.

Gegenstand des Pilotprojekts ist nicht die Errichtung oder der Betrieb einer Zertifizierungsstelle. Ziel des Projekts ist ausschließ-lich die Erarbeitung von Grundlagen, die vom Gesetzgeber und der Praxis genutzt werden können. Die Durchführung der Zerti-fizierungen soll, entsprechend dem angestrebten gesetzlichen Mo-dell, durch akkreditierte Zertifizierungsstellen im Markt erfolgen.

6 Zertifizierung in der Datenschutz-Grundverordnung

Die Überprüfungspflicht nach § 11 Abs. 2 Nr. 4 BDSG kann nach herrschender Ansicht der Literatur bereits nach den geltenden Normen des BDSG durch das Vertrauen auf das Testat eines ge-eigneten Zertifizierers erfüllt werden.31 Da diese Möglichkeit aber im BDSG nicht ausdrücklich angeordnet ist, besteht insoweit Rechtsunsicherheit.32 Daher sieht das Konzept der AG „Rechts-rahmen des Cloud Computing“ vor, dass diese Wirkung des Zer-tifikats im Gesetz ausdrücklich festgelegt wird (These 5)33. Die-se Regelung sollte in der Europäischen Datenschutz-Grundver-ordnung erfolgen.

30 Siehe zum Pilotprojekt auch die weiterführenden Informationen auf http://trusted-cloud.de/2008.php (letzter Abruf 2.1.2014).

31 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 12; Borges (Fn. 5), S. 19 f.; Brennscheidt (Fn.3), S. 112; Gola/Schomerus (Fn.6), § 11 Rn. 21; Weichert, DuD 2010, 679, 683.

32 Borges (Fn. 5), S. 20.33 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 13.

Der Entwurf der Datenschutz-Grundverordnung34 (im Folgen-den: DSGVO-E) beruht bei der Regelung von IT-Dienstleistungen inhaltlich weitgehend auf der europäischen Datenschutzrichtli-nie35 von 1995,36 nimmt aber erkennbar auch auf das BDSG und Erkenntnisse der aktuellen Diskussion Bezug.37

Der DSGVO-E regelt in Art. 26 ff. die Datenverarbeitung im Auftrag. Dabei entsprechen die Grundgedanken recht weitge-hend dem Art. 17 Datenschutzrichtlinie 1995. Dies gilt insbe-sondere für Art. 26 DSGVO-E. Nach Art. 26 Abs. 1 letzter Halb-satz DSGVO-E sorgt der für die Verarbeitung Verantwortliche dafür, dass beim Auftragsverarbeiter die erforderlichen tech-nischen und organisatorischen Maßnahmen eingehalten wer-den. Diese Passage entspricht weitgehend Art. 17 Abs. 1 Daten-schutzrichtlinie 1995, auf dem das Überprüfungserfordernis nach § 11 Abs. 2 S. 4 BDSG beruht.

Die in Art. 26 Abs. 1 DSGVO-E genannte Pflicht, für die Ein-haltung der Maßnahmen „zu sorgen“, kann also dahin verstan-den werden, dass eine Überprüfung durch den Auftraggeber er-forderlich ist. Dies erscheint aus den oben (2) dargestellten Grün-den auch richtig.

Der ursprüngliche Entwurf der DSGVO enthält keine Aussage darüber, ob die Überprüfung durch eine Zertifizierung oder Tes-tierung ersetzt werden kann. Allerdings enthält der Entwurf in Art. 39 eine – sehr allgemeine – Bezugnahme auf Zertifizierun-gen. In der Diskussion der Datenschutz-Grundverordnung im europäischen Parlament und im Ministerrat sind auch zu Art. 39 weitreichende Änderungsvorschläge erarbeitet worden.

In einem internen Papier der irischen Ratspräsidentschaft aus Mai 2013, das im Internet zugänglich gemacht wurde,38 finden sich Überlegungen zu einer Modifizierung des Art. 39 DSGVO-E, die für die hier interessierenden Aspekte sehr relevant sind. Da-nach soll in Art. 39 Abs. 2 DSGVO-E (RP) klargestellt werden, dass ein Zertifikat es der verantwortlichen Stelle oder dem Auf-tragsdatenverarbeiter ermöglichen kann, die Erfüllung der da-tenschutzrechtlichen Anforderungen nachzuweisen. Dabei soll ausdrücklich auch auf die Anforderungen des Art. 26 DSGVO-E verwiesen werden.

Im von der irischen Ratspräsidentschaft vorgeschlagenen Ent-wurf eines Art. 39a DSGVO sollen die Anforderungen an die Zer-tifizierung und das zugrundeliegende Zertifizierungsverfahren näher geregelt werden. Nach Art. 39a Abs. 1 DSGVO-E (RP) muss die Zertifizierungsstelle unabhängig sein und über eine hinrei-chende Sachkunde verfügen. Sie muss weiterhin auch akkredi-tiert sein. Art. 39a Abs. 2 DSGVO-E (RP) nennt mehrere Bedin-gungen für die Akkreditierung von Zertifizierungsstellen. Die-

34 Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zum Schutz natürlicher Personen bei der Verarbeitung personenbezo-gener Daten und zum freien Datenverkehr (Datenschutz-Grundverordnung), KOM(2012) 11, abrufbar unter: http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=COM:2012:0011:FIN:DE:PDF (letzter Abruf 2.1.2014).

35 Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personen-bezogener Daten und zum freien Datenverkehr, ABl.-EG Nr. L 281 vom 23.11.1995, S. 31.

36 Ähnlich Schneider, ITRB 2012, 180, 181; in Bezug auf „Verarbeitungsgrund-sätze“ auch Franzen, DuD 2012, 322.

37 Ähnlich Schneider, ITRB 2012, 180, 181; in Bezug auf die Auftragsverarbei-tung des DSGVO-E Wybitul/Fladung, BB 2012, 509, 512; allgemein auch Abel, DSB 2012, Nr. 1, 8, 10; Hornung/Sädtler, CR 2012, 638, 639.

38 Dokument Nr. 8004/2/13 REV 2, abrufbar unter: https://netzpolitik.org/wp-upload/2013_05_06council_comix_et_al-8004-13-2.pdf (letzter Abruf 2.1.2014).

168 DuD • Datenschutz und Datensicherheit 3 | 2014

SCHWERPUNKT

se Überlegungen entsprechen sehr weitgehend dem Konzept der AG „Rechtsrahmen des Cloud Computing“.

In der Diskussion des europäischen Parlaments ist der Ab-schlussbericht des Ausschusses für bürgerliche Freiheiten, Jus-tiz und Inneres (LIBE) maßgeblich, der im November 2013 ver-öffentlicht wurde.39 Auch dieser schlägt Änderungen des Kom-missionsentwurfs bei der Zertifizierung vor. Nach Art. 39 Abs. 1a DSGVO-E (LIBE) soll jeder für die Verarbeitung Verantwort-liche oder Auftragsverarbeiter eine Zertifizierung im Hinblick darauf beantragen können, dass die Datenverarbeitung im Ein-klang mit der Verordnung steht. Diese Zertifizierung soll nach Art. 39 Abs. 1b DSGVO-E (LIBE) freiwillig, erschwinglich und über ein nicht übermäßig aufwendiges Verfahren zugänglich sein. Auch der Beschluss des LIBE-Ausschusses stimmt mit den Grundlagen des Konzepts der AG „Rechtsrahmen des Cloud Computing“ überein, wonach die Erfüllung der gesetzlichen An-forderungen durch ein Zertifikat bestätigt werden kann. Aller-dings fehlt hier der wichtige Zusammenhang mit dem Kontroll-erfordernis des Auftraggebers nach Art. 26 DSGVO-E.

7 Zertifizierungsmonopol der Aufsichtsbehörden?

Der Vorschlag des LIBE-Ausschusses zur Zertifizierung ist in ei-nem wichtigen Aspekt problematisch: Er beschränkt die Zertifi-zierung auf Aufsichtsbehörden. So lautet der Vorschlag eines neu-en Art. 39 Abs. 1a DSGVO-E wie folgt: „Jeder für die Verarbeitung Verantwortliche oder Auftragsverarbeiter kann bei jeder Aufsichts-behörde in der Union für eine angemessene Gebühr unter Berück-sichtigung der Verwaltungskosten eine Zertifizierung darüber be-antragen, dass die Verarbeitung personenbezogener Daten im Ein-klang mit dieser Verordnung durchgeführt wird […].“

Weiterhin heißt es in dem vorgeschlagenen Art. 39 Abs. 1d DSGVO-E: „Während des Zertifizierungsverfahrens kann die Aufsichtsbehörde spezialisierte dritte Prüfer akkreditieren, die Prüfung des für die Verarbeitung Verantwortlichen oder des Auf-tragsverarbeiters für sie durchzuführen. […]. Die endgültige Zer-tifizierung erteilt die Aufsichtsbehörde.“

Der LIBE-Ausschuss will die Zertifizierung also ausdrücklich den Aufsichtsbehörden vorbehalten. Damit wird ein wesentlich anderes Zertifizierungskonzept verfolgt als es etwa dem Kon-zept der AG „Rechtsrahmen des Cloud Computing“ entspricht. Jenes Konzept setzt ausdrücklich auf eine Zertifizierung als pri-vate Wirtschaftstätigkeit und begründet dies vor allem mit drei Argumenten: Zunächst wird auf das Problem hingewiesen, dass die Zertifizierung durch Aufsichtsbehörden hohe personelle Ka-pazitäten voraussetzt, die bei den Aufsichtsbehörden jedenfalls derzeit nicht bestehen dürften (Thesen 5, 8)40. Weiterhin wird die Beschränkung der Zertifizierung auf Behörden als rechtlich pro-blematisch angesehen (These 8)41, da die Monopolisierung einer Tätigkeit bei staatlichen Stellen angesichts des damit verbunde-nen Eingriffs in Grundrechte einer Legitimation bedarf, die je-denfalls nicht ohne Weiteres zu erkennen ist. Schließlich wird darauf hingewiesen, dass sich bei der Qualifizierung der Zerti-

39 COM(2012)0011 – C7-0025/2012, abrufbar unter: http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+REPORT+A7-2013-0402+0+-DOC+XML+V0//DE (letzter Abruf 2.1.2014).

40 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 12, 17.41 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 17.

fizierung als wirtschaftliche Tätigkeit ein Markt für Zertifizie-rungsleistungen bilden kann, so dass Marktmechanismen für die Ermittlung angemessener Zertifizierungskosten genutzt werden können (These 8)42.

Dieser Ansatz erscheint überzeugend. Eine Notwendigkeit, die Zertifizierung staatlichen Stellen vorzubehalten, ließe sich nur begründen, wenn private Stellen die erforderliche Unabhängig-keit und Eignung nicht aufwiesen. Dies wird man auch im Be-reich der datenschutzrechtlichen Zertifizierung nicht annehmen können. Prüfungen und Zertifizierungen werden in den meisten Bereichen, namentlich bei der Zertifizierung technischer Produk-te, von privaten Stellen durchgeführt. Dies gilt auch bei Produk-ten mit hohen Sicherheitsanforderungen.

Auch der europäische Gesetzgeber setzt in anderen Bereichen auf ein Modell der Zertifizierung durch private Stellen. Insoweit ist an die Verordnung 765/200843 zu erinnern, die für Produkt-zertifizierungen nach bestimmten Normen eine Akkreditierung privater Zertifizierungsstellen („Konformitätsbewertungsstel-len“) vorsieht.

Die Nutzung von Marktmechanismen für die Ermittlung an-gemessener Preise erscheint auch im Bereich von Prüfungen und Zertifizierungen richtig.

Allerdings ist es – insbesondere bei privatwirtschaftlicher Zer-tifizierung im Wettbewerb – erforderlich, die Einhaltung hinrei-chender Prüfanforderungen zu sichern. Insoweit ist das Konzept der AG „Rechtsrahmen des Cloud Computing“, wonach die An-forderungen an die Prüfung und Zertifizierung gesetzlich gere-gelt werden sollen, überzeugend, zumal auch die Monopolisie-rung der Zertifizierung bei staatlichen Stellen nicht per se zu ein-heitlichen Standards im Binnenmarkt führen kann.

Im Ergebnis erscheinen daher die Überlegungen des Minister-rats, wonach die Zertifizierungsstellen akkreditiert und das Zer-tifizierungsverfahren gesetzlich geregelt werden sollen, zur Wah-rung einer effizienten und erschwinglichen Zertifizierung von Datenverarbeitungsdiensten besser geeignet als der Vorschlag des LIBE-Ausschusses.

8 Fazit

Mit der europäischen Datenschutzreform besteht die Chance, auf gesetzlicher Grundlage ein europaweit einheitliches Zertifizie-rungsverfahren zu etablieren, das es Nutzern von IT-Dienstleis-tungen ermöglicht, diese gesetzeskonform in Anspruch zu neh-men. Zugleich wird aufgrund der Prüfung und Zertifizierung von IT-Dienstleistungen ein Mehrwert für den Datenschutz geschaf-fen, da der Schutz von Daten gegen Missbrauch verbessert wer-den kann. Mit dem Konzept der AG „Rechtrahmen des Cloud Computing“ und den weiteren Arbeiten des Pilotprojekts „Da-tenschutz-Zertifizierung von Cloud-Diensten“ werden dem eu-ropäischen Gesetzgeber geeignete Vorarbeiten zur Verfügung ge-stellt. Diese Chance zu einer europaweit einheitlichen Regelung der datenschutzrechtlichen Zertifizierung von IT-Dienstleistun-gen sollte unbedingt genutzt werden.

42 AG „Rechtsrahmen des Cloud Computing“ – Thesenpapier (Fn. 4), S. 17.43 Verordnung (EG) Nr. 765/2008 des Europäischen Parlaments und des Ra-

tes vom 9. Juli 2008 über die Vorschriften für die Akkreditierung und Markt-überwachung im Zusammenhang mit der Vermarktung von Produkten und zur Aufhebung der Verordnung (EWG) Nr. 339/93 des Rates, ABl. EU Nr. L 218 vom 13.8.2008, S. 30.

DuD • Datenschutz und Datensicherheit 3 | 2014 169

SCHWERPUNKT