Brüssel, Starnberg, 14. Nov. 2016 - Auf Basis CISPE soll die ausschließliche Verarbeitung und Speicherung von Daten in EU-/EWR-Ländern ermöglicht werden…
Zum Hintergrund: Cloud Infrastructure Services Providers in Europe (CISPE), ein kürzlich formierter Zusammenschluss von mehr als 20 Cloud-Infrastruktur-Anbietern, kündigt die erstmalige Einführung eines Code of Conduct zum Datenschutz an, der von Cloud-Infrastruktur-Service-Providern verlangt, ihren Kunden die ausschließliche Verarbeitung und Speicherung von Daten in EU-/EWR-Ländern zu ermöglichen. Unter dem CISPE Code of Conduct ist Cloud-Infrastruktur-Providern das Datamining oder die Profilerstellung auf Grundlage persönlicher Kundendaten zu Marketing-, Werbe- oder anderen Zwecken untersagt, unabhängig davon, ob dies aus eigenem Interesse oder zum Weiterverkauf an Dritte geschieht. Der Kodex der CISPE greift der Umsetzung der Datenschutz-Grundverordnung in der Europäischen Union vor. Er steht dabei in vollem Einklang mit den Anforderungen dieser neuen Verordnung, in der es vor allem darum geht, den Bürgern wieder die volle Kontrolle über ihre persönlichen Daten zu geben. Gleichzeitig sollen die rechtlichen Rahmenbedingungen für internationale Unternehmen durch eine Vereinheitlichung der Bestimmungen innerhalb der EU vereinfacht werden. In CISPE haben sich größere und kleinere Cloud-Infrastruktur-Dienstleister aus verschiedenen EU-Staaten zusammengeschlossen, die gemeinsam in mehr als 15 Ländern aktiv sind.
Dieser Verhaltenskodex soll es Kunden leichter machen festzustellen, ob Cloud-Infrastruktur-Services für die Verarbeitung personenbezogener Daten geeignet sind. Qualifizierte Provider sind an der Trust Mark erkennbar. Beteiligte Organisationen, die den Anforderungen des Code of Conduct gerecht werden, sind zudem auf der CISPE Webseite aufgeführt.
Abb. 1: CISPE Logo (Alle Rechte)
Zusätzlich müssen nach dem CISPE Code of Conduct zertifizierte Anbieter ihren Kunden die Möglichkeit bieten, Daten ausschließlich in EU-/EWR-Ländern zu verarbeiten und zu speichern. Dies bedeutet, dass Kunden aus der Industrie oder Software-Anbieter selbst steuern können, wo ihre Daten verarbeitet und physisch gespeichert werden – und das mit der beruhigenden Gewissheit, dass die Anbieter ihre Daten nicht verwerten oder weiterverkaufen.
-
Ewa Paunowa MdEP, Mitglied im Ausschuss für Binnenmarkt und Verbraucherschutz, sagte zu der heutigen Bekanntmachung: „Die Nachfrage nach starken Cloud-Infrastrukturen, bei denen sich die Kunden des Datenschutzes sicher sein können, steigt. Wir als Politiker können zwar ein perfektes Gesetz entwerfen, aber es ist entscheidend zu wissen, was machbar ist und umgesetzt werden kann. In diesem Sinne begrüße ich den CISPE Code of Conduct und seinen positiven Effekt für die Cloud-Kunden in Europa, die so sicherstellen können, dass ihre Inhalte gemäß höchsten Datenschutzstandards behandelt werden.“
-
„Der CISPE Code of Conduct zeigt, dass der europäische Cloud-Computing-Sektor dazu in der Lage ist, sichere Services für jede Art persönlicher und technischer Daten in Europa anzubieten und so auch das Vertrauen in digitale Services zu verbessern“, sagt Axelle Lemaire, französische Staatssekretärin für Digitales und Innovation.
Der neue CISPE Code of Conduct stellt eine wichtige Hilfe für Kunden von Cloud-Infrastruktur-Services dar, die so überprüfen können, ob der gewünschte Anbieter ihnen die Möglichkeit gibt, Services und Anwendungen gemäß geltendem EU-Datenschutzrecht zu erstellen, indem die Inhalte innerhalb der EU oder des EWR gehostet werden. Der CISPE Kodex und die an alle Anforderungen erfüllende Anbieter vergebene Trust Mark sind auch Beweis für das Bestreben der Cloud-Infrastruktur-Service-Provider, höchsten Ansprüchen an Datenschutz gerecht zu werden und Praktiken umzusetzen, die den Grundsätzen der Europäischen Union entsprechen.
Der CISPE Kodex ist Vorbote der neuen und strengeren EU-Datenschutz-Grundverordnung, die im Mai 2018 in Kraft treten wird, und baut auf international anerkannten Sicherheitsstandards zur Verbesserung der Datensicherheit für alle Cloud-Kunden und -Nutzer auf. Der neue Verhaltenskodex wurde demnach so konzipiert, dass er problemlos an die neue EU-Verordnung angeglichen werden kann, wenn diese in Kraft tritt.
Weitere Informationen
Über CISPE – CISPE ist ein Zusammenschluss von Technologie-Unternehmen aus ganz Europa, die sich auf Cloud-Computing-Infrastructure-Services spezialisiert haben. Die beteiligten Unternehmen stammen aus 11 europäischen Ländern (Bulgarien, Frankreich, Deutschland, Spanien, Finnland, Italien, Niederlande, Norwegen, Polen, Schweiz und das Vereinigte Königreich) und sind in mehr als 15 Ländern aktiv. Folgende Cloud-Computing-Infrastructure-Service-Provider sind beteiligt und unterstützen den CISPE Code of Conduct: Arsys, Art of Automation, Aruba, BIT, Daticum, Dominion, Fasthosts, FjordIT, Gigas, Hetzner Online, Home, Host Europe Group, IDS, Ikoula, LeaseWeb, Lomaco, Outscale, OVH, Seeweb, Solidhost, UpCloud, VTX, XXL Webhosting, 1&1 Internet. CISPE wird geleitet von einer Mehrheit von (a) Unternehmen mit Hauptsitz in EU/EWR mit Vertretern aus mindestens drei verschiedenen Mitgliedstaaten sowie (b) einer Mehrheit von kleinen und mittleren Unternehmen mit weniger als 1 Mrd. Euro Jahresumsatz.
Die Teilnahme an CISPE steht jedem Cloud-Infrastruktur-Provider offen, dessen Dienstleistungen den Anforderungen des CISPE Kodex an Datenschutz und Datenverarbeitungssicherheit genügen. CISPE wird sicherstellen, dass Cloud-Infrastruktur-Anbieter, insbesondere KMU, im Mittelpunkt der Diskussionen der europäischen Politik zum Thema Cloud-Computing stehen. Die CISPE Mitglieder fühlen sich ebenso wie die Europäische Kommission der Verbesserung des allgemeinen Zugangs zu digitalen Gütern und Dienstleistungen sowie der Schaffung eines für digitale Services förderlichen Umfelds verpflichtet.
Begriffsdefinition IaaS oder Cloud Infrastructure as a Service: Ein Provider mietet eine technologische Infrastruktur, also virtuelle Remote-Server, die der Endnutzer dann entsprechend vorher festgelegten Mechanismen und Vereinbarungen einsetzen kann. So kann es einfach, effektiv und kostengünstig sein, die Unternehmens-IT auf dem Firmengelände zu ersetzen und/oder die gemietete Infrastruktur als Ergänzung der eigenen IT zu nutzen. Solche Provider sind in der Regel spezialisiert und verfügen selbst über eine komplexe physische Infrastruktur, die sich meist über mehrere Länder erstreckt.