Datenschutz: Sensible Daten rechtssicher outsourcen oder in die Cloud auslagern

Die ausgelagerten Daten bewegen sich rund um den Globus

Die Zeiten, in denen es reichte, den Schlüssel zu den sensiblen Aktenordnern nur in ausgewählte Hände zu geben, sind lange vorbei. Heute bewegen sich Daten in der Cloud in Sekundenschnelle rund um den Globus. Sie vor unbefugter Verwendung zu schützen, fordert alle Unternehmen, die Leistungen an Drittanbieter auslagern.

Outsourcing-Verträge müssen die Datenbewegungen abbilden und sichern

Die Aufgabe von IT-Rechtspezialisten ist es, die Vertragsbeziehungen mit den Outsourcing-Anbietern so zu gestalten, dass die Daten sicher sind – egal wo und wie der Anbieter die Daten speichert.

Zunächst muss festgestellt werden: Welche sensiblen Daten sollen überhaupt ausgelagert werden bzw. auf welche Daten dürfen die Drittanbieter infolge des Outsourcings oder des Cloud-Services zugreifen?

Das Vermögen eines Unternehmens: Know-how sowie Forschungs- und Entwicklungsdaten

• zum einen die Forschungs- und Entwicklungsdaten,
• zum anderen die sonstigen Unternehmensgeheimnisse, strategische Pläne, Schutzrechte oder sensible Kunden- und sonstige personenbezogene Daten.

Dies sind die Assets, mit denen Unternehmen ihr Geld verdienen. Ihr Schutz ist oberste Pflicht und damit die entscheidende Herausforderung für die betreffenden Vertragswerke.

Je nachdem, in welcher Konstellation das Unternehmen den Drittanbieter einsetzt, ergeben sich unterschiedliche Anforderungen an die Sicherheit der Daten.

Klassisches Outsourcing oder Auslagerung in die Cloud?

• Möglichkeit eins ist das klassische Outsourcing: Die Rechenzentren werden extern von einem Drittanbieter betrieben. Der Anbieter erbringt Mail- oder Speicherdienstleistungen, speziell auf den Kunden zugeschnitten.
• Möglichkeit zwei sind die sogenannten Managed Services: Externe Dienstleister erbringen ihre IT-Dienstleistungen via Fernzugriff (sog. remote access) über das Internet. Sie speichern Daten in privaten Clouds oder Virtual Private Networks, also internetzugänglichen Netzwerken, auf welche aber nur Unternehmen und Drittanbieter Zugriff haben.
• Möglichkeit drei sind die (echten) Public Cloud-Services: Ausgelagerte Anwendungen und Daten und Dienstleistungen werden in der Cloud gespeichert. Datenspeicher und Software werden bei Anbietern gemietet, deren Serverparks in USA, China, Indien oder an einem beliebigen Ort der Welt liegen können.

Outsourcing-Dienstleister beschäftigen häufig Subunternehmer

Hier kommt die dritte Herausforderung für die outsourcenden Unternehmen ins Spiel: die vielschichtige Struktur der IT-Anbieter.

Früher waren beim Outsourcing die Vertragsbeziehungen zwischen dem outsourcenden Unternehmen und seinem Dienstleister übersichtlicher, der Einsatz etwaiger Subunternehmer überschaubar. Mittlerweile sind immer mehr Subunternehmer involviert, ihre Zahl wird zunehmend unübersichtlicher. Ist der Anbieter ein Konzern oder Unternehmensverbund, sind Konzerntöchter oder andere Unternehmensteile beteiligt.

Der Vertrag muss die Daten auch bei Weitergabe an fremde Dritte schützen

• Er enthält das Leistungsverzeichnis,
• regelt die Verantwortung, die Pflichten, die Gewährleistung und die Haftung.
• Konkretisiert wird er durch die Leistungsscheine, die die einzelnen technischen und organisatorischen Fragen klären.

• Die Geheimhaltung beginnt im Stadium der Vertragsverhandlungen mit den Non Disclosure Agreements (= NDA).
• Sie stellen sicher, dass während der Verhandlungen gewonnene Erkenntnisse nicht verwendet werden dürfen.

Geheimhaltungsvorschriften sind der Sicherheitsschlüssel beim IT-Outsourcing

Kommt es zum Vertrag, werden im Rahmenvertrag die eigentlichen Geheimhaltungsvorschriften geregelt. Sie enthalten eine Definition, welche Daten als vertraulich gelten, und eine Klarstellung, dass der Dienstleister sie nur zur Erbringung der vereinbarten Leistungen speichern darf.

Außerdem enthalten sie die Verpflichtung des Dienstleisters, auch seine Mitarbeiter zur Geheimhaltung anzuhalten sowie das Verbot der Weitergabe von Daten an fremde Dritte.

Dabei müssen Unternehmen sich bereits jetzt auf Folgendes einstellen:

Die am 5.7.2016 in Kraft getretene Richtlinie (EU) 2016/943 vom 8.6.2016 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen besagt:  

Ansprüche wegen der Verletzung von vertraulichen Informationen können nur noch dann gerichtlich geltend gemacht und durchgesetzt werden, wenn nachweisbar ist, dass in der Vergangenheit angemessene Maßnahmen zu deren Geheimhaltung getroffen wurden.

Deshalb ist bei den vertraglichen Vereinbarungen bei Cloud-Services oder dem Outsourcing darauf zu achten, dass solche Maßnahmen vom Cloud- oder Outsourcing-Anbieter getroffen werden. Dies ist zudem zu dokumentieren. Ebenso sollten Kontrollrechte vereinbart werden.

Weitergabe der Daten an Dritte muss streng geregelt werden

Hier wird es spätestens dann knifflig, wenn der Anbieter ein Konzern ist oder einen Konzern als Subunternehmer beschäftigt. Das ist zum Beispiel der Fall, wenn ein deutscher IT-Outsourcinganbieter als Subunternehmer Microsoft beschäftigt. Dann liegt auf der Seite des Vertragspartners eine Konzernstruktur vor, innerhalb derer die Daten gesichert werden müssen.

Den Begriff des fremden Dritten richtig definieren

Hier gilt es, den Begriff des Dritten richtig zu definieren. Beispielsweise sollte man klarstellen, dass andere Konzern­unter­nehmen schon als fremde Dritte gelten und die Weitergabe von Daten an sie zumindest unter einen Zustimmungsvorbehalt gestellt werden sollte.

Zudem sind die Geheim­haltungs­ver­pflichtungen weiterzugeben. Wegen der neuen Richtlinie vom 5.7.2016 empfiehlt es sich zudem, die Verpflichtungen zur Absicherung der Daten an diese Konzerngesellschaften vertraglich weiterzugeben, dies zu dokumentieren und auch hier Kontrollrechte zu vereinbaren.

Das Problem der Zustimmungsvorbehalte und der Verbote ist offensichtlich: Der Dienstleister kann nicht mehr so flexibel reagieren, wie es im Interesse des auslagernden Unternehmens nötig wäre. Er kann beispielsweise freie Serverkapazitäten eines Subunternehmers nicht ausnutzen, weil er dazu erst die Zustimmung des Auftraggebers einholen müsste.

Datenweitergabe nur, wenn das Unternehmen keinen Widerspruch einlegt

Daten nur in verschlüsselter Form weitergeben

Eine weitere Möglichkeit, die Daten zu schützen: Der fremde Dritte darf die zu wartende Daten nur in verschlüsselter Form erhalten. Greift dann etwa der Managed Service Provider per Fernzugriff auf den Rechner des Unternehmens zu, sieht er keine Klardaten und kann deshalb auch keine Geheimnisse verraten. Hinsichtlich des Schutzes vertraulicher Informationen nach der neuen Richtlinie dürfte dies künftig zwingend erforderlich sein.

Sanktionen müssen wirksam sein

Ebenfalls geregelt werden müssen die Sanktionen, denn ohne Sanktion keine wirksamen Verbote. Hier sind Vertrags­strafen das richtige Mittel. Wichtig ist, dass sie sich am möglichen Schaden des Unternehmens orientieren. Das Gute an ihnen: Sie sind verschuldungs­­unabhängig. Es reicht, den Verstoß nachzuweisen, dann werden sie fällig. Damit sind Vertrags­strafenregelungen den Schadensersatzansprüchen überlegen, denn Schadenersatz­ansprüche erfordern den Nachweis eines Verschuldens.

Exit: Am Anfang schon das mögliche Ende planen

Last but not least benötigen die Outsourcingverträge vernünftige Exit-Regeln. Sehr wichtig bei einer Kündigung sind die Übergangsregeln: Denn auch während eine Vertrags­beziehung beendigt wird, braucht der Kunde Unter­stützungs­leistungen. Sonst stünde er hilflos da, solange er noch keinen neuen Partner gefunden oder er die IT-Leistungen noch nicht auf einen neuen Anbieter übergeleitet hat.

Übrigens sollten solche heiklen Dinge gleich zu Beginn geregelt werden, wenn beide Partner guten Willens und bereit sind, in den Vertrag einzusteigen. Denn nur, wenn alles geregelt ist, kann das Unternehmen bei einem IT-Outsourcing – egal in welcher Konstellation – sich sicher sein: Seine sensiblen Daten sind auch in unvorher­gesehenen Situationen sicher geschützt.