Aspekte des Datenschutzes bei Cloud Computing

Aus Winfwiki

Titel der Arbeit:	Aspekte des Datenschutzes bei Cloud Computing
Hochschule und Studienort:	FOM Hamburg

1 Inhaltsverzeichnis

Inhaltsverzeichnis 1 Inhaltsverzeichnis 2 Abkürzungsverzeichnis 3 Abbildungsverzeichnis 4 Einleitung 5 Datenschutz 5.1 Allgemeine Grundlagen 5.2 Rechtliche Grundlagen 5.2.1 Deutschland 5.2.2 Europa 5.2.3 USA 5.2.4 Weitere Länder 5.2.4.1 Kanada 5.2.4.2 Japan 5.2.4.3 Australien und Neuseeland 5.2.4.4 Argentinien, Norwegen und Schweiz 5.3 Technische Grundlagen 5.3.1 Beispiel P3P 5.3.2 Beispiel EPAL 5.3.3 Beispiel N3 5.4 Fokus Cloud Computing 6 Beispiele 6.1 Organisationen 6.1.1 Open Cloud Manifesto 6.1.2 OECD 6.2 Regierungen 6.2.1 ECPA 6.2.2 USA PATRIOT Act 6.3 Unternehmen 6.3.1 Google 6.3.2 Microsoft 6.3.3 MySpace 7 Sicherheit 7.1 Sicherheit in der Cloud 7.2 Sicherheit und Datenschutz 7.3 IT-Grundschutz 8 Bewertung 8.1 Vorteile 8.1.1 Unternehmen 8.1.1.1 Teilabgabe der Verantwortung 8.1.1.2 Konzentration auf Geschäftsprozesse 8.1.1.3 Öffentlicher Druck 8.1.2 Cloud Provider 8.1.2.1 Kosten 8.1.2.1.1 Kostenentstehung 8.1.2.1.2 Kostenverteilung 8.1.2.2 Ressourcen 8.1.2.3 Standards 8.1.2.4 Zertifikate und Audits 8.2 Nachteile 8.2.1 Unternehmen 8.2.1.1 Transfer sensibler Daten 8.2.1.2 Kontrollverlust 8.2.1.2.1 AGB 8.2.1.2.2 Marketingmaßnahmen 8.2.1.3 Gewährleistung 8.2.1.4 Imageschaden 8.2.2 Cloud Provider 9 Fazit und Ausblick 10 Fußnoten 11 Literatur- und Quellenverzeichnis

2 Abkürzungsverzeichnis

ASP	Application Service Provider
BDSG	Bundesdatenschutzgesetz
BSI	Bundesamt für Sicherheit in der Informationstechnik
CMR	Customer Managed Relationship
CPO	Chief Privacy Officer
CRM	Customer Relationship Management
CWM	Common Warehouse Metamodel
DRM	Digital Rights Management (Digitales Rechtemanagement)
ECPA	Electronic Communications Privacy Act
EMRK	Europäische Menschenrechtskonvention
EPAL	Enterprise Privacy Authorization Language
EXIF	Exchangeable image file format
HIPAA	Health Insurance Portability and Accountability Act
IEC	International Electrotechnical Commission
ISMS	Information Security Management System
ISO	International Organization for Standardization
MDStV	Mediendienste-Staatsvertrag
N3	Notation3
NAI	Network Advertising Initiative
NGO	Non-governmental organization
OECD	Organisation for Economic Co-operation and Development
OPA	Online Privacy Alliance
OWL	Web Ontology Language
P3P	Platform for Privacy Preferences
PDCA	Plan-Do-Check-Act
PET	Privacy Enhancing Technologies
RDF	Resource Description Framework
RFID	Radio Frequency Identification
RICHTLINIE 95/46/EG	RICHTLINIE 95/46/EG DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr, Amtsblatt der Europäischen Gemeinschaft Nr. L 281 vom 23.11.1995
SaaS	Software as a Service
SSO	Single sign-on
TCG	Trusted Computing Group
TCP	Trusted Computing Platform
TDDSG	Teledienstedatenschutzgesetz
USA PATRIOT Act	Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act
W3C	World Wide Web Consortium

3 Abbildungsverzeichnis

Abbildung 1:

Vergleich der Beauftragten für Datenschutz und IT-Sicherheit

4 Einleitung

Aus der zunehmenden Vernetzung der Arbeits- und Alltagswelt und den steigenden Anforderungen an Datenbereitstellung und -verarbeitung, entsteht das Bedürfnis und die Notwendigkeit, die eigene Persönlichkeit zu schützen.

Diese Arbeit versteht unter dem Begriff des Cloud Computings nicht allein die Angebote der großen Anbieter wie beispielsweise Amazon, Google oder Microsoft, sondern auch Angebote wie Freemail Dienste oder digitale Fotoalben. Gegensätzlich zur eigentlichen Bedeutung des Begriffes Datenschutz, welcher primär auf den Schutz einer Persönlichkeit und nicht auf den Schutz von Daten abzielt, umfasst diese Arbeit Überlegungen zum Schutz dieser Daten, seien es private Fotos oder geschäftskritische Unternehmensgeheimnisse. Ziel ist, aktuelle technische wie rechtliche Rahmenbedingen aufzuzeigen und diese aus Sicht von Cloud Providern und einsetzenden Unternehmen zu bewerten.

5 Datenschutz

Datenschutz wird innerhalb verschiedener Sachgebiete definiert und umgesetzt. Im Wesentlichen zählen hierzu rechtliche und technische Aspekte, die im Folgenden erläutert werden. Das Schutzbedürfnis relevanter Daten ist hoch, da deren Sammeln, Speichern, Verarbeiten und Auswerten Grundstein einiger Schlüsselbranchen des 21. Jahrhunderts sein werden^[1].

Das Beispiel Air Canadas zeigt die enorme Bedeutung von Daten, besonders von personalisierten, qualitativ hochwertigen und relativ vollständigen Daten: Air Canada hat 2003 im Rahmen eines Schutzprogramms gegen drohenden Bankrott einige ihrer Vermögensgegenstände, u.a. Millionen wertvoller Aeroplan Kundenprofile, für knapp eine Million kanadische Dollar^[2] verkauft, was zu dem Zeitpunkt dem Dreifachen der Marktkapitalisierung ihrer Luftflotte entsprach^[3].

5.1 Allgemeine Grundlagen

Datenschutz befasst sich mit dem Grundrecht auf informationelle Selbstbestimmung. Datenschutz besitzt nicht den Rang eines Grundgesetzes. Im Fokus steht der Schutz der Persönlichkeit natürlicher Personen und nicht der Daten selbst^[4]. Das informationelle Recht auf Selbstbestimmung umfasst Schutz vor Abspeichern, Verwenden, Weitergeben und Publizieren personenbezogener Daten^[5]. Betroffen hiervon sind biografische, biologische, historische, berufsbezogene und Beziehungs- sowie Bewegungsdaten, die unter dem Begriff Identität zusammengefasst werden^[6].

Datenschutz und das dadurch garantierte Grundrecht zur freien Selbstbestimmung zählen zu den Eckpfeilern einer demokratischen Gemeinschaft. Daher besteht eine generelles Verbot der personenbezogenen Datenverarbeitung, mit den zwei folgenden Ausnahmen:

• es existiert eine gesetzliche Grundlage im Allgemeininteresse oder
• es existiert eine Einwilligung der betroffenen Person^[7].

Die Einwilligung kann durch Klauseln innerhalb der AGB erfolgen. In allen Fällen müssen Informiertheit und Freiwilligkeit des Betroffenen vorliegen, das heißt, der Betroffene muss umfassend bezüglich der anstehenden Datenverarbeitung aufgeklärt sein^[8].

Das bedeutet, das Datenschutz i.e.S. nur greift, wenn personenbezogene Daten verarbeitet werden. Hierbei müssen drei Arten von Personenbezug unterschieden werden. Wenn sich ein Bezug zwischen Daten und einer Person klar und einfach herstellen lässt, fallen diese Daten zum Schutz der Person unter den Bereich des Datenschutzes. Bei anonymen Daten wird davon ausgegangen, dass sich ein Bezug zu einer Person nicht oder nur mit unverhältnismäßig hohem Aufwand herstellen lässt, wodurch diese Daten nicht unter den Datenschutz fallen. Bezüglich pseudonymen Daten tritt eine Fallunterscheidung in Kraft: wenn die datenverarbeitende Partei über die Zuordungsregel verfügt, so fallen die Daten unter den Datenschutz, andernfalls nicht^[9].

Es ergeben sich folgende Anforderungen, die Datenschutz im Internet voraussetzt^[10][11]:

• Transparenz
  • Aktive Einforderung der Einwilligung der Anwender
  • Kontextsensitive Hilfestellungen
  • Anwender müssen ihre gespeicherten Daten einsehen können
• Steuerbarkeit
  • Anwender müssen die Verarbeitung ihrer Daten beeinflussen und ggf. unterbinden können
• Datensparsamkeit und Datenvermeidung
  • Nur relevante, für den jeweiligen Zweck zwingend notwendige Daten dürfen gesammelt werden
  • Nur wenn es zwingend notwendig ist, sollte ein Personenbezug hergestellt werden, ansonsten sollten die Daten frühestmöglich anonymisiert werden
• Zweckbindung
  • Daten dürfen nur für den Zweck verwendet werden, für den sie erhoben wurden
• Vertraulichkeit
  • Passive Transportsysteme innerhalb des Internets verstehen nicht den Inhalt der Nachrichten
• Nachvollziehbarkeit
  • Zugriffe (schreibend / lesend) auf personenbezogene Daten werden durch Protokollierung im Zweifelsfall nachvollziehbar
• Unbeobachtbarkeit
  • Nur unmittelbar beteiligte Systeme wissen von der Kommunikation
• Integrität
  • Änderungen an den Daten müssen erkannt werden können
• Anonymität (primär für private Nutzung im Internet)
  • Einzelne Anwender dürfen in der Gesamtmenge der Anwender nicht identifizierbar sein

Soziale Regeln bedürfen einer sorgfältigen Abwägung unerwarteter Vorgänge, wenn sie in zwar weit entwickelten jedoch typischen Community Applikationen angewandt werden. Ein Benutzer veröffentlicht beispielsweise nur für seine Freunde ein privates Foto, welches ihn in einer kompromittierenden Situation zeigt. Dies ist für ihn grundsätzlich unkompliziert. Doch hat er vielleicht nicht beachtet, dass einer seiner Freunde in seiner Firma arbeitet. Wenn dieser Freund und Kollege das Bild nun im Kollegenkreis veröffentlicht, ist die ursprüngliche Absicht des Fotografen verletzt worden. Folglich ist der Fotograf (dessen Identität in den EXIF (Exchangeable image file format) Informationen des Fotos gespeichert sein kann) nicht mehr in der Lage zu beweisen, dass er nicht derjenige gewesen ist, der das Foto weiter veröffentlichte und wird vermutlich den Unmut des Fotografierten sowie weitere soziale Benachteiligungen ernten. Die Komponente der Nachvollziehbarkeit von Policy Awareness kann hier helfen herauszufinden, wie und warum dieses Foto über die begrenzten Absichten des Fotografen hinaus veröffentlicht wurden.

Mechanismen zur Nachvollziehbarkeit, die die Gründe des Zugriffs rekonstruieren und ergründen, welche Policy Richtlinien mit dem Foto verbunden waren, als es außerhalb der beabsichtigten Grenzen bekannt wurde, können dabei helfen herauszufinden, ob diese Tat beabsichtigt oder versehentlich geschah^[12].

Aufgrund der Funktionsweise besteht bei einem solchen Mechanismus allerdings ebenfalls die Möglichkeit, jegliche Bewegung und jede Handlung eines Benutzers zeitlich exakt nachzuverfolgen. Eine eventuelle Nutzung dieser Möglichkeit stünde grundsätzlich im Gegensatz zur oben genannten Anforderung der Unbeobachtbarkeit. Zwar ist hier nur ein unmittelbar beteiligtes System involviert, jedoch müssen die Daten auch ausgewertet werden können. Das macht ein Weiterreichen der Daten ohne Wissen des ursprünglichen Benutzers möglich. Dies wäre vergleichbar mit einer vollständigen Observation für die außerhalb der virtuellen Welt erst eine gesetzliche Grundlage erfüllt sein müsste.

Da der Grundsatz der datenschutzrechtlichen Zweckbindung dem Verhältnismäßigkeitsprinzip entspringt, ist er ein Verfassungsgebot. Eine Zweckentfremdung ist demnach verfassungsrechtlich unzulässig. Der Verwendungszweck muss zuvor eindeutig und ausdrücklich bestimmt werden, da eine Datenverwendung immer nur in Bezug auf einen konkreten Zweck hin geeignet sein kann. Deshalb dürfen die Daten nur zu diesem zuvor genannten Zweck verarbeitet und genutzt werden. Eine nachträgliche Änderung des Zwecks der Datenverarbeitung stellt einen selbständigen Grundrechtseingriff dar. Auch ein an sich "harmloses" Einzeldatum kann durch eine Änderung des Verarbeitungszwecks neue Bedeutung erlangen. Ein neuer Eingriff dieser Art unterliegt den üblichen Anforderungen, weshalb eine gesetzliche Ermächtigungsgrundlage oder eine Einwilligung erforderlich ist. Auf diese Weise wird verhindert, dass Daten zu einem klar definierten Zweck erhoben und danach zu anderen, anfangs unbestimmten Zwecken verwendet werden. Die Zweckbindung der Datenverwendung verwirklicht neben dieser Verankerung im Verhältnismäßigkeitsprinzip auch das Gebot der Normenklarheit. Nur so wird für den Betroffenen deutlich, wozu die Verwendung seiner Daten dient. Der Zweckbindungsgrundsatz bestimmt im Ergebnis das Ziel und den Umfang zulässiger Datenverarbeitung und begrenzt sie zugleich hierauf. Somit ist deutlich, dass eine Datenverarbeitung auf Vorrat nicht zulässig ist. Da die Daten, sobald der Zweck der Verwendung erreicht ist, im Rahmen ihrer Zweckbestimmung nicht mehr erforderlich sind, sind sie unverzüglich zu löschen. Bereits während des Verwendungsprozesses ist ein Personenbezug der Daten zu anonymisieren oder zu pseudonymisieren, sobald sich ergibt, dass ein Personenbezug der Daten nicht mehr notwendig ist. In Nr. 8 der Anlage zu § 9 BDSG findet sich seit dem Jahr 2001 das rechtliche Gebot der Zweckbindung auch technisch abzusichern^[13].

Gelingt es dem Staat in der globalisierten Welt immer weniger seine Aufgabe für den Schutz der Daten seiner Bürger sorgen zu können, ist es notwendig, dass der staatliche Schutzauftrag zumindest einen effektiven Selbstschutz ermöglicht. Benutzer sind heutzutage immer stärker selbst gefordert um sich zu schützen. Der Einsatz technischer Mittel zum Selbstdatenschutz schafft auch die Möglichkeit anonymen und pseudonymen Handelns. Besonders im Internet sind derartige PET (Privacy Enhancing Technologies) von großer Bedeutung. Für eine stärkere Verpflichtung von Unternehmen könnten Konzepte der Selbstregulierung sorgen, wenn der Staat seiner Ordnungsaufgabe nicht mehr gerecht werden kann. Außerdem besteht die Möglichkeit durch die unabhängige Evaluierung von Anbietern im Rahmen eines Datenschutz-Audits eine höhere Transparenz für die Betroffenen zu schaffen und einen Wettbewerb um datenschutzfreundliche Technologien zu ermöglichen.

In einer solchen Umgebung ist der reine Glaube an die Schutzpotenziale des Rechts oder der Technik bei Weitem nicht ausreichend, um dem Recht auf informationelle Selbstbestimmung gerecht zu werden. Die Technik und das Recht müssen vielmehr Hand in Hand arbeiten. Dies hat eine technikorientierte Fortentwicklung des Rechts als auch eine rechtsverträgliche Gestaltung der Technik zur Folge. Nur wo technische Mittel nicht praktikabel sind oder umgangen werden können, sind normative Lösungen wichtig. Änderungen an technischen Schutzmechanismen können ohne rechtliche Absicherung durch staatliche Organe erzwungen werden und der Einsatz datenschutzfreundlicher Technik kollidiert in manchen Bereichen mit Rechten und Interessen Dritter. Hier sind rechtliche Regelungen zum Schutz des Rechts auf informationelle Selbstbestimmung erforderlich^[14].

5.2 Rechtliche Grundlagen

Der Gesetzgeber - ob deutsch, europäisch oder international - kann nicht schritthalten mit der hohen Geschwindigkeit, mit der sich die Technik auf dem Gebiet des Internets und speziell des Cloud Computings entwickelt^[15]. In Deutschland existieren u.a. folgende wichtige Regelungen an die automatische Datenverarbeitung:

• BDSG (Bundesdatenschutzgesetz)
• TDDSG (Teledienstedatenschutzgesetz)
• MDStV (Mediendienste-Staatsvertrag)

In Deutschland und der EU gelten eine Vielzahl Gesetze, rechtliche Vorschriften und Richtlinien für den Umgang mit Daten und der daraus resultierenden Notwendigkeit des Datenschutzes. Vieles stammt ursprünglich aus den USA, die auf diesem Gebiet eine Vorreiterrolle^[16] einnehmen. Allen gesetzlichen Grundlagen zum Trotz versuchen Cloud Provider nur die Verstöße gegen geltendes Recht zu berichten, von denen sie der Meinung sind, sie nicht geheim halten zu können. Einige wenige Cloud Provider gehen in die Offensive und gehen ganz offen mit ihren Outsourcing Praktiken um und bieten ihren Kunden an, ob diese Outsourcing möchten oder nicht. Mit derartigen Maßnahmen können langfristige Geschäftsbeziehungen aufgebaut und gepflegt werden, die auf einer Grundlage des gegenseitigen Vertrauens basieren^[17].

Aufgrund der enormen Signifikanz von Daten und ihrer Verarbeitung gibt es auf rechtlich regulierender Seite Lobbygruppen und Verbände wie NAI (Network Advertising Initiative) und OPA (Online Privacy Alliance), die versuchen, Einfluss auf die Gesetzgebung und die daraus resultierenden Möglichkeiten für Geschäftsfelder zu nehmen^[18].

5.2.1 Deutschland

Das BDSG ist die 2001 in Form der Novelle zum Bundesdatenschutzgesetz erfolgte Umsetzung der europäischen Datenschutzrichtlinie 95/46/EG von 1995^[19]. Diese Richtlinie richtet sich an alle EU Mitgliedstaaten und sollte innerhalb von drei Jahren nach Verabschiedung in Gesetzgebung und Ausführung der einzelnen Staaten umgesetzt werden^[20]. Grundlage für die Richtlinie waren u.a. der durch den Vertrag der EU wesentlich erleichterte Transfer von Daten über die Grenzen der Mitgliedstaaten hinweg. Obwohl diese Entwicklung gewollt ist, ist es notwendig, die Menschenrechte (die durch den Vertrag u.a. geschützt werden sollen) nicht durch die vereinfachte Verteilung und Verarbeitung personenbezogener Daten zu gefährden^[21]. Inwiefern die EU Richtlinie rechtlich umgesetzt wird, obliegt den einzelnen Mitgliedstaaten selbst, doch besagt die Richtlinie unter anderem, dass die Daten verarbeitende Partei die für ihren jeweiligen Rechtsraum geltenden Verpflichtungen einzuhalten hat, auch wenn sie sich nicht im selbigen befindet. Dies gilt auch außerhalb des europäischen Hoheitsgebiet, sofern zum Verarbeiten auf Mittel innerhalb des Hoheitsgebietes zurückgegriffen wird. In diesem speziellen Fall muss ein gesetzlicher Vertreter innerhalb des betreffenden Mitgliedsstaates benannt werden^[22].

Die Verspätung Deutschlands und anderer EU Mitgliedstaaten bei der Umsetzung der Richtline 95/46/EG sowie deren unterschiedliche Anwendung hat laut dem Kommissionsbericht IP/02/679 vom Mai 2003 verhindert, dass die europäische Wirtschaft alle damit verbundenen Vorteile nutzen konnte^[23].

Bereits seit dem Volkszählungsurteil des Bundesverfassungsgerichts von 1983 ist Datenschutz ein deutsches Grundrecht mit Verfassungsrang^[24].

5.2.2 Europa

Derartige Richtlinien sind keine Besonderheit. Man findet in der Regel das Recht auf Datenschutz nicht in allgemeinen internationalen Menschenrechtsdokumenten. Die im Dezember 2000 verkündete Charta der Grundrechte der EU bildet hier eine Ausnahme. In Artikel 8 wird ein Recht auf den Schutz personenbezogener Daten gewährleistet. Sie ist zwar nicht rechtsverbindlich, doch wurde unter anderem auch der Artikel 8 im Juni 2004 in die Verfassung der EU aufgenommen^[25].

Zuvor wurde im Januar 1981 die Konvention 108 (Übereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten) vom Europarat ratifiziert. Diese Richtlinie bezweckte das Datenschutzrecht aller Mitgliedstaaten auf ein gemeinsames Minimum zu bringen. Artikel 8 gewährt den Betroffenen Auskunftsrechte und soll sicherstellen, dass die Daten für die relevanten Zwecke im aktuellen Zustand sowie sachlich korrekt gespeichert und verarbeitet werden.

Aufgrund der Tatsache das dieses Übereinkommen auch Ländern offen steht die nicht Mitglied des Europarates sind, hat sogar die Schweiz die Konvention 108 ratifiziert und es könnten zukünftig noch weitere Drittländer folgen. Folgende EU Beitrittsländer sind jedoch dazu verpflichtet die Richtlinie 95/46/EG bis zum Zeitpunkt des Beitritts umgesetzt zu haben.

Obwohl die europäische Datenschutzrichtlinie 95/46/EG einen angemessenen Schutz aller Daten die in Länder außerhalb der Europäischen Union übermittelt werden verlangt, erlaubt der Artikel 26 der Konvention 108 dennoch den Transfer der Daten in Länder die kein ausreichendes Datenschutzniveau bieten. Vorausgesetzt, die betroffene Person hat zweifelsfrei ihre Zustimmung erteilt oder eine nationale Behörde hat diesen Transfer erlaubt, da der für die Verarbeitung Verantwortliche ausreichend Garantien des Schutzes der Privatsphäre, der Grundrechte und der Grundfreiheiten sowie hinsichtlich der Ausübung der damit verbundenen Rechte bietet^[26].

Neben der Richtlinie 95/46/EG ist die Konvention 108 auf dem Gebiet des Datenschutzes international das einzige bindende Instrument^[27].

Dass die Sammlung und Speicherung personenbezogener Daten in die Rechte aus Artikel 8 Absatz 1 EMRK (Europäische Menschenrechtskonvention) eingreift und einer Rechtfertigung bedarf, hat der Europäische Gerichtshof für Menschenrechte bereits anerkannt. Zudem muss diese Rechtfertigung den Anforderungen aus Artikel 8 Absatz 2 EMRK genügen. Nur wenn der Eingriff der nationalen oder öffentlichen Sicherheit, dem wirtschaftlichen Wohl des Landes, der Aufrechterhaltung der Ordnung, der Verhütung von Straftaten, dem Schutz der Gesundheit oder der Moral oder dem Schutz der Rechte und Freiheiten anderer dient, ist er auch zulässig. Zusätzlich muss auch immer das Prinzip der Verhältnismäßigkeit beachtet werden^[28].

Ein im Mai 2001 innerhalb der EU verabschiedetes Zusatzprotokoll trat im Juli 2004 in Kraft. In Artikel 1 verpflichtet es die Mitgliedstaaten zur Einrichtung einer unabhängigen Kontrollinstanz. Diese Kontrollinstanz ist für die Überwachung des Übereinkommens und des Zusatzprotokoll verantwortlich. Durch den Artikel 2 dieses Zusatzprotokolls soll gesichert werden, dass der Transfer von Daten in Staaten, die keine Parteien dieses Übereinkommens sind, nur zulässig ist, wenn dort ebenfalls ein adäquates Datenschutzniveau besteht^[29].

5.2.3 USA

Privatpersonen in den EU Mitgliedstaaten können wesentlich mehr Schutzrechte in Anspruch nehmen als in den USA. Laut Stumm existieren im Gegensatz zu den europäischen Datschutzbestimmungen in den USA keine nationalen Gesetze zum Schutz medizinischer oder finanzieller Informationen^[30]. Um den Transfer von personenbezogenen Daten zwischen der EU und den USA der Richtlinie 95/46/EG zum Trotz zu ermöglichen, wurde im Jahr 2000 die Datenschutz-Vereinbarung "Safe Harbor" verabschiedet. Ihr gehören u.a namhafte Branchengrößen wie Microsoft, Amazon und Google an^[31]. Das Handelsministerium führt eine Liste dieser Unternehmen aus der auch ersichtlich ist, welche Organisationen ihren Status als "sicherer Hafen" verloren haben, weil sie sich nicht an die Vorschriften hielten. Die meisten "Safe Harbor"-Unternehmen werden jährlich durch eine unabhängige Stelle geprüft, jedoch ist diese Überprüfung nicht verpflichtend. Für kleine und mittelständische Unternehmen gibt es Regeln zur wirksamen Selbstkontrolle^[32].

In den USA gelten u.a. folgende Gesetze und Richtlinien bezüglich Datenschutz, wobei ein Schwerpunkt auf die Regulierung von Outsourcing datenverarbeitender Dienste gelegt wird^[33]:

• Sarbanes-Oxley Act
• HIPAA (Health Insurance Portability and Accountability Act)
• Gramm-Leach-Biliey Act
• Fair Credit Reporting Act

5.2.4 Weitere Länder

5.2.4.1 Kanada

Für die Verarbeitung personenbezogener Daten durch staatliche Stellen existiert in Kanada bereits seit 1983 ein Bundesgesetz (Privacy Act). Im April 2000 wurde durch Royal Asset für den privatwirtschaftlichen Sektor der "Personal Information and Electronic Documents Act" ausgefertigt. Dieses Gesetz trat ab 2001 in drei Stufen in Kraft und wurde ab Januar 2004 schließlich für sämtliche Organisationen, die im Rahmen einer kommerziellen Tätigkeit innerhalb einer Provinz personenbezogene Daten erheben, verarbeiten oder weitergeben, gültig. Das dieses Gesetz einen angemessenen Schutz für die Übermittlung bestimmter personenbezogener Daten aus der EU nach Kanada bietet, wurde durch die Entscheidung der Kommission im Dezember 2001 (2002/2/EG) anerkannt.^[34].

5.2.4.2 Japan

Japan versucht sich der durch die europäische Datenschutzrichtlinie ausgelösten internationalen Entwicklung anzupassen. Bislang deckt der 1988 erlassene "Act for Protection of Computer-Processed Personal Data held by Administrative Organs" allerdings nur den öffentlichen Sektor ab, während der private Sektor nur durch Selbstregulierung bestimmt wird. 1998 erließ Japan die "ECOM Guidelines for Transaction between Virtual Merchants and Consumers" die Angaben beinhalten die den Schutz persönlicher Daten im E-Commerce betreffen.

Seitens der EU liegt über den Stand des Datenschutzes in Japan bislang keine Stellungnahme vor^[35].

5.2.4.3 Australien und Neuseeland

Seit 1988 hat Australien Rechtsvorschriften, die den öffentlichen Sektor auf Commonwealth-Ebene betreffen. Der "Privacy Act" enthält für diesen Bereich ausführliche Datenschutzgrundsätze auf Basis der OECD (Organisation for Economic Co-operation and Development) Leitlinien. Gegenüber diesem Gesetz enthält das im Dezember 2000 vom australischen Parlament verabschiedete "Privacy Amendment (Private Sector) Bill 2000" Ergänzungen die die Handhabung personenbezogener Daten durch Einrichtungen des Privatsektors regeln.

In Neuseeland wurden sowohl 1982, 1993 als auch 2000 datenschutzrechtliche Bestimmungen erlassen. Jedoch gelten die Rechte in diesen Datenschutzbestimmungen nur für Neuseeländer und es fehlt eine Datenschutzausführkontrolle^[36].

5.2.4.4 Argentinien, Norwegen und Schweiz

Argentinien ist das erste lateinamerikanische Land, das von der EU den Status eines Landes mit angemessenem Schutz für personenbezogene Daten erhalten hat. Diese Tatsache kann weitere Länder in der Region dazu veranlassen, ebenfalls ihre Datenschutzrechte zu verbessern.

Neben Schweden und Dänemark gehörte Norwegen zu den ersten Nationen mit einer strengen Datenschutzgesetzgebung. Wer hier sensitive personenbezogene Daten verarbeiten möchte, muss im Besitz einer staatlich erteilten Lizenz sein.

Das eidgenössische Gesetz über den Datenschutz der Schweiz sowie die rechtliche Lage der Kantone sind nach Ansicht der EU ausreichend um den Anforderungen der von der Schweiz ebenfalls ratifizierten Richtlinie 95/46/EG gerecht zu werden^[37].

5.3 Technische Grundlagen

Die nächsten Beispiele verdeutlichen, wie aus technischer Sicht mit Datenschutz und seinen Anforderungen im Internet umgegangen werden kann. Das Wissen der Cloud Provider - besonders im Bezug zum Datenschutz - kann durch spezielle Filter (analog zu Viruserkennungssoftware) auf die Daten angewandt werden. Der CPO (Chief Privacy Officer) ist in der Verantwortung, dafür zu sorgen, dass die geltenden Richtlinien und Bestimmungen in Regeln für die Software umgesetzt werden^[38].

5.3.1 Beispiel P3P

Das P3P (Platform for Privacy Preferences) Project, welches seit April 2002 vom W3C (World Wide Web Consortium) als Standard empfohlen wird, hat sich zum Ziel gesetzt, den Datenschutz (hauptsächlich von Privatanwendern) innerhalb des Internets mit Fokus sozialer Netzwerke zu verbessern. Es geht dabei um das Entwickeln einer standardisierten Sprache im XML Format, um Datenschutzrichtlinien vom Anbieter zum Anwender zu übermitteln. Anwendungen auf Seite der Anwender, wie beispielsweise Web-Browser, können die Richtlinien anschließend mit den Einstellungen der Anwender vergleichen und halbautomatisch Vorschläge unterbreiten, inwieweit die Wünsche der Anwender in Bezug auf Datenschutz eingehalten werden oder nicht^[39].

P3P versucht den Nutzern ein halb- bis vollautomatisiertes Management ihrer informationellen Selbstbestimmungsrechts zu ermöglichen, welches diese durch die vorherige Hinterlegung ihrer Datenschutzvorstellung in digitaler Form ausüben kann^[40]. Erst wenn dies gewährleistet ist, werden Anwender Vertrauen in das Internet haben um dort ihre persönlichen Daten zu speichern. Ein Ansatz dafür ist ein Einsatz eines Identitätsmanagements, damit die Anwender verschiedenen Anwendungen gegenüber unterschiedliche Anforderungen / Profile übermitteln können^[41]. Ähnliche Möglichkeiten bietet OpenID, eine freie, auf Anwender fokussierte digitale Identitätsmanagementtechnologie. OpenID unterstützt Anwender beim Erstellen, Verwalten, Löschen und Einsetzen verschiedener Identitäten für alle Internet Dienste, welche OpenID einsetzen^[42]. Daraus entsteht eine größere Kontrollmöglichkeit über die eigenen Identitäten, deren konkreten Daten und Einsatzorte^[43].

Kritiker bemängeln bei P3P die geringe Verbreitung von nur 15% der Top 5.000 Web Angebote und die schlechte Qualität ihrer P3P Angaben. Zudem gibt es keine Verpflichtung, das die per P3P veröffentlichten Angaben mit den tatsächlichen Praktiken übereinstimmen müssen^[44], da die Rechteverwaltungs- und Durchsetzungsvorgänge zwar auf dem P3P-Client der Nutzer ablaufen, jedoch durch Falschangeben innerhalb der Datenschutzerklärungen des Anbieters manipuliert werden könnten^[45].

5.3.2 Beispiel EPAL

Die für ein betriebliches oder behördliches Datenschutzmanagement notwendigen Kontextinformationen sollen durch die EPAL (Enterprise Privacy Authorization Language) maschinenlesbar abgebildet werden. Somit sollen Kontrolle und Durchsetzung betrieblicher oder behördlicher Datenschutzvorgaben durch Programme im Netz, mittels Auswertung der am Datum der personenbezogenen Daten angefügten Metadaten in Form von Richtlinien, automatisch umgesetzt werden können^[46].

Beispielsweise kann eine Autowerkstatt auf die vom zugehörigen Autohaus gespeicherte Fahrgestellnummer zugreifen wenn ein entsprechender Reparatur- oder Wartungsauftrag besteht. Möchte der Marketingmitarbeiter nun die Fahrgestellnummern alter Fahrzeuge ausgegeben bekommen um den Kunden entsprechende Angebote vorzulegen, wird er die Fahrgestellnummer nur erhalten, sofern der Kunde zuvor der werblichen Nutzung und Auswertung seiner Daten zugestimmt hat^[47].

5.3.3 Beispiel N3

Damit eine Regelsprache den Ansprüchen des Policy Aware Web gerecht werden kann, muss sie in einer Weise realisierbar sein, dass die Regeln über HTTP veröffentlicht, gefunden, aufgerufen und verteilt werden können. Außerdem muss sie so definiert sein, dass sie von den im Netz eingesetzten Protokollen profitieren kann. Hierfür muss sie in XML Dokumenten erkennbar sein und das Dokumenten Tagging nutzen können, die Verlinkungsmöglichkeiten des RDF (Resource Description Framework) sowie die Klassendefinitionen, die durch RDF Schema ermöglicht werden, und die mächtigen ontologischen Vereinbarungen die durch die Web OWL (Ontology Language) ermöglicht werden, nutzen können.

Eine solche Sprache ist derzeit noch immer in der Entwicklungsphase, doch wurde die auf RDF basierende Regelsprache N3 (Notation3) im Jahr 2000 von Tim Berners-Lee von Grund auf entwickelt, um mit einer Vielzahl von Grundsätzen der Internetarchitektur übereinzustimmen. Die XML Syntax von N3 ähnelt RDF, sie ist jedoch erheblich einfacher. N3 wurde zusätzlich darauf ausgelegt, eng mit der ebenfalls RDF basierten und speziell für die Nutzung im Web definierten Inferenzmaschine CWM (Common Warehouse Metamodel) zusammen zu arbeiten^[48].

5.4 Fokus Cloud Computing

Das Internet hat einen Paradigmenwechsel hervorgerufen. Während traditioneller Datenschutz darin bestand, Bürger vor Datenmissbrauch durch öffentliche und staatliche Institutionen zu schützen, müssen Anwender neuerdings primär vor sich selbst geschützt werden. Anwender stellen von sich aus private Inhalte und Daten ins Internet, in der Annahme, ihre Daten seien dort sicher gespeichert und gegen ungewollten Zugriff geschützt. Gegenwärtig wächst die erste Generation von Anwendern heran, die mit dem Internet groß wird. Diese Generation hat eine anderes Verständnis von Privatsphäre und öffentlichem Raum und ist - auch deshalb - bereit, Kompromisse bezüglich Datenschutz einzugehen.

Ein Ende dieser Entwicklung ist nicht abzusehen, da das Internet angetrieben von (neuen) Cloud Computing Modellen weiter in die Geschäftswelt vordringt und somit zu einem selbstverständlichen Teil des Arbeitslebens wird. Die sich entwickelnde Aufgeschlossenheit und die daraus entstehende Verschlossenheit bezüglich Datenschutz führt zu naivem Verhalten im Internet, dem durch gezielte Aufklärung in der Schule und im öffentlichen Bewusstsein entgegengewirkt werden muss^[49][50].

Die Grenzen zwischen online und offline verwischen durch Cloud Computing mehr und mehr. Ziel ist vollständige Transparenz, so das Anwender nicht mehr zwischen online und offline unterscheiden können. Das bedeutet, Anwender sind nicht in der Lage, Aussagen zu treffen, ob die Daten lokal oder im Internet gespeichert und verarbeitet werden, wodurch sie u.U. unwissend gegen Datenschutzbestimmungen verstoßen^[51].

Hinzu kommt ein Problem in der sozialen Interaktion im virtuellen Raum. Während sich beispielsweise der Besucher einer klassichen Bibliothek der Gegenwart anderer Besucher bewusst ist und auf deren Verhalten direkt reagieren kann, scheint der Benutzer einer Online-Bibliothek alleine zu sein. Er wird nicht mitbekommen, wenn ihn jemand während seines Besuchs ausspioniert. Dieses täuschende Gefühl der Privatsphäre kann den Benutzer der Online-Bibliothek dazu verleiten, persönliche Daten eher in einer Datenbank zu hinterlegen, als den Besucher einer normalen Bibliothek. Dieser wird eher auf die Seriosität der Einrichtung, derer Benutzer und des Bibliothekars reagieren, um zu entscheiden, wieviel er von sich selbst preisgibt. Er ist auch in der Lage sein Gegenüber direkt zu fragen, wozu diese Daten verwendet werden und kann mit ihm gegebenenfalls klären, inwieweit es ihm recht ist, seine Daten in der Bibliothek zu hinterlegen. In der Online-Bibliothek bleibt dem Benutzer nur die Möglichkeit, die AGB zu lesen und zu akzeptieren. Er muss sich selbst erkundigen, ohne auf Erklärungen hoffen zu können. Diese Tatsache verleitet manchmal aufgrund fehlender Zeit, fehlender Skepsis und blindem Vertrauen dazu, genannte AGB einfach zu akzeptieren, ohne sie wirklich gelesen oder verstanden zu haben. Bislang gibt es keine Systeme, die sicherstellen können, dass die AGB wirklich gelesen wurden, sondern bestenfalls ob sie angezeigt wurden. So gibt er dann Informationen über sich heraus ohne zu wissen, wofür sie dank seines Einverständnisses verwendet werden können^[52].

6 Beispiele

6.1 Organisationen

6.1.1 Open Cloud Manifesto

Das von einigen großen, international operierenden Unternehmen der IT Branche unterstützte Open Cloud Manifesto^[53] versucht technische Kompatibilität zwischen Lösungen verschiedener Cloud Provider zu schaffen. Das Ziel ist, (technische) Abhängigkeiten zu verringern, den Wettbewerb zu stärken und einen Wechsel von einem zu einem anderen Cloud Provider zu vereinfachen.

6.1.2 OECD

Die OECD hat Richtlinien (Guidelines on the Protection of Privacy and Transborder Flows of Personal Data) zum Umgang mit Daten in Bezug auf Sicherheit und Datenschutz erstellt^[54]. Daraus lassen sich acht Grundsätze ableiten, um einen fairen Umgang mit personenbezogenen Daten zu gewährleisten. Besonderes Wert gelegt wird auf den Begriff der Datenvermeidung. Darunter ist zu verstehen, dass Daten, welche nicht direkt gesammelt werden, durch Zusammenführen und Aggregieren verschiedener Datenbestände über definierte Relationen geschaffen werden können^[55].

Latanya Sweeney^[56] hat 2001 in einer Studie gezeigt, dass mit geringem Aufwand und einem kleinem Budget unvollständige Teildaten durch gezieltes Verknüpfen und Aggregieren zu einem Ganzen zusammengefügt werden können. Damit hat sie bewiesen, dass k-Anonymität^[57] allein nicht ausreicht, anonymisierte Datenbestände gegen Reidentifizierung zu schützen^[58].

Beispielsweise können mehrere Abfragen auf einen scheinbar ausreichend anonymisierten Datenbestand Informationen offenbaren, die nicht direkt erkennbar sind. Das Problem besteht darin, das die einzelnen Abfragen für sich genommen keine Informationen preisgeben, die nicht preisgegeben werden sollen. Erst ihre Kombination schafft Erkenntnisse über die Daten der Einzelabfragen hinaus.

Folgendes Beispiel ist denkbar^[59]:

• Im ersten Schritt wird die Summe aller Gehälter aller Mitarbeiter eines Unternehmens abfragt
• Im zweiten Schritt wird die Summe aller Gehälter aller Mitarbeiter abzüglich dem Chef eines Unternehmens abfragt
• Im dritten Schritt wird die Differenz gebildet, welche die Summe des Gehalts des Chefs entspricht

Cloud Computing Anwendungen unterstützen ggf. derartige Szenarien, da die Datenbestände u.U. auf verschiedenen Systemen verteilt gespeichert sind und die Einzelabfragen seitens des Cloud Providers nicht im Zusammenhang gesehen werden können.

Besonders die Datenschutz-Vereinbarung "Safe Harbor" aus dem Jahr 2000 zwischen der EU und den USA wird von Sweeneys Ergebnissen als nicht ausreichend und in eine falsche Richtung gehend identifiziert^[60].

6.2 Regierungen

6.2.1 ECPA

Das ECPA (Electronic Communications Privacy Act) Abkommen aus dem Jahr 1986 drückt die Notwendigkeit des Datenschutzes im Zeichen moderner, elektronischer Kommunikation aus. Für Kritiker gilt es allerdings als veraltet und überholt, da es komplex und kaum auf aktuelle technische Systeme anwendbar ist. Es ist nicht immer eindeutig entscheidbar, wann Teile des Abkommens für welche Sachverhalte gelten^[61].

6.2.2 USA PATRIOT Act

Der USA PATRIOT Act (Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act) von 2001 und der Novellierung 2005 beinhaltet schwerwiegende Zugriffsmöglichkeiten für das FBI auf Geschäftsdaten. Einige im ECPA verabschiedete Rechte werden wieder aufgehoben oder zumindest abgeschwächt und allgemein werden der US Regierung Möglichkeiten eingeräumt, durch Druck und Zwang Daten offen zu legen. Parteien (z.B. Cloud Provider), welche einen Bescheid zum Offenlegen von Daten erhalten, sind stark eingeschränkt in ihren Möglichkeiten, dies mitzuteilen. Durch diese Punkte wird der Datenschutz im Cloud Computing massiv durch den USA PATRIOT Act eingeschränkt^[62].

6.3 Unternehmen

6.3.1 Google

Google lässt keinen offenen Umgang oder Verantwortungsbewusstsein in Bezug auf Datenschutz erkennen. Trotz wiederholtem Auftreten von Sicherheitsproblemen in Anwendungen wie Google Gmail, Google Desktop oder Google Docs versichert Google, Daten, die bei Google abgespeichert werden, seien sicher gespeichert. Zusätzlich werden Anwender dazu ermutigt, persönliche (personenbezogene) Zusatzdaten ihren Dokumenten hinzuzufügen. Diese Angaben werden gemäß Google als privat behandelt, solange keine Einwilligung zur Veröffentlichung vorliegt. Auf der anderen Seite streitet Google in seinen AGB explizit jede Gewähr für etwaige Schäden durch Fahrlässigkeit oder Sorglosigkeit ab. Damit wägt Google seine Anwender durch Täuschung in falsche Sicherheit, wodurch seine Vertrauenswürdigkeit beeinträchtigt wird und eine geschäftliche Beziehung gut überlegt sein muss, zumal Google Interesse an der Verwertung der Daten zeigt^[63].

6.3.2 Microsoft

Neben dem Lizenzmodell baut Microsoft zusätzlich auch Cloud Computing auf. Da das SaaS-Geschäft (Software as a Service) von Provisionen geprägt ist, fallen mit diesem Modell zusätzliche Beratungsleistungen an. Hierfür stellt Microsoft Tools zur Verfügung, die den konkreten Bedarf und die Einsatzmöglichkeiten der Online-Angebote beim Kunden prüfen und hin zu Lösungsszenarien führen sollen. Wenn sich sich ein Unternehmen für eine Kombination aus lokal installierter Software und online genutzten Services entscheidet, unterstützen die Microsoft-Partner bei der Migration auf die Onlineservices, der Integration der Services auf vorhandenen Systeme und dem Training der Mitarbeiter^[64].

6.3.3 MySpace

MySpace behält sich das Recht vor, Daten, welche nach eigener Aussage nicht personenbezogen sind, mit Dritten zu teilen^[65]. Darunter fallen laut MySpace u.a. die IP-Adressen der Anwender, die jedoch zumindest Internetdienstanbietern eine einfache und klare Zuordnung zu einer Person zulassen, wodurch die IP-Adresse an sich unter personenbezogene Daten fällt und MySpace sich in die Grauzone des Datenhandels begibt^[66].

7 Sicherheit

Sicherheit in Form von Datensicherheit ist eine notwendige Voraussetzung, um Datenschutz umsetzen und gewährleisten zu können. Nur eine durch technische wie organisatorische Maßnahmen geschützte Infrastruktur ermöglicht den Betrieb von Anwendungen, die (halb-)automatisch in der Lage sind, kontextsensivite Entscheidungen bezüglich der Datenverarbeitung zu treffen. Hierfür muss die Umgebung sicher sein vor unbefugten Zugriffen, Manipulationsversuchen und sonstigen Eingriffen in den Ablauf der Datenverarbeitung.

7.1 Sicherheit in der Cloud

Datenschutz ist ohne Sicherheit nicht zu realisieren. Abbildung 1 zeigt den Zusammenhang und die Abgrenzung der beiden Begriffe. Datenschutz bezieht sich hauptsächlich auf den Schutz von personenbezogenen Daten während Sicherheit ihren Fokus auf den Schutz von Betriebs- und Geschäftsgeheimnissen legt.

Um Nachvollziehbarkeit bezüglich Zutritt, Zugang und Zugriff auf personenbezogene Daten zu gewährleisten, ist eine Protokollierung vorgeschrieben. Die dabei anfallenden Protokolle unterliegen strengen Auflagen, dem Grundsatz von Datensparsamkeit und - nach Ablauf gesetzlicher Aufbewahrungsfristen - schnellstmöglicher Löschung folgend^[68].

Vollständigen, hundertprozentigen Schutz durch perfekte Sicherheit wird es im Internet nie geben. Durch die zunehmendem geschäftlichen (und privaten) Datenbestände werden Cloud Computing Infrastrukturen zu einem immer lohnenderen Ziel für Kriminelle. Hier gilt es, aktive Sicherheitsmaßnahmen zu entwickeln und offen über das Thema (Daten-)Sicherheit zu diskutieren^[69].

Cloud Provider müssen u.a. durch eine geeignete Unternehmenskultur und Maßnahmen und Projekte Einfluss nehmen auf den konkreten Umgang mit Daten. Dafür müssen folgende Ziele erreicht werden^[70]:

• Verantwortungsbewusstsein jedes Einzelnen
• Ausbildung und Schulung aller mit personenbezogener Datenverarbeitung betrauten Mitarbeiter
• Bewusstsein für Datenschutz auf jeder Ebene der Unternehmenshierarchie

In zweiter Reihe werden sich viele kleine und mittelgroße Cloud Provider als Subunternehmer der Großen zu etablieren versuchen, woraus ein Preiskampf entsteht. Im Schatten dieses Verdrängungsprozesses ensteht für viele der betroffenen Cloud Provider ein Konflikt zwischen Kostenersparnis und der Notwendigkeit, qualifiziertes und motiviertes Personal zu rekrutieren oder durch Trainings und Schulungen für ihre Aufgaben und Anforderungen zu befähigen. Verschärft wird die Situation in der nächsten Zeit durch den Druck, neue Cloud Computing fähige Anwendungen zu entwickeln und auf den Markt zu bringen, wodurch große Teile des vorhandenen Kapitals gebunden werden. Außerdem ist bekannt, das viele Angriffe und Datendiebstähle durch interne Mitarbeiter begangen werden und das Risiko hierfür mit zunehmender Überlastung, Überforderung und sinkender Motivation steigt^[71][72].

7.2 Sicherheit und Datenschutz

Datenschutz bedingt Daten- und Systemsicherheit. Gemäß § 9 BDSG müssen alle Verarbeiter personenbezogener Daten technische und organisatorische Maßnahmen treffen, um die Daten und somit die damit verbundenen Personen zuverlässig zu schützen. Ohne derartige Maßnahmen kann Datenschutz nicht greifen, da er nicht angewendet werden könnte^[73].

Unternehmen, die auf Cloud Computing setzen, gehen über von traditioneller Datensicherheit durch physische Zugangs- und Zutrittskontrollen hin zum Vertrauen in die vom Cloud Provider eingesetzten Anwendungen und deren Entwickler. Es entsteht eine Kultur des "blinden Vertrauens" in Software, die von Hardware in Form von Fingerabdruck- oder Kartenlesegeräten nur noch unterstützt wird^[74][75].

Das, aufgrund der Einschränkungen denen die Nutzer von DRM (Digital Rights Management) geschützten Inhalten oftmals unterliegen, häufig als "Digital Restrictions Management" gescholtene DRM könnte als Lösung im Bereich des Datenschutzes weit weniger umstritten sein, als es bislang in der Musik- und Medienbranche der Fall ist. Denn durch eine Automatisierung enstehende Reduktion von Compliance-Kosten bei gleichzeitiger Erhöhung des tatsächlichen Datenschutzniveaus wären ein Vorteil für Anbieter und Nutzer. Doch für den Einsatz einer effektiven und somit sinnvollen DRM Lösung ist es zwingend erforderlich, eine vollständig vom Anwender kontrollierte Plattform zu verwenden. Seit zehn Jahren versucht die TCP (Trusted Computing Platform) Alliance und ihr Nachfolger TCG (Trusted Computing Group) durch den Einsatz ihrer Module die Kontrolle für den Anwender zu gewährleisten, doch bisher ist kaum Akzeptanz bei den Anwendern zu finden. Es bleibt abzuwarten, ob Anwender ein Entmünden durch Verwendung von Hardware^[76] zugunsten funktionierender (halb-)automatischer Rechtsdurchsetzung zukünftig akzeptieren werden^[77].

7.3 IT-Grundschutz

Das BSI (Bundesamt für Sicherheit in der Informationstechnik) hat unter dem Namen IT-Grundschutz^[78] einen Maßnahmenkatalog erstellt, welcher im Wesentlichen Schutzmaßnahmen für IT-Systeme auflistet und beschreibt. Es ist eine Art praktische Umsetzung des § 9 BDSG. Wichtig bei der Umsetzung der beschriebenen Maßnahmen ist, darauf zu achten, dass der betriebene Aufwand in einem angemessenen Verhältnis zum Schutzzweck steht.

Darin enthalten sind Bausteine (B), Gefährdungskataloge (G) und Maßnahmenkataloge (M):

• B 1: Übergreifende Aspekte der Informationssicherheit
• B 2: Sicherheit der Infrastruktur
• B 3: Sicherheit der IT-Systeme
• B 4: Sicherheit im Netz
• B 5: Sicherheit in Anwendungen

• G 1: Höhere Gewalt
• G 2: Organisatorische Mängel
• G 3: Menschliche Fehlhandlungen
• G 4: Technisches Versagen
• G 5: Vorsätzliche Handlungen

• M 1: Infrastruktur
• M 2: Organisation
• M 3: Personal
• M 4: Hard- und Software
• M 5: Kommunikation
• M 6: Notfallvorsorge

Gemeinsamkeiten zum BDSG finden sich in folgenden Punkten^[79]

• Zutrittskontrolle: Unbefugten soll der Zutritt verwehrt werden (§ 9 Satz 1 BDSG, Ziffer 1)
• Zugangskontrolle: Unbefugten soll das Nutzen von Datenverarbeitungssystemen verwehrt werden (Anlage zu § 9 Satz 1 BDSG, Ziffer 2)
• Zugriffskontrolle: Nur Berechtigte dürfen personenbezogene Daten lesen, kopieren, ändern und löschen (§ 9 BDSG, Ziffer 3)
• Weitergabekontrolle: O.g. Punkte müssen bei einer Datenübermittlung eingehalten werden (§ 9 Satz 1 BDSG, Ziffer 4)
• Eingabekontrolle und Auftragskontrolle: Alle Verarbeitungsschritte personenbezogener Daten müssen dokumentiert werden (§ 9 Satz 1 BDSG, Ziffern 5 und 6)
• Verfügbarkeitskontrolle: Vertraulichkeit und Integrität müssen ständig gewährleistet sein (§ 9 Satz 1 BDSG, Ziffer 7)

8 Bewertung

Nach Darstellung der allgemeinen, technischen und rechtlichen Grundlagen in Bezug zum Datenschutz bei Cloud Computing und nachfolgender Analyse ausgewählter Beispiele und abschließender Auflistung von Gemeinsamkeiten und Abgrenzungen zur Datensicherheit folgt nun die daraus abgeleitete Bewertung. Zunächst werden Vorteile, die der Datenschutz im Zusammenhang mit Cloud Computing erfährt, aufgelistet, danach folgen die entstehenden Nachteile. Im Abschluss werden Vor- und Nachteile gegeneinander abgewogen, ein Fazit gezogen und ein kleiner Ausblick gewährt.

8.1 Vorteile

Die folgende Auflistung zeigt mögliche Vorteile für Unternehmen und Cloud Provider. Die Vorteile für Unternehmen liegen hauptsächlich in der Abgabe von Verantwortung, der Konzentration auf die eigenen Geschäftsprozesse und flexiblen Möglichkeiten bedarfsorientierter Verwendung von Cloud Computing Ressourcen. Unternehmen können dabei auf den Druck der Öffentlichkeit zählen, unter dem die Cloud Provider stehen.

Cloud Provider können ihre Ressourcen an Spezialisten aller für Datenschutz relevanten Fachrichtungen nutzen um Unternehmen eine Komplettlösung für ihre Geschäftsprozesse unter Einhaltung aller Datenschutzanforderungen anzubieten.

8.1.1 Unternehmen

8.1.1.1 Teilabgabe der Verantwortung

Cloud Computing bringt den Aspekt mit sich, das sensible Daten nicht mehr lokal bei den Anwender gespeichert werden (müssen). Dies hat zur Folge, das Cloud Computing relativ immun ist gegen einige Formen traditioneller Sicherheitslücken; es gibt keine Datensicherungskopien mehr, die verloren gehen oder gestohlen werden können. Auf Notebooks und USB-Sticks werden keine sensiblen Daten mehr dauerhaft gespeichert und Daten liegen nicht mehr schwach ver- oder gar unverschlüsselt vor. Es gibt keine Notwendigkeit, lokale Anwendungen oder Datenbestände zu dulden oder CD-Laufwerke und USB-Steckplätze an normalen Arbeitsplatz zu aktivieren^[80].

Somit bestehen auf Seite der Unternehmen nur noch wenige Angriffspunkte, die abgesichert werden müssen. Wenn beispielsweise ein Außendienstmitarbeiter Zugriff auf eine Cloud Computing Anwendung benötigt, so liegt es in der Hand des Cloud Providers, den Zugang zu schützen und zu verwalten. Der Cloud Provider muss in einem gewöhnlichen Umfeld nur wenige technische Zugangsmöglichkeiten überwachen und schützen. Die Unternehmenssicherheit hängt maßgeblich von den Vorkehrungen ab, die der Cloud Provider vorsieht und anwendet, die Infrastruktur zu schützen^[81].

Die Verantwortung für die Daten und deren Schutz kann nicht vollständig vom Unternehmen auf den Cloud Provider übertragen werden. Die Kontrolle, ob allen Pflichten korrekt nachgekommen wird, muss durch das Unternehmen passieren^[82].

Bei Unternehmen ab zehn Beschäftigten und Geschäftsprozessen, die automatisiert mit der Verarbeitung personenbezogener Daten befasst sind oder 20 Beschäftigten und manueller Verarbeitung personenbezogener Daten ist ein Datenschutzbeauftragter gesetzlich vorgeschrieben. Gemäß einem Urteil des Ulmer Landgerichts^[83] muss ein Datenschutzbeauftragter über folgende Kenntnisse und Fähigkeiten verfügen^[84]:

• Anwendung der Vorschriften der Datenschutzgesetze des Bundes und der Länder und alle anderen den Datenschutz betreffenden Rechtsvorschriften
• Kenntnisse der betrieblichen Organisation^[85]
• didaktische Fähigkeiten
• psychologisches Einfühlungsvermögen
• Organisationstalent
• angemessener Umgang in Konflikten um seine Person, seine Funktion und seine Aufgabe

8.1.1.2 Konzentration auf Geschäftsprozesse

Unternehmen haben durch Cloud Computing die Möglichkeit, Geschäftsprozesse auszulagern, die nicht zum Erfüllen des Kerngeschäfts zwingend notwendig sind. Dadurch können sich Unternehmen einfacher auf bestimme Bereiche innerhalb ihrer Branche spezialisieren, um Nischen zu besetzen. Durch Reduktion auf das Wesentliche können Unternehmen kosteneffizienter ihre Produkte und Dienstleistungen am Markt anbieten^[86].

Eine dieser sekundären Prozesse ist beispielsweise die Pflege von Maßnahmen zur Gewährleistung von Datenschutz. Datenschutz - stark vom rechtlichen Rahmen abhängig - kann von Cloud Providern besser und kostengünstiger überwacht und eingehalten werden (wobei die Verantwortung beim Unternehmen bleibt). Außerdem ist es für Cloud Provider aufgrund ihrer Erfahrung^[87] auf dem Gebiet Datenschutz einfacher, schnell auf neue Anforderungen zu reagieren, wenn beispielsweise ein Markt im Ausland erschlossen werden soll.

8.1.1.3 Öffentlicher Druck

Die Öffentlichkeit in Person der Anwender können durch einen Trendwechsel weg vom klassischen CRM (Customer Relationship Management) hin zum CMR (Customer Managed Relationship) die Machtverhältnisse umkehren. Viele Inhalte werden gegenwärtig von Anwendern geliefert, die Internet Dienstleister stellen i.d.R. nur die nötige Plattform und Infrastruktur. Die Verfügung über die Inhalte verleiht den Anwendern die Macht, den Dienstleistern einen Rollentausch aufzuzwingen. Anstatt die Kontrolle, wer was mit welchen Daten machen darf von den Dienstleistern diktiert zu bekommen, können Anwender einfordern, dies selbst zu entscheiden. Damit konzentrieren sich beide Parteien auf ihre jeweiligen Stärken: die Anwender verwalten die Inhalte, die Dienstleister die Infrastruktur. Ein Unternehmen, welches den Tausch vorgenommen hat, ist beispielsweise Vivendi Universal, deren Anwender frei entscheiden können, wie die Kommunikation zwischen ihnen und Vivendi Universal stattfinden soll^[88].

Policy Awareness beginnt mit transparentem Zugriff auf die Regeln jeglicher Ressource. Zwar ist es heute bereits möglich, Regeln im Web zu implementieren und zu nutzen, doch ist das noch weit entfernt von einer absoluten Realisierung von Policy Awareness. Regeln über das HTTP ausdrückbar, veröffentlichbar und austauschbar zu machen, stellt bereits einen großen Fortschritt in der Transparenz dar. Diese Möglichkeiten in die Hände der Anwender zu legen ergeben einen großen Aufwand. Man muss herausfinden, wie man Benutzerschnittstellen erstellt, die brauchbaren Zugriff auf soziale Regeln ermöglichen und Werkzeuge zur Verfügung stellen die eine Gemeinschaft in die Lage versetzen, über Regeln zu entscheiden und diese zu entwickeln^[89].

Der Druck, keine Fehler oder Unstimmigkeiten in Bezug zu Datenschutz zuzulassen, wird durch den Markt ausgeübt. Probleme seitens eines Cloud Providers können durch seine Wettbewerber umgehend gemeldet werden, wodurch das Image des Cloud Providers geschädigt wird, und das in einem Markt, der stark von Vertrauen und etablierten, "sauberen" Marken abhängt. Desweiteren überwachen staatliche Institutionen und unabhängige NGO (Non-governmental organization) den Markt auf der Suche nach Nichteinhaltungen von Datenschutzbestimmungen.

8.1.2 Cloud Provider

8.1.2.1 Kosten

8.1.2.1.1 Kostenentstehung

Cloud Provider mit einem großen Kundenstamm und daraus resultierenden Anforderungen an Datenschutz haben eher^[90] die die Möglichkeit, Datenschutzmaßnahmen stark zu automatisieren. Hierzu sind initiale Investitionen notwendig, die sich aus Sicht einzelner Unternehmen nicht lohnen oder nicht zu finanzieren sind. Für Cloud Provider entstehen auf der einen Seite nicht zu vernachlässigende Kosten, auf der anderen Seite wird eine für viele (potentielle) Kunden interessante Lösung geschaffen, wodurch ein Wettbewerbsvorteil entsteht, über den die Kosten refinanziert werden können.

Voraussetzung für eine Automatisierung ist, das die Daten maschinell ihrem Kontext entsprechend verarbeitet werden können. Hierfür ist der Einsatz von Metadaten denkbar, wie sie beispielsweise durch EPAL beschrieben werden^[91].

8.1.2.1.2 Kostenverteilung

Cloud Provider können die Kosten zur Erstellen Datenschutz gewährleistender Maßnahmen auf ihre Kunden umverteilen. Um einen neuen und bedeutenden Kunden zu gewinnen, kann der Cloud Provider beispielsweise eine Zeit lang diese Kosten nicht in Rechnung stellen, um ein günstiges Angebot unterbreiten zu können.

Wenn die Kundenbasis ausreichend groß ist und die initial anfallenden Kosten zum Gewährleisten von Datenschutz größtenteils eingenommen sind, können diese Kosten u.U. neuen Kunden anteilig in Rechnung gestellt werden, je nach Marktmacht und teils politischen Interessen der beteiligten Parteien.

Die entstehende Flexibilität versetzt Cloud Provider in die Lage, kostenaggressiv im Markt zu agieren ohne Gefahr zu laufen, ihre Kosten nicht einnehmen zu können, da die Kosten je nach Situation den unterschiedlichen Kunden zu Teilen aufgebürgt werden können, ohne das ein Kunde allein die gesamten anfallenden Kosten tragen muss.

8.1.2.2 Ressourcen

Kleine und mittelgroße Hersteller von IT-Lösungen verfügen oftmals nicht über ausreichende Ressourcen, um Datenschutz komplett und aus einer Hand anbieten zu können. Cloud Provider haben hier den Vorteil, Stellen für Datenschutzbeauftragte anzubieten, die einerseits fachkundig auf dem Gebiet des Datenschutzes sind, andererseits die Technik und das Unternehmen^[92] und dessen interne Organisationsstruktur kennen. Schwerpunkte von Datenschutzbeauftragten sind die Anwendung rechtlicher Vorschriften, Schulungen, um das Bewusstsein für das Thema Datenschutz zu stärken, Konfliktmanagement zwischen betroffenen Parteien^[93] und Organisation der zuvor genannten Tätigkeiten^[94].

Große Cloud Provider können sich aufgrund ihrer Vielzahl an Spezialisten und Fachkräften leisten, die sich allesamt unter der Aufsicht eines CPO mit den Themen Datensicherheit und -schutz auseinandersetzen und ihre Erkenntnisse umsetzen. Dies kommt den eigenen Mitarbeitern und den Cloud Computing einsetzenden Unternehmen zu Gute^[95].

CPOs der Cloud Provider sind sowohl für die eigenen Mitarbeiter als auch für die Belange der Kunden verantwortlich. Da die Daten der Kunden von immenser Bedeutung sind und das wertvollste Gut der Cloud Provider darstellen, müssen die CPOs Kompromisse zwischen beiden Parteien eingehen, die häufig zu Lasten der eigenen Mitarbeiter gehen. Insgesamt sind die CPOs gezwungen, einen Balanceakt zwischen den involvierten Interessenparteien der eigenen Mitarbeiter und Kunden, den rechtlichen Rahmenbedingungen und der Sicherheit zu machen und dabei das Ziel Datenschutz nicht vernachlässigen^[96].

8.1.2.3 Standards

Der heute übliche Zugriff auf personalisierte Anwendungen im Internet benutzt auf die Identität basierende Ansätze, bei denen der Zugriff auf die Daten durch bereits existierende Vereinbarungen zwischen dem Eigentümer der Daten und denen, die Zugriff auf diese Daten haben möchten, ausgehandelt wird. Eine passwortgeschützte Website, bei der demjenigen Zugriff erlaubt wird, der die korrekte Kombination aus Benutzernamen und Passwort eingibt, ist ein einfaches Beispiel hierfür. Identitätsschemata werden ebenfalls in viele Datenbanken für den Online- sowie Offlinezugriff verwendet. Um die Sicherheit zu erhöhen wird jedoch zumeist der Fokus auf Public-Key-Zertifikate gelegt.

Rollenbasierter Zugriff ist ähnlich dem identitätsbasiertem, doch wird hierbei kein Benutzer sondern die Klasse von Benutzern (also Benutzer, die beispielsweise eine bestimme Rolle im Unternehmen haben) überprüft und der Zugriff gewährt oder verweigert.

Auf diese Art ist beispielsweise der Zugriff auf die Webseite des W3C gesichert. Hier können Benutzer in drei Klassen anhand Ihrer Rollen eingeteilt werden. "Team" hat Zugriff auf alle Dateien, "Member" hat Zugriff auf alle Dateien außer sie sind mit "Team" markiert und "Public" hat Zugriff auf alle Dateien die nicht mit "Team" oder "*" markiert sind^[97].

Bei Rule-Based Zugriffen wird ein deklarativer Satz an Regeln angewendet um feiner granulierten Zugriff auf Ressourcen sowie Abfragen von Daten, die eine "Demonstration" enthalten, dass die im Regelwerk definierten Regeln auch eingehalten werden, zu definieren. Eine derartige Demonstration der Einhaltung des Regelwerks kann sehr einfach sein. Beipielsweise haben die meisten kommerziellen Implementierungen des Rule-Based Zugriffs nur einfache Bedingungen, bei denen Informationen in (Public-Key) Zertifikaten mit den Informationen in den Datan übereinstimmen müssen^[98].

8.1.2.4 Zertifikate und Audits

Von unabhängigen Organisationen durchgeführte und ausgestellte Zertifikate und Audits sind eine Möglichkeit zu belegen, wie und mit welcher Motivation Cloud Provider die Themen Sicherheit und Datenschutz angehen und umsetzen. Denkbar sind Klassifizierungen, nach denen entschieden werden kann, welche Art von Daten welchem Cloud Provider am wirtschaftlichsten zur Verarbeitung überlassen werden kann. So kann langsam eine Vertrauensbasis zwischen Cloud Providern und Anwendern entstehen, wodurch Zweitere ggf. bereit sind, ihre Daten beispielsweise für Marketingmaßnahmen freizugeben. Bedingung hierfür ist, das Anwender Cloud Providern vollständig vertrauen und sich zu recht einen Vorteil aus der Übereinkunft erhoffen. Zusätzlich können Zertifikate als Wettbewerbsvorteil beworben werden^[99][100].

Durch die Novellierung des BDSG ist ein Datenschutzaudit in Form des § 9a im Gesetz verankert. Es ist nun möglich, technische Einrichtungen wie beispielsweise Serverräume von unabhängigen und zugelassenen Gutachtern prüfen und bewerten zu lassen^[101].

Ein Beispiel für ein Zertifikat ist der am 15. Oktober 2005 von ISO (International Organization for Standardization) und IEC (International Electrotechnical Commission) zusammen verabschiedete ISO/IEC Standard 27001. Er entstand aus zwei zuvor konkurrierenden Arbeiten^[102] unter dem neuen Kurztitel "Anforderungen an IT-Sicherheits-Managementsysteme"^[103].

Es wird beschrieben, wie ein ISMS (Information Security Management System) erstellt, betrieben und dokumentiert werden soll. Es wird der PDCA-Ansatz (Plan-Do-Check-Act) zugrunde gelegt, welcher beispielsweise auch in den neuen BSI-Standards 100 verwendet wird. Hier eine Auflistung der wesentlichen Kapitel^[104]:

• Zielsetzung
• Bezugsnormen
• Begriffe und Definitionen
• Allgemeine Anforderungen an ein ISMS
• Etablieren des ISMS
• Implementieren und Betreiben des ISMS
• Überwachen und Prüfen des ISMS
• Unterhalten und Verbessern des ISMS
• Erforderliche Dokumentation
• Kontrolle der Dokumentation
• Kontrolle von Aufzeichnungen
• Übernahme der Managementverantwortung
• Bereitstellen von Ressourcen
• Schulung und Sensibilisierung
• Interne Audits
• Managementprüfung des ISMS
• Zu berücksichtigende Erkenntnisse
• Ergebnisse der Managementprüfung
• Stetige Verbesserung des ISMS
• Korrigierende Maßnahmen
• Vorbeugende Maßnahmen

8.2 Nachteile

Nachteile entstehen überwiegend für Unternehmen. Sie müssen ihre sensiblen Daten Dritten anvertrauen und daraus resultierend einen Verlust an Kontrolle hinnehmen. Für Cloud Provider entsteht das Problem, das sie das Thema Datenschutz abdecken müssen, wodurch Investitionen in entsprechendes Wissen notwendig wird und kleine Cloud Provider wirtschaftlich nur schwer bestehen können. Beiden Parteien entstehen Probleme durch abnehmende Datenqualität aufgrund von bewussten Falschangaben.

8.2.1 Unternehmen

Unternehmen müssen Verlust an Kontrolle akzeptieren, da sie ihre Daten in die Hände Dritter übergeben müssen. Dabei müssen vertragliche Grundlagen zusätzlich zu den AGB abgeschlossen werden, um beim Eintritt eines Problems keinen großen finanziellen oder Imageschaden fürchten zu müssen. Zumindest für die Zeitdauer der Beanspruchung des Dienstes besteht sowohl technisch (trotz Anstrengungen wie dem Open Cloud Manifesto) wie auch wirtschaftlich eine große Abhängigkeit. Vor dem Hintergrund dieser Risiken müssen Unternehmen eine sorgfältige und wohl überlegte Auswahl möglicher Cloud Provider treffen. Erschwert wird dies durch die von außen schlecht nachvollziehbaren Cloud Provider internen Faktoren wie Besitzverhältnisse, Machtverhältnisse, Seriosität, Liquidität und Bonität^[105].

Für Unternehmen entsteht dabei ein Konflikt. Sind sie selbst zu klein, um komplett in Eigenregie Datenschutzrichtlinien umsetzen und gewährleisten zu können, kann ein Problem auftreten, wenn parallel gesetzliche Bestimmungen das Outsourcen von Datenschutz relevanten Prozessen nicht erlaubt. In diesem Fall müssen betroffene Unternehmen unverhältnismäßig große Aufwendungen erbringen, um dennoch Datenschutzmaßnahmen betreiben zu können.

8.2.1.1 Transfer sensibler Daten

Mit Hilfe von Cloud Computing können aus technischer Sicht praktisch Daten und Inhalte jeden Formats, Größe und Wichtigkeit gespeichert, verarbeitet und transportiert werden. Dies schließt ggf. geschäftskritische Daten wie vertrauliche E-Mails, Textdokumente und Tabellenblätter ebenso ein wie Fotos, Videos, Präsentationen und Steuererklärungen^[106]. Für Cloud Computing nutzende Unternehmen hat dies zur Folge, das Anwender u.U. Inhalte ins Internet^[107] stellen, die bei einer Sicherheitslücke seitens des Cloud Providers sehr viel schneller und einfacher einen Weg ins Internet^[108] finden als bisher. Wenn Anwender sich dieser Gefahr nicht bewusst sind, kann es sein, das sie "leichtsinnig" sehr sensible Daten ins Internet stellen. Wenn sie sich der Gefahr bewusst sind, kann dies wiederum zur Folge haben, das sie viele Inhalte aus Misstrauen nicht zur Verfügung stellen und somit die internen Prozesse innerhalb ihres Unternehmens stören oder behindern und allgemein die Akzeptanz von Cloud Computing in diesen Unternehmen sinkt.

Zusätzlich dürfen in vielen Ländern als besonders schützenswert angesehene Inhalte wie Patientenakten nicht ohne ausdrückliche Genehmigung offenbart werden. Dies schränkt aktuell die Möglichkeiten für beispielsweise Krankenhäuser und Ärzte stark ein, Cloud Computing effektiv und übergreifend zu verwenden^[109].

Unternehmen, die Cloud Computing nutzen, müssen sich bewusst sein, dass ihre Daten ohne ihre Kenntnis weltweit verteilt werden können. Das bedeutet, das sensible Daten beispielsweise in Ländern gespeichert werden, die ein stark abweichendes Rechtsverständnis und -system von Datenschutz haben als die Länder des bisherigen Einflussgebiets. Darüber hinaus kann nicht ausgeschlossen werden, das die Cloud Computing Infrastruktur von Personen geführt wird, für die aufgrund ihrer Herkunft oder Nationalität eine andere Gesetzgebung gilt als dies für den eigentlichen Cloud Computer Partner gilt^[110][111].

8.2.1.2 Kontrollverlust

Der Takt des Internets wird durch technische Entwicklungen maßgeblich vorgegeben. Politische Regelungen und Gesetze sind nach heutigem Stand häufig nicht in der Lage, Schritt zu halten. Dadurch entsteht die Situation, das die Gesetzgebung sich zukünftig schneller an neue (technische) Gegebenheiten anpassen muss. Tut sie dies nicht, verliert sie kurz- bis mittelfristig die Kontrolle über den Datenschutz im Internet und anschließend im Cloud Computing selbst.

Regierungen, (geheime) Staatsdienste und -organe, Behörden und andere Interessenten können im Falle des Verwendens von Cloud Computing Diensten u.U. schneller, einfacher und vor allem unauffälliger auf Daten von Unternehmen zugreifen, da sie sich direkt an den zuständigen Cloud Provider wenden können, um sich die Daten zu beschaffen. Cloud Provider haben ggf. mehr Interesse in der Aufklärung von Angelegenheiten eines Unternehmens als das Unternehmen selbst und wollen sich selbst nichts zu Schulden kommen lassen und kooperieren daher eher mit Dritten^[112]. Die Installation von Prozessen zum Scannen der gespeicherten Daten bezüglich Urheberrechtsverletzungen oder vermissten Personen könnten Cloud Providern aufgezwungen werden, ohne das die Unternehmen, deren Daten davon direkt betroffen wären, sich dagegen zur Wehr setzen können^[113].

Im Folgenden sind Risiken aufgelistet, welche im Zusammenhang von Internet und Datenschutz zu beachten sind^[114]:

• Kein Vergessen im Internet
  • Daten, die einmal im Internet gespeichert wurden, sind u.U. praktisch nicht mehr löschbar
  • Internet Dienstleister entziehen sich in einigen Fällen ihrer Aufgabe, Daten / Profile von Anwendern auf Anweisung zu löschen
• Gemeinschaft
  • Anwender werden durch den Begriff einer Gemeinschaft dazu verleitet, mehr Daten zu veröffentlichen als sie im konkreten Kontext möchten
• Datensammlung
  • Internet Dienstleister sind in der Lage, jede Aktion ihrer Anwender zu verfolgen, aufzuzeichnen und auszuwerten
  • Auf Anfrage können diese Daten von Interessenparteien angefragt werden, und die Daten müssen dann herausgegeben werden^[115]
• Veröffentlichen vermeintlich unverfänglicher Daten
  • Fotos können durch Gesichtserkennungssoftware Personen zugeordnet werden und dadurch weitere Verknüpfungen ermöglichen^[116]
  • IP-Adressen können zum Lokalisieren verwendet werden
  • Identitätsdiebstahl wird durch Preisgabe vieler Daten und der daraus ableitbaren Informationen einfacher

Typische Anwender hinterlassen persönliche Daten auf vielen Websites. Diese werden durch Cookies und IP-Adressen zu identifizierbaren und somit zuordnungsbaren Daten, ohne das der Anwender dies vollständig erkennen und nachvollziehen kann. Cloud Provider können u.U. diese Bewegungsdaten ermitteln und auswerten und daraus Verhaltensprofile ableiten, ohne das sich Anwender dessen bewusst sind. Dies hat zur Folge, dass Anwender und Unternehmen, die einen Großteil ihrer IT-Infrastruktur über einen einzelnen Cloud Provider abwickeln, Gefahr laufen, ihrem Cloud Provider das Erstellen von sehr detaillierten Profilen zu ermöglichen, wenn keine klaren (vertraglichen) Regelungen zu diesem Thema beschlossen werden^[117].

Ungeachtet des jungen Alters (erste Anfänge des Cloud Computing unter dem Namen ASP (Application Service Providing) schlugen bereits zu Dotcom Zeiten aufgrund zu geringer Bandbreiten fehl und wurden erst Anfang 2006 unter dem Namen SaaS wiederbelebt^[118]) ist der Cloud Computing Markt bereits von einigen wenigen Anbietern besetzt, die auch in vielen anderen Bereiche genau abgegrenzte Gebiete haben. Dieses schnell entstandene Oligopol etablierter Anbieter kann negative Auswirkungen auf den Wettbewerb unter den Cloud Providern haben, da jeder sein Segment besetzt hat und wenig Bewegung zu erwarten ist. Ein bereits nach kurzer Zeit derart aufgeteilter Markt bietet nur wenig Anreiz, große Mühen in eine sichere und sich dem Datenschutz vollständig bewusste Infrastruktur zu investieren. Zudem bieten Oligopole Angreifern die Möglichkeit, sich trotz Konzentration auf einen Anbieter zu einer Gefahr für viele Unternehmen zu werden^[119].

Durch den technischen Aufbau des Internets bedingt, und verstärkt durch die Unschärfe des Cloud Computings, ist eine durchgehende Überwachung der Datentransportwege praktisch unmöglich. Es können nicht immer alle beteiligten Verbindungspunkte genau bestimmt werden, wodurch das Problem entsteht, das ein einziger angreifbarer Verbindungspunkt ausreicht, alle übrigen Maßnahmen zur Datensicherheit und Datenschutz unwirksam zu machen.

8.2.1.2.1 AGB

Für Internet Dienstleister^[120] ist es gängige Praxis, sich das Recht vorzuhalten, jederzeit und ohne inhaltliche Einschränkungen ihre AGB zu ändern. Nutzer der Dienste haben u.U. keine Möglichkeit, sich dagegen zu wehren. Exakte Angaben zu den Besitz- und Beteiligungsverhältnissen eines Cloud Providers sind nicht immer zu bestimmen. Dies kann zur Folge haben, das Teile des Cloud Providers einem Staatskonzern gehören, welcher Daten mit Behörden oder anderen staatlichen Diensten^[121] teilt, ohne Kenntnis der Unternehmen^[122].

Cloud Provider haben die Möglichkeit, ihrerseits Subunternehmen zu beauftragen um Teile der Infrastruktur zu betreiben, ohne die beauftragenden Unternehmen davon in Kenntnis zu setzen. Somit haben Anwender von Cloud Computing keine Kontrolle darüber, wer ihre Daten wo speichert und verarbeitet oder unter welchen Gerichtsstand sie fallen. Wenn Unternehmen diese Ungenauigkeit bezüglich des konkreten Speicherortes ihrer Daten nicht bewusst und aktiv ausnutzen wollen, um sich beispielsweise Zugriffen der Justiz zu entziehen, sind weit über die AGB hinausreichende vertragliche Vereinbarungen notwendig^[123].

8.2.1.2.2 Marketingmaßnahmen

Eine große Befürchtung von 68% der Cloud Computing Anwendern ist, dass ihnen Werbung aufgrund ihrer eigenen Daten und den daraus gefolgerten Wünschen und Vorlieben eingeblendet wird. 80% äußern schwere Bedenken dahingehend, dass sie befürchten, ihre eigenen Daten wie beispielsweise Fotos könnten in Marketingmaßnahmen Verwendung finden^[124].

8.2.1.3 Gewährleistung

Cloud Computing bietet nicht mehr oder weniger Schutz vor Veränderungen auf Seiten der Geschäftspartner. Cloud Provider können Bankrott gehen, übernommen oder verkauft werden wie andere Unternehmen. 90% der Cloud Computing Anwender haben große Bedenken, wenn ihr Cloud Provider verkauft würde^[125].

Bei Eintritt eines Datenschutzproblems müssen sich Unternehmen bewusst sein, das die Verantwortung bei ihnen liegt. Unternehmen müssen ihre Cloud Provider regelmäßig bezüglich der Umsetzung von Datenschutzgrundsätzen kontrollieren^[126].

8.2.1.4 Imageschaden

Der Aufbau einer Marke ist ein zeit- und kostenintensiver Prozess. Gesichtsverlust durch schlechte Presse geht umso schneller, und auf Imageschaden folgt finanzieller Schaden durch Verlust an Vertrauen und Treue der Kunden. Im Falle von Datenschutzproblemen im Kontext des Cloud Computings wirkt sich der Schaden häufig auf das Unternehmen aus, welches Cloud Computing einsetzt, nicht auf den nach außen hin wenig sicht- und wahrnehmbaren Cloud Provider. Verstärkt wird dieser Effekt dadurch, dass Probleme für das Unternehmen nicht sofort sichtbar werden, wodurch eine schnelles Eingreifen erschwert wird. Vom Cloud Provider beauftragte Dritte sind selbst für das Unternehmen kaum sicht- und greifbar und in einem derartigen Umfeld scheinbarer Unantastbarkeit sinkt die Motivation, Probleme und Unregelmäßigkeiten schnellstmöglich zu berichten^[127].

Die Abnahme der Datenqualität (siehe Nachteile Cloud Provider) erschwert Unternehmen, die Daten automatisch auszuwerten und darauf aufbauend Entscheidungen zu treffen. Durch schlechte oder falsche Einschätzungen des Marktes bzw. der eigenen Kunden entsteht der Eindruck, die Unternehmen orientieren sich nicht an deren Wünschen, wodurch mit Kundenweggang und Imageschaden zu rechnen ist.

2003 begann die deutsche Metro, RFID Chips zu verwenden, um das Konsumverhalten ihrer Kunden schneller, besser und umfassender auswerten zu können. Die Kunden wurden nicht informiert und als die Maßnahme zufällig publik wurde reagierten diese mit Boykott. Der Schaden für die Metro war enorm und hält weiterhin an^[128], obwohl kein Gesetz gebrochen wurde^[129].

8.2.2 Cloud Provider

Aufgrund der Notwendigkeit für Cloud Provider, Maßnahmen zum Datenschutz zu erarbeiten und in ihre Angebote zu integrieren, ist es für kleine oder neue Anbieter schwer, sich im Markt zu etablieren. Zusätzlich zu den reinen Forschungs- und Entwicklungskosten sind Investitionen in entsprechende Fachkräfte und -wissen notwendig. Durch diese Markteintrittsbarriere werden viele Unternehmen den Schritt nicht wagen, aktiv ins Cloud Computing Geschäft einzusteigen, was nur für die etablierten Cloud Provider von Nutzen ist.

Anwender, die das Gefühl haben, den verwendeten (Cloud Computing) Anwendungen nicht Vertrauen zu können weil sie der Meinung sind, die Cloud Provider haben ein schlechtes Image oder schlechte Absichten mit den Daten der Anwender, wehren sich auf die einzige ihnen mögliche Weise, ohne den Dienst komplett zu meiden. Sie versuchen durch Falschangaben einerseits ihre Identität zu verschleiern und andererseits die Masse der Daten unbrauchbar für Marketingzwecke zu machen. Beispielsweise ist die meist verwendete Postleitzahl auf Websites 90210, bekannt durch eine Fernsehserie aus den 1990er Jahren. Zusätzlich steigt die Verwendung von Einweg-E-Mail-Adressen stark an, wodurch versucht wird, die Zeit der Verbindung zu Dienstleistern selbstbestimmt zu gestalten^[130].

9 Fazit und Ausblick

Viele aktuell gültige Gesetze haben ihren Ursprung in den 1970er Jahren und bestehen, aufgeteilt über Bund und Länder, aus über 1.000 bereichsspezifischen Gesetzen. Daher ist eine häufig gestellte Forderung an die Gesetzgebung, dass sie schneller, einfacher, verständlicher und weniger umfangreich, dafür aber klarer und nachvollziehbarer werden muss. Passiert dies nicht, droht ein Machtgefälle zu Gunsten der Cloud Provider, die dieses nicht im Sinne der Verbraucher und zu ihrem Nutzen anwenden werden^[131].

Der Gesetzgeber muss versuchen, sich die Gesetze des Marktes zu Nutze zu machen, indem Anreize geschaffen werden, Datenschutz und -sicherheit umzusetzen. Es gilt, die Eigeninteressen und -initiative auf Seiten der Cloud Provider zu wecken. Beispiele hierfür sind Datenschutzaudits und Zertifizierungen, die dann als Wettbewerbsvorteil genutzt werden können. Auf Basis der aktuellen rechtlichen Grundlage kann dies nicht geschehen^[132]. Solange sicherheitsrelevante Probleme im Umgang mit Daten im Internet weitestgehend nicht dem Verhältnis nach bestraft werden, besteht kein Anreiz für Cloud Provider, von ihrer momentanen Strategie abzuweichen^[133].

Seitens der Cloud Provider müssen früh in der Designphase einer Cloud Computing fähigen Anwendung Überlegungen zum Datenschutz unternommen werden. Mögliche Bedrohungen müssen erkannt und Gegenstrategien entwickelt werden, mögliche Stakeholder^[134] und aktuelle Technologie- und Gesetztestrends müssen identifiziert und richtig umgesetzt werden^[135].

Anwendern muss ermöglicht werden, sich zum Thema Datenschutz kontextbezogen in der aktuellen Anwendung zu informieren. Hierzu ist erforderlich, das Cloud Provider ihre Anwendungen dahingehend erweitern, dass diese offen, aktiv, allumfassend und kontextgerecht Informationen zum Datenschutz und zur Datensicherheit bereitstellen. Die Informationen müssen eindeutig, widerspruchsfrei und korrekt sein und deutlich machen, was personenbezogene Daten sind und wie diese gespeichert, verarbeitet und geschützt werden. Auch muss klar gestellt werden, ob, und wenn ja, welche Daten mit Dritten geteilt werden und zu welchem Zweck dies geschieht. Erst derart aufgeklärt können Anwender fundierte Entscheidungen treffen, welche Daten sie in welcher Anwendung eintragen^[136].

Eine Lösung für Unternehmen, Cloud Computing einzusetzen ohne rechtliche Probleme mit Datenschutz zu riskieren, ist ein Verzicht auf das Auslagern personenbezogener Daten. Solange keine derartigen Daten verarbeitet werden greifen aktuelle Datenschutz Gesetze nicht^[137].

Die Macht des Marktes arbeitet nicht zwangsläufig zu Gunsten der Anwender. Die Liberalisierung des Strommarkts in Deutschland Ende der 1990er Jahre durch das Energiewirtschaftsgesetz hat einen Markt geschaffen, der von vier großen Anbietern dominiert wird. Es findet praktisch kein Wettbewerb statt und daher ist Misstrauen gegenüber offenen Märkten mit wenigen Anbietern von Nöten. Es darf nicht davon ausgegangen werden, dass sich der Cloud Computing Markt allein durch die Macht der Anwender dahingehend wandeln wird, das alle Pflichten seitens der Cloud Provider oder Wünsche der Anwender bezüglich Datenschutz umgesetzt werden.

Allen bisherigen Ansätzen und Versuchen zum Trotz ist es bisher nicht gelungen, durch einseitig rechtliche oder einseitig technische Anstrengungen Datenschutz wirksam im Internet durchzusetzen. Nur ein gutes und stabiles rechtliches Umfeld in Kombination mit geeigneter, darauf aufbauender und zuverlässig umgesetzter und gepflegter Technik sind gemeinsam in der Lage, Datenschutz bei Cloud Computing nachhaltig um- und durchzusetzen^[138].

10 Fußnoten

1. ↑ Vgl. Cavoukian (2006), S. 1
2. ↑ Rund 630 Millionen Euro (Anfang April 2003)
3. ↑ Vgl. Cavoukian (2006), S. 20
4. ↑ Vgl. Jandt / Gutscher / Heesen / Müller / Roßnagel (2006), S. 25
5. ↑ Vgl. Jandt / Gutscher / Heesen / Müller / Roßnagel (2006), S. 26
6. ↑ Vgl. Cavoukian (2008)
7. ↑ Vgl. Jandt / Gutscher / Heesen / Müller / Roßnagel (2006), S. 27
8. ↑ S. § 4a Abs. 1 Satz 2 BDSG
9. ↑ S. § 3 Abs. 1 BDSG
10. ↑ Vgl. Witt (2007), S. 188 f.
11. ↑ Vgl. Gürses / Berendt / Santen (2006), S. 58
12. ↑ Vgl. Weitzner / Hendler / Berners-Lee / Connolly (2004), Kapitel Transparency, Compliance and Accountability revisited
13. ↑ Vgl. Hornung (2005), S. 155
14. ↑ Vgl. Hornung (2005), S. 88 und 89
15. ↑ Vgl. Jandt / Gutscher / Heesen / Müller / Roßnagel (2006), S. 16 f.
16. ↑ Technisch wie rechtlich
17. ↑ Vgl. Cavoukian (2006), S. 9 f. u. 15
18. ↑ Vgl. Cavoukian (2006), S. 21
19. ↑ Vgl. Jandt / Gutscher / Heesen / Müller / Roßnagel (2006), S. 28
20. ↑ Vgl. RICHTLINIE 95/46/EG aus den Artikeln 32 und 34
21. ↑ Vgl. RICHTLINIE 95/46/EG aus den Gründen 1 ff.
22. ↑ Vgl. RICHTLINIE 95/46/EG aus dem Artikel 4
23. ↑ Stumm (2007), Kapitel Internationale Datenschutzregelungen, S. 4
24. ↑ Vgl. Möller (2006), S. 98
25. ↑ Vgl. Hornung (2005), S. 132 ff.
26. ↑ Stumm (2007), Kapitel Internationale Datenschutzregelungen, S. 1,2,4,5 und 7
27. ↑ Stumm (2007), Kapitel Internationale Datenschutzregelungen, S. 2
28. ↑ Vgl. Hornung (2005), S. 134
29. ↑ Vgl. Hornung (2005), S. 135
30. ↑ Stumm (2007), Kapitel Internationale Datenschutzregelungen, S. 8
31. ↑ Vgl. Clifton (2002), S. 11 f.
32. ↑ Stumm (2007), Kapitel Internationale Datenschutzregelungen, S. 9
33. ↑ Vgl. Cavoukian (2006), S. 9
34. ↑ Stumm (2007), Kapitel Internationale Datenschutzregelungen, S. 10
35. ↑ Stumm (2007), Kapitel Internationale Datenschutzregelungen, S. 11 und 12
36. ↑ Stumm (2007), Kapitel Internationale Datenschutzregelungen, S. 11
37. ↑ Stumm (2007), Kapitel Internationale Datenschutzregelungen, S. 12
38. ↑ Vgl. Cavoukian (2006), S. 15
39. ↑ Vgl. Preibusch / Hoser / Gürses / Berendt (2007), Kapitel 6
40. ↑ Vgl. Möller (2006), S. 99
41. ↑ Vgl. Witt (2007), S. 134
42. ↑ Vergleichbar mit einem SSO (Single sign-on) Dient
43. ↑ Vgl. Cavoukian (2008)
44. ↑ Vgl. Cranor / McDonald / Egelman / Sheng (2007), S. 62 ff.
45. ↑ Vgl. Möller (2006), S. 100
46. ↑ Vgl. Möller (2006), S. 99 f.
47. ↑ Vgl. Möller (2006), S. 100
48. ↑ Vgl. Weitzner / Hendler / Berners-Lee / Connolly (2004), Kapitel Rules Engines as a Foundation of the Policy Aware Web
49. ↑ Vgl. International Working Group on Data Protection in Telecommunications (Hrsg. 2008), S. 1 f. u. 5
50. ↑ Vgl. Cavoukian (2008)
51. ↑ Vgl. Cavoukian (2006), S. 1
52. ↑ Vgl. Weitzner / Hendler / Berners-Lee / Connolly (2004), Kapitel RULE-BASED ACCESS AND THE WORLD WIDE WEB
53. ↑ Vgl. http://opencloudmanifesto.org/ (12.05.2009, 20:00)
54. ↑ Vgl. http://www.oecd.org/document/18/0,3343,en_2649_34255_1815186_1_1_1_1,00.html (24.04.2009, 20:00)
55. ↑ Vgl. Gürses / Berendt / Santen (2006), S. 55
56. ↑ Vgl. http://privacy.cs.cmu.edu/people/sweeney/ (26.05.2009, 20:00)
57. ↑ Vgl. http://privacy.cs.cmu.edu/dataprivacy/projects/kanonymity/index.html (26.05.2009, 20:00)
58. ↑ Vgl. Clifton (2002), S. 8 ff.
59. ↑ Vgl. Clifton (2002), S. 16
60. ↑ Vgl. Clifton (2002), S. 11 f.
61. ↑ Vgl. Gellmann (2009), S. 12 f.
62. ↑ Vgl. Gellmann (2009), S. 14
63. ↑ Vgl. Rotenberg / Verdi / Sen (2009), S. 6 ff.
64. ↑ Vgl. Riedl (2008), S. 42
65. ↑ Vgl. http://www.myspace.com/Modules/Common/Pages/Privacy.aspx, Effective February 28, 2008 (22.04.2009, 20:00)
66. ↑ Vgl. Preibusch / Hoser / Gürses / Berendt (2007), Kapitel 4
67. ↑ In Anlehnung an: Witt (2007), S. 130
68. ↑ Vgl. Witt (2007), S. 127
69. ↑ Vgl. International Working Group on Data Protection in Telecommunications (Hrsg. 2008), S. 4
70. ↑ Vgl. Cavoukian (2006), S. 11
71. ↑ Vgl. Cavoukian (2006), S. 12
72. ↑ Vgl. Sury (2009), S. 183
73. ↑ Vgl. Jandt / Gutscher / Heesen / Müller / Roßnagel (2006), S. 46 f.
74. ↑ Vgl. Johnston (2008)
75. ↑ Vgl. Cavoukian (2008)
76. ↑ Beispielsweise in Form von TCP Modulen
77. ↑ Vgl. Möller (2006), S. 98 ff.
78. ↑ Vgl. http://www.bsi.de/gshb/index.htm (27.05.2009, 12:00)
79. ↑ Vgl. Stumm (2006), Kapitel Grundschutz und das Bundesdatenschutzgesetz, S. 1
80. ↑ Vgl. Cavoukian (2008)
81. ↑ Vgl. Johnston (2008)
82. ↑ Vgl. Sury (2009), S. 183
83. ↑ S. LG Ulm, Urteil v. Oktober 1990 (Az. 5T 153/90-01)
84. ↑ Vgl. Witt (2007), S. 128 f.
85. ↑ Hier: Cloud Provider
86. ↑ Vgl. Riedl (2008), S. 44
87. ↑ Ggf. großer, internationaler Kundenstamm
88. ↑ Vgl. Cavoukian (2006), S. 17
89. ↑ Vgl. Weitzner / Hendler / Berners-Lee / Connolly (2004), Kapitel Transparency, Compliance and Accountability revisited
90. ↑ Im Vergleich zu Einzellösungen von Unternehmen
91. ↑ Vgl. Weitzner / Hendler / Berners-Lee / Connolly (2004), Kapitel INTRODUCTION
92. ↑ Hier: Cloud Provider
93. ↑ Beispielsweise Projektmanager und IT-Administratoren
94. ↑ Vgl. Witt (2007), S. 128 f.
95. ↑ Vgl. Johnston (2008)
96. ↑ Vgl. Cavoukian (2006), S. 13 f.
97. ↑ Vgl. Weitzner / Hendler / Berners-Lee / Connolly (2004), Kapitel RULE-BASED ACCESS AND THE WORLD WIDE
98. ↑ Vgl. Weitzner / Hendler / Berners-Lee / Connolly (2004), Kapitel RULE-BASED ACCESS AND THE WORLD WIDE
99. ↑ Vgl. Gellmann (2009), S. 7 u. 24
100. ↑ Vgl. Cavoukian (2006), S. 16
101. ↑ Vgl. Stumm (2006), Kapitel Grundschutz und das Bundesdatenschutzgesetz, S. 7
102. ↑ IT-Grundschutz nach BSI und britischer Standard BS 7799 (zwischenzeitlich ISO Standard 17799)
103. ↑ Vgl. Stumm (2006), Kapitel ISO/IEC Standard 27001, S. 1
104. ↑ Vgl. Stumm (2006), Kapitel ISO/IEC Standard 27001, S. 1 ff.
105. ↑ Vgl. Sury (2009), S. 183
106. ↑ Vgl. Gellmann (2009), S. 4
107. ↑ Im Kontext der geschützten Cloud
108. ↑ Hier: öffentliches Internet
109. ↑ Vgl. Gellmann (2009), S. 6 u. 9
110. ↑ Vgl. Gellmann (2009), S. 7
111. ↑ Vgl. Sury (2009), S. 183
112. ↑ Vgl. Gellmann (2009), S. 14 ff.
113. ↑ Vgl. Gellmann (2009), S. 6 f. u. 11 u. 23
114. ↑ Vgl. International Working Group on Data Protection in Telecommunications (Hrsg. 2008), S. 2 f.
115. ↑ Z.B. im Kampf gegen Raubkopien
116. ↑ Z.B. geschäftliche Beziehungen
117. ↑ Vgl. Cavoukian (2008)
118. ↑ Vgl. Riedl (2008), S. 42 f.
119. ↑ Vgl. Johnston (2008)
120. ↑ Hierzu zählen Cloud Provider
121. ↑ Hier: Dritten
122. ↑ Vgl. Gellmann S. 18 ff.
123. ↑ Vgl. Gellmann (2009), S. 19 f.
124. ↑ Vgl. Rotenberg / Verdi / Sen (2009), S. 5
125. ↑ Vgl. Rotenberg / Verdi / Sen (2009), S. 4
126. ↑ Vgl. Sury (2009), S. 183
127. ↑ Vgl. Cavoukian (2006), S. 7 f.
128. ↑ Vgl. http://www.foebud.org/rfid/metroskandal/ (13.05.2009, 20:00)
129. ↑ Vgl. Cavoukian (2006), S. 25
130. ↑ Vgl. Cavoukian (2006), S. 17 f. u. 23
131. ↑ Vgl. Jandt / Gutscher / Heesen / Müller / Roßnagel (2006), S. 52 ff.
132. ↑ Vgl. Jandt / Gutscher / Heesen / Müller / Roßnagel (2006), S. 54
133. ↑ Vgl. Johnston (2008)
134. ↑ Beispielsweise Entwickler, Administratoren und Anwender
135. ↑ Vgl. Gürses / Berendt / Santen (2006), S. 62 f.
136. ↑ Vgl. International Working Group on Data Protection in Telecommunications (Hrsg. 2008), S. 5 f.
137. ↑ Vgl. Sury (2009), S. 184
138. ↑ Vgl. Möller (2006), S. 100

11 Literatur- und Quellenverzeichnis

Berendt / Menasalvas (2006)	Berendt, Bettina / Menasalvas, Ernestina: Proceedings of The Workshop on Ubiquitous Knowledge Discovery for Users, Berlin 2006, http://vasarely.wiwi.hu-berlin.de/UKDU06/Proceedings/UKDU06-proceedings.pdf (24.04.2009, 20:00)
Cavoukian (2006)	Cavoukian, Ann: Privacy and the Open Networked Enterprise, Dezember 2006, http://www.ipc.on.ca/images/Resources/opennetw.pdf (19.04.2009, 16:00)
Cavoukian (2008)	Cavoukian, Ann: Privacy in the clouds, 18. Dezember 2008, http://www.ipc.on.ca/images/Resources/privacyintheclouds.pdf (14.04.2009, 20:00)
Clifton (2002)	Clifton, Chris: Privacy, Security, and Data Mining, Helsinki, Finland 2002, http://ecmlpkdd.cs.helsinki.fi/pdf/clifton_psdm.pdf (25.04.2009, 16:00)
Cranor / McDonald / Egelman / Sheng (2007)	Cranor, Lorrie Faith / McDonald, Aleecia M. / Egelman, Serge / Sheng, Steve: 2006 Privacy Policy Trends Report, 31.01.2007, http://www.chariotsfire.com/pub/cpig-jan2007.pdf (23.04.2009, 22:00)
Gellmann (2009)	Gellmann, Robert: Privacy in the Clouds: Risks to Privacy and Confidentiality from Cloud Computing, 23. Februar 2009, http://www.worldprivacyforum.org/pdf/WPF_Cloud_Privacy_Report.pdf (14.04.2009, 20:00)
Gürses / Berendt / Santen (2006)	Gürses, Seda F. / Berendt, Bettina / Santen, Thomas: Multilateral Security Requirements Analysis for Preserving Privacy in Ubiquitous Environments, in: Berendt / Menasalvas: Proceedings of The Workshop on Ubiquitous Knowledge Discovery for Users, Berlin 2006, S. 51 bis 64, http://vasarely.wiwi.hu-berlin.de/UKDU06/Proceedings/UKDU06-proceedings.pdf (24.04.2009, 20:00)
Hornung (2005)	Hornung, Gerrit: Die digitale Identität: Rechtsprobleme von Chipkartenausweisen: Digitaler Personalausweis, elektronische Gesundheitskarte, JobCard-Verfahren, Nomos Verlagsgesellschaft, Baden-Baden 2005
International Working Group on Data Protection in Telecommunications (Hrsg. 2008)	International Working Group on Data Protection in Telecommunications (Hrsg.): Report and Guidance on Privacy in Social Network Services - Rome Memorandum, 4. März 2008, https://www.agpd.es/portalweb/canaldocumentacion/internacional/common/pdf/wp_social_network_services.pdf (16.04.2009, 20:00)
Jandt / Gutscher / Heesen / Müller / Roßnagel (2006)	Jandt, Silke / Gutscher, Andreas / Heesen, Jessica / Müller, Jürgen / Roßnagel, Alexander: Datenschutzfragen mobiler kontextbezogener Systeme, Deutscher Universitäts-Verlag / GWV Fachverlage GmbH, Wiesbaden 2006
Johnston (2008)	Johnston, Sam: Privacy and cloud computing, 9. September 2008, http://samj.net/2008/09/privacy-and-cloud-computing-in.html (14.04.2009, 20:00)
Möller (2006)	Möller, Jan: Automatisiertes Management von Datenschutzrechten, in: Datenschutz und Datensicherheit, Ausgabe 20/2006, S. 98 bis 101
Preibusch / Hoser / Gürses / Berendt (2007)	Preibusch, Sören / Hoser, Bettina / Gürses, Seda F. / Berendt, Bettina: Ubiquitous social networks – opportunities and challenges for privacy-aware user modelling, Juni 2007, http://www.webdialogues.net/cs/cdc-new_media-library/download/dlib/1057/Ubiquitous%20Social%20Networks%20and%20Privacy%20Issues.pdf?x-r=pcfile_d (22.04.2009, 20:00)
Riedl (2008)	Riedl, Stefan: Frischer Wind oder heiße Luft?, in: IT-Business, Ausgabe 22/2008, S. 42 bis 44
Rotenberg / Verdi / Sen (2009)	Rotenberg, Marc / Verdi, John / Sen, Anirbin: Complaint and Request for Injunction, Request for Investigation and for Other Relief, 17. März 2009, http://epic.org/privacy/ftc/google/epic_complaint.pdf (14.04.2009, 20:00)
Stumm (2006)	Stumm, Frank-Stefan: IT-Sicherheit und Datenschutz von A-Z (Stand 06/2006), Deichmann+Fuchs Verlag, Aichach 2004
Stumm (2007)	Stumm, Frank-Stefan: IT-Sicherheit und Datenschutz von A-Z (Stand 03/2007), Deichmann+Fuchs Verlag, Aichach 2004
Sury (2009)	Sury, Ursula: Cloud Computing und Recht, in: Informatik Spektrum, Ausgabe 32_2_2009, S. 183 bis 184
Weitzner / Hendler / Berners-Lee / Connolly (2004)	Weitzner, Daniel J. / Hendler, Jim / Berners-Lee, Tim / Connolly, Dan: Creating a Policy-Aware Web: Discretionary, Rule-based Access for the World Wide Web, September 2004, http://www.w3.org/2004/09/Policy-Aware-Web-acl.pdf (21.04.2009, 09:00)
Witt (2007)	Witt, Bernhard C.: Datenschutz kompakt und verständlich, Vieweg+Teubner Verlag, Wiesbaden 2007