Nicole Beranek Zanon von Eurocloud Swiss über Cloud Security

Wie können Reseller die Sicherheit ihrer Kundendaten in der Cloud garantieren?

Nicole Beranek Zanon: Reseller können die Sicherheit ihrer Kundendaten in der Cloud garantieren, indem sie einen geeigneten OEM empfehlen und anbieten, und falls der OEM Sicherheitslücken aufweist, diese transparent dem Kunden offenlegen, damit dieser allenfalls technische, administrative und organisatorische Massnahmen bei sich treffen kann, etwa die Verschlüsselung der Daten, bevor diese in die Cloud gelangen.

Wie lässt sich das Thema Sicherheit im Cloud-Umfeld zu Geld ­machen?

Cloud-Anbieter müssen in Zukunft auch von ihren Kunden erfragen, welche Datenkategorien sie für ihre Kunden bearbeiten (Personendaten oder besonders schützenswerte Personendaten oder Persönlichkeitsprofile oder wie in der EU genannt besondere Kategorien von Personendaten oder Profilen). Wenn die letzten beiden Kategorien vorliegen, muss der Cloud-Anbieter, gestützt auf seine Unterstützungspflicht gemäss Art. 28 Abs. 3 lit. f EU DSGVO, darauf hinweisen, dass der Kunde ein erhöhtes Sicherheitsbedürfnis hat. Dazu kann er dann gleich ein Produkt verkaufen mit dem entsprechenden Preis-Tag. Sicherheit für erhöhte Anforderungen darf nicht gratis sein.

Welche Kompetenzen müssen Reseller hier mitbringen?

Sie müssen die rechtlichen Qualifikationen und Konzepte verstehen und neue innovative Produkte oder Pakete kreieren.

Wie können Marktteilnehmer mit "Swissness" punkten?

"Swissness" ist auch ein Kostentreiber. "Swissness" lässt sich insbesondere an diejenigen Gruppen von Kunden verkaufen, die ein erhöhtes Anforderungsprofil aufgrund eines Berufsgeheimnisses haben (etwa Ärzte, Banken, Anwälte) und an nicht informierte Kunden. Ein Datenexport ins Ausland ist nämlich durchaus rechtlich möglich, muss aber einfach mit zusätzlichen Prüfmechanismen und unter Umständen zusätzlichen Vertragsdokumenten begleitet sein.

Was müssen Schweizer Anbieter, Distributoren und Reseller im Zusammenhang mit der Datenschutz-Grundverordnung der EU (DSGVO) beachten?

Wer eine Niederlassung in der EU hat, Dienstleistungen und Waren an in der EU sich aufhaltende Personen verkauft oder Verhalten von ­betroffenen Personen in der EU beobachtet – etwa mittels Cookies oder Analytics – untersteht gemäss Art. 3 EU DSGVO dem europäischen Recht. Zwar ist zum derzeitigen Zeitpunkt noch nicht klar, ob Bussen, die nach der DSGVO ausgesprochen würden, auch in der Schweiz ­vollstreckbar wären – was nicht der Fall ist bei einer EU-Niederlassung. Aber aufgrund der Motion Fiala ist damit zu rechnen, dass sich die EU und die Schweiz in diesem Punkt einigen werden. Da der Vorentwurf zum Schweizer Datenschutzgesetz ebenfalls ­Strafen bis 500 000 Franken vorsieht, könnte eine Einigung dahingehend ­aussehen, dass der Schweizerische Maximalstrafrahmen zu beachten ist.