EU GDPR, BCR, CPC and other stuff

Tobias Höllwarth draws some lines between the new EU General Data Protection Regulation, Binding Corporate Rules, strategies of Microsoft and Salesforce as well as the Cloud Privacy Check.

It is interesting to hear that Salesforce, one of the largest US cloud providers, has announced that its BCR (Binding Corporate Rules) have been accepted by the European Data Protection Authorities (WP29). See detailed text here.

The leading authority behind the acceptance was the French Commission Nationale de l'Informatique et des Libertés (CNIL), which was assisted by the Netherlands DPA and the Bavarian Landesamt für Datenschutzaufsicht. Link to the list of BCR accepted by the European Union here.

This development should be viewed in context with the end of the Safe Harbor Agreement caused by the Austrian law student Max Schrems (see "EU versus Facebook") in October 2015. “My personal guess is that the European BCR will not survive a similar kind of inspection by the European High Court” says Tobias Höllwarth, VP of EuroCloud Europe. Höllwarth argues that no matter how well an individual agreement between two companies is worded, it will never overcome the core problem “that existing US law – related to the Patriot Act – shows fundamental differences to existing European law in some areas. Companies will not be able to overcome this issue – not even with BCR.”

This seems to be the uncomfortable truth for several thousand US cloud providers that store and process data for European customers. See information by the US House of Representatives here, the ongoing court case of Microsoft versus USA (the so called Ireland case) here, and a comment in the New York Law Journal here.

On the other hand, it is quite obvious that this would lead to a disastrous situation for European cloud customers who are willing to use cloud services delivered by providers outside the IT-Schengen area – a situation that nobody would wish to become reality.

Despite the surprising and clever agreement between Microsoft and Deutsche Telecom to use DT as a trustee for the Microsoft Azure and Office365 services (see here), it is clear that this cannot be a model for each and every cloud service provider outside the EU. “Neither will Deutsche Telekom be able to handle numerous cloud services, nor is this a model that is economically advantageous for the cloud customer, since he is forced to pay an additional charge for the trustee service,” says Höllwarth and argues: " “I have the greatest respect for companies like Microsoft or Salesforce, that deliver high service quality and do everything to comply with the complex situation of data privacy regulations in Europe, that vary from country to country. Most cloud providers do not have the necessary resources to handle such an unnecessary complex framework. It is this fragmented legal framework that we need to chang.”

It is therefore interesting to know that there are more and more rumours indicating that the European Data Protection Directive might be approved by the Council of the European Union at the beginning of next year.

After the Commission’s draft in 2012 and the Albrecht Report (see EU/Albrecht Report), which was passed by the EU Parliament with 95% approval shortly after the Snowden case was revealed, we have now been waiting for more than 18 months for the Council to approve a hopefully not substantially modified text.

There is a very impressive independent movie (Link) currently running in selected cinemas that shows the development of this new law and the massive opposition by lobbyists against Mr. Jan Philipp Albrecht, a 33-year-old member of the European Parliament who acts as Vice Chair of the EU Committee on Civil Liberties, Justice and Home Affairs (see here). Mr. Albrecht was the official rapporteur of this new law to the EU parliament.

A pertinent multinational program called the Cloud Privacy Check (CPC) is also currently in its final phase of development.  45 lawyers from 32 countries are working on the project, whose final report as well as an online tool are expected to be published in 26 different languages at the end of January 2016. In the context of Safe Harbor, Binding Corporate Rules and the expected European Data Directive, the CPC will arrive at the perfect moment.

For the next 2-3 years, the CPC will serve as a guideline for cloud providers, customers and users alike. The CPC will help people to understand the generic value, concept and requirements of data protection regulations, and will make easy for them to handle the country-specific differences with confidence until unified – or at least similar and comparable – data protection regulations come into effect in all of these countries.

The Cloud Privacy Check (CPC) is intended to provide relief by employing three methodical approaches: 

Simplification of a complex subject matter without loss in terms of content. The goal of the CPC is to elucidate the topic of data protection in the cloud to 90 percent on a single page, thus providing a comprehensible and workable basis of information for 90 percent of the people having to deal with the topic. But don’t worry: Jurists will still be needed.

Structuring of a plethora of questions into individual topical blocks which can then be approached step by step – from the simplest to the most complex case. Simultaneous correlation of the respectively required legal tools to be generated and evaluated in detail by jurists.

Separation of the generally applicable from the specific. This is probably the most significant aid for managing a complex trans-border endeavour. By identifying what is the same throughout all countries, the CPC allows the user to focus on the differences – if they actually apply to him. The CPC aims to provide access to relevant information affecting another country quickly and easily, without having to deal with those aspects that are the same as “at home”.

Zur Lage der Nation – wir sind wütend Wie sieht es eigentlich mit der Cloud-Nutzung in Österreich aus? Ist diese Frage überhaupt von Bedeutung?

Mittlerweile müsste schon jeder etwas davon gehört haben: Es findet so etwas wie eine digitale Revolution statt, und man muss kein Eingeweihter sein, um rasch festzustellen, dass sich diese Transformation auf alle Lebensbereiche auswirkt: auf die Gesellschaft, die Wirtschaft und den einzelnen Menschen.

Cloud, Mobility, Social Media und Analytik sind die so genannten „Nexus of Forces“, die die digitale Transformation ausmachen – und die wird in Österreich komplett unterschätzt und verschlafen. Zwar kann man mittlerweile nicht mehr sofort die rote Karte ziehen, wenn die Cloud angesprochen wird, und damit jeglichen Ansatz von Veränderung im Keim ersticken. Aber dennoch ist Österreich weit davon entfernt, auch nur in irgendeiner Weise angemessen auf die neuen Herausforderungen zu reagieren und die Menschen auf die Veränderungen vorzubereiten.

Cloud wird in Österreich unterdurchschnittlich genutzt und auch angeboten. Wir sind zwar nicht Schlusslicht bei der Nutzung, aber dennoch unterdurchschnittlich. Und das heißt eben auch schlechter als die meisten anderen vergleichbaren Länder, in denen längst erkannt wurde, dass man auf diese massiven Änderungen „draußen“ nur mit raschen Veränderungen „drinnen“ reagieren muss: bei sich selbst, im Ausbildungssystem und bei den wirtschaftspolitischen Rahmenbedingungen. Sonst werden künftig die IT aus den USA, die Endgeräte aus Asien und die Dienstleistungen aus Niedriglohnländern eingekauft – eben von dort, wo die Menschen schneller dabei waren, sich anzupassen.

Das Besondere – und das wird meist völlig übersehen – ist, dass mit der Cloud zum ersten Mal auch kleinen und mittelgroßen Betrieben (KMU) ganz neue Produktionsressourcen zur Verfügung stehen, unternehmerische Ressourcen, auf die früher nur Großunternehmen zurückgreifen konnten. In Österreich zählen 99,8 Prozent aller Unternehmen zu den KMU.

Ein kleines Start-up-Unternehmen mit dem richtigen Business Case kann morgen Millionen User bedienen und übermorgen um 200 Millionen US-Dollar an einen Sportkonzern verkauft werden, weil dieses Start-up agile Ressourcen ohne Limit immer dann einsetzen kann, wenn sie gerade gebraucht werden – und nicht dann, wenn Investitionskapital zur Verfügung steht.

Es ist also von wirtschaftspolitischer Bedeutung, dass sich Politiker und unternehmerische Verbände mit der Frage auseinandersetzen, in welcher Form Unternehmen in der Lage sind, neue Produktionsressourcen effizient und mit ausreichend Know-how einzukaufen (Kundenseite) oder anzubieten (Anbieterseite). Aber in Österreich herrscht eine überaus träge und veränderungsunwillige Machtsituation, bei der es um den Erhalt des Status Quo oder gewisser Interessen geht. Veränderung ist unbequem – für einen selbst und für Systeme. Menschen tendieren dazu, das, was sie kennen, aufrechtzuerhalten. Aber diese menschliche Eigenschaft wird gefährlich, wenn die Umwelt sich gerade radikal verändert.

Die Imagekampagne Trust in Cloud (www.trustincloud.org) hat aufgezeigt, wie viele Unternehmen sich schon mit diesem Thema beschäftigen und wie groß die Herausforderung ist, neue IT-Ressourcen (wie die Cloud eine ist) ökonomisch vorteilhaft, technisch passend und sicher in die bestehende eigene IT zu integrieren. Es ist eine große Herausforderung, auf die man Unternehmen, Start-ups, ArbeitnehmerInnen und SchülerInnen sowie die Gesellschaft vorbereiten sollte.

Aber in Österreich beschäftigen sich Berufsverbände und Gewerbeaufsicht lieber damit, ob ein Friseurbetrieb wie jener aus Wattens in Tirol auch das Recht hat, Wimpernverlängerungen anzubieten. Die Eigentümerin des Friseurgeschäftes wurde angezeigt und musste sich beim Verwaltungsgerichtshof dagegen wehren – eine Geschichte, die im Ausland geradezu lächerlich wirken muss.

Wie leben in einem Land, in dem das Ausbildungssystem so antiquiert und unzulänglich ist, dass es fast schon als ein Verbrechen an den kommenden Generationen bezeichnet werden kann. Unsere Jugend wird nicht einmal ansatzweise auf die neuen Herausforderungen vorbereitet, man nimmt ihr die Freude am Lernen und an den Inhalten. Das Resultat sind junge Menschen, die nicht ausreichend qualifiziert sind, um mit der neuen digitalen Lebenssituation und den beruflichen Herausforderungen in Unternehmen professionell zurechtzukommen, denn dazu gehört weit mehr, als nur Geräte mit Wischbewegungen bedienen zu können. Komplexe IT-Situationen müssen erkannt, beurteilt und bewältigt werden können. Wir haben in Österreich immer mehr Rechenzentrumsleiter als CIOs oder CDOs, die auch von der Unternehmensführung damit betraut werden, die schwierige Schnittstelle zwischen Businessanforderungen, Anbietern und interner Produktionsressourcen-IT zu bewältigen.

Ist in einem wohlhabenden Land wie Österreich die Bequemlichkeit wirklich so hoch, dass man sich um die Zukunft keine Sorgen macht? Es muss klar sein, dass es in einem solchen Land keine größere Herausforderung geben kann, wenn sich die Einkommensperspektiven so drastisch verändern. Wir leben in einem Land, in dem die Sozialkosten höher als in den meisten anderen Ländern der Welt sind, in einem Land mit einer überalterten Bevölkerung und einem nachweislich unterdurchschnittlichen Bildungsniveau. In einem Land, in dem die Kosten einer Arbeitsstunde weit über denen in den meisten anderen Ländern liegen und in dem viele Berufe nicht mehr wettbewerbsfähig sind. Da muss man sich doch überlegen, ob man mit Themen wie der Cloud und der digitalen Transformation unserer Gesellschaft nicht viel professioneller umgehen sollte. Wir können zwar weiterhin Skilehrer ausbilden, Sachertortenbäcker und Touristenführer für Schönbrunn – die werden auch weiterhin schöne Erträge erwirtschaften und Devisen bringen. Aber damit wird nicht genug Wertschöpfung erbracht, um es uns zu ermöglichen, in diesem Land in dieser Bequemlichkeit so weiterzuleben. Wir werden diesen Lebensstandard nur dann aufrechterhalten können, wenn wir spezifische Qualifikationen für hochwertige Dienstleistungen oder Produkte aufbauen, die von zukünftigen Märkten auch gebraucht und zu hohen Preisen gekauft werden.

Zur Cloud-Lage der Nation ist also zu sagen: Ich bin sicher, dass die Cloud alles verändern wird – in allen Ländern, für jeden Menschen und in sämtlichen Berufen. Menschen und Organisationen werden sich neu – digital – vernetzen, und es werden neue Geschäftsmodelle und Einnahmequellen entstehen. Die Cloud ist ein fundamentaler „Game-Changer“.

Ich meine, dass die Cloud in Kürze ein elementarer Wettbewerbsvorteil wird. Österreich baut seinen Wohlstand auf dem Erfolg tausender kleiner und mittlerer Unternehmen auf. KMU kommen mit Cloud-Technologie an Oberliga-IT-Lösungen heran. Damit schafft die Cloud Innovation zu niedrigen Kosten, erhöht die unternehmerische Agilität und eröffnet neue Zukunftsperspektiven – für uns alle. Aber man muss sich darauf einstellen – und zwar sofort.

Ich sehe, dass der lokale und internationale Wettbewerbsdruck Unternehmen dazu zwingt, ihre IT immer rascher, flexibler, günstiger und passend zum aktuellen Bedarf einzusetzen. Das gilt für einen Großkonzern genauso wie für den Installateur von nebenan. Die Cloud macht das möglich. Wie immer gilt: Wer bei der Nutzung neuer Technologien die Nase vorne hat und rechtzeitig das entsprechende Know-how erworben hat, verbessert seine Erfolgschancen enorm.

Ich bin felsenfest davon überzeugt, dass die Cloud der jeweiligen Nutzung angemessen sicher ist. Paranoia ist der falsche Zugang. Nur wer über Know-how und Kompetenz verfügt, kann die Cloud gut nutzen. Trust in Cloud bedeutet, dass man dieses Vertrauen aufbauen muss. Das muss jetzt beginnen. Die Mitglieder der Kampagne Trust in Cloud forderten vor einem Jahr, dass wir in Österreich nicht mehr weiter zuschauen, wie wir überholt werden. Österreich muss auf einen Spitzenplatz im Cloud-Know-how und in der Cloud-Nutzung gelangen.

Ich empfehle eine bundesweit einheitliche IT-Strategie aller öffentlichen Stellen und staatsnahen Betriebe zum bevorzugten Einsatz von Cloud-Lösungen, wenn dies rechtlich möglich, sinnvoll und günstiger ist. Durch offensive Nutzung von Cloud-Services soll der öffentliche Sektor mit gutem Beispiel vorangehen. 

Ich empfehle, dass alles getan wird, um die Cloud-Kompetenz in Österreich zu steigern. Ausreichende Unterstützung bei der Evaluierung und Umsetzung von Cloud-Lösungen muss sichergestellt sein. Eine Sofortmaßnahme soll dabei das Aufklärungsprogramm „Der Weg in die Cloud“ sein.

Ich empfehle zur Sicherung der Qualität die Etablierung eines Kriterienkatalogs für Cloud-Services, der bei öffentlicher Auftragsvergabe eingefordert wird. Zertifizierungsmaßnahmen sollen die Auswahl und die Qualitätsprüfung von Cloud-Services erleichtern. Das deutsche BMWi hat diesen Kriterienkatalog, der auf dem EuroClodu Star Audit basiert, schon bald fertiggestellt.

Ich empfehle die rasche Umsetzung eines zusätzlichen Cloud-Ausbildungsschwerpunkts in Schulen und Weiterbildungseinrichtungen sowie Investitionsanreize zur Ausbildung von MitarbeiterInnen, z. B. ein Ergänzungsprogramm zum Europäischen Computerführerschein. Ein Programm wie ein „Cloud-Koffer“ in Analogie zum „Medien-Koffer“ oder „Sex-Koffer“ ist höchst dringlich.

Zusammenfassend gesagt: Es schaut schlecht aus, und die Aussichten sind ausgesprochen trübe. Ich habe mittlerweile größte Bedenken, ob die Entscheidungsträger sich der Problematik überhaupt bewusst sind oder ob es ihnen nur um ihre eigene Machtzementierung geht.

Roland Düringer hat es in einem seiner letzten Monologe wirklich gut getroffen – auch wenn er nie über Cloud selbst gesprochen hat: https://youtu.be/KDtM6W29Tp0

Tobias Höllwarth
Augut 2015

Cloud Migration in portugiesischer Version

Am 2. Juli präsentierte ich die neue portugiesische Version des Buches Cloud Migration in Portugal. Dabei wurde auch der Start zu einer gleichsprachigen Version für Mozambique und Brasilien gegeben Die sind Länder zu denen Portugal sehr enge wirtschaftliche Beziehungen pflegt und die gerade im Sinne eines raschen Ausbaues von IKT Geschäftsbeziehungen in der derzeitigen Wirtschaftskrise des Landes eine große Rolle spielen. /p>

Safe-Harbour - ein Ruine, die dringender Renovierung bedarf bevor jemand zu Schaden kommt

Spannend zu beobachten: Die US-Bürgerrechtsorganisation Center for Digital Democracy (CDD – www.democraticmedia.org) hat schwere Vorwürfe gegen rund 30 US-Unternehmen erhoben, in denen sie diese bezichtigt, das Safe-Harbour-Abkommen als Deckmantel für Rechtsverstöße zu nutzen. Das CDD hat sich das Ziel gesetzt, die Rechte von Konsumenten und den Schutz der Privatsphäre zu stärken, Transparenz zu fördern und eine starke Öffentlichkeit im digitalen Zeitalter aufzubauen. Konkret schreibt CDD: “The new digital marketplace poses both opportunities and risks for consumers. As we increasingly make important decisions about our finances, health and families using digital media, consumers must be treated fairly.”

Es ist schon interessant, wenn man das jetzt endlich auch einmal von US-Seite hört. Bisher waren ja von dort und auch von Großbritannien eher umgekehrte Meinungen zu hören. Die wöchentlichen Hetzkampagnen britischer IT-Journalisten durchaus renommierter Medien gegen das resolute Vorgehen der Kommissarinnen Viviane Reding und Neelie Kroes waren ja nicht nur „unter der Gürtellinie“, sondern auch aus zentraleuropäischer Sicht inakzeptabel und machten den Eindruck, als wären sie direkt von der Googel-PR-Abteilung gesponsert.

Aber keine Geschäftsleitung eines US-Unternehmen kann auf Dauer die Ansprüche von mehreren hundert Millionen potentiellen EU-Bürgern ignorieren. Die sind nämlich gar nicht so anders als jene in vielen anderen, wenn nicht sogar in den meisten Ländern der Welt. Man will die neuen IT-Werkzeuge nutzen, aber man will dabei nicht belogen, über den Tisch gezogen oder übervorteilt werden. Die Tatsache, dass man nun jedoch nicht mehr relativ einfach bemerkt, wenn jemand unbefugt nach dem eigenen Gold – und das sind die Daten von heute – grapscht, macht es aber so schwierig. Wer mehr Ressourcen hat (Manpower, Know-how und Speicher- und Rechenleistung), der hat enorme Vorteile gegenüber jenen, die dem weniger entgegenzusetzen haben. Hier zeigt sich der bequeme Imperialismus des 21. Jahrhunderts: man muss weder ein Schiff besteigen noch eine Waffe in die Hand nehmen. Tastatur, Maus und ausrechend IT-Leistung reichen aus. Wie schon bisher bei jeder industriellen Revolution hinkt die gesellschaftliche Anpassung an die neuen technischen Möglichkeiten um einige Jahrzehnte hinterher.

Jedenfalls wirft CDD-Direktor Jeff Chester Washington und der zuständigen Federal Trade Commission (FTC) vor, „das Datenschutzversprechen gegenüber Europa zu brechen", indem sie die Praxis von Firmen wie Adobe, AOL, Salesforce.com und anderen dulden würden. Diese Firmen würden personenbezogene Daten in großem Umfang sammeln und auch an Dritte weitergeben, ohne Wissen und Einwilligung der Dateneigentümer. Es zeigt sich, dass das schon 14 Jahre alte transatlantische Datenabkommen Safe Harbour kein angemessenes Schutzniveau mehr bereitstellt und den heutigen IT-Möglichkeiten nicht mehr angemessen ist.

Im Zusammenhang mit den diversen Abhörskandalen der letzten Monate hat das EU-Parlament die Kommission aufgefordert, das Abkommen zu kündigen. Die EU-Kommission hat diesen Schritt bisher nicht gesetzt und auf eine Reformation von Safe Harbour seitens der US-Regierung gedrängt. Aber auch da ist bisher nichts passiert. Dies verwundert mich in keiner Weise, denn wer das Spiel in Brüssel kennt, der weiß, dass dort massives Lobbying ein funktionierendes Werkzeug ist, und große US-Konzerne nutzen dies wirklich sehr intensiv und clever. Leider haben viele EU-Mitgliedsstaaten und Organisationen noch immer nicht verstanden, wo Politik heutzutage in Europa gemacht wird und dass nur ein gemeinsamer und starker Auftritt dazu führt, Einfluss nehmen zu können.

Wer glaubt, dass diese Fragen zu spezifisch sind und Cloud ein Randthema ist, der erkennt nicht die größeren Zusammenhänge einer industriellen Revolution und der damit verbundenen sozio-ökonomischen Konsequenzen. Die Frage, wo in Zukunft Wertschöpfung generiert wird, wird genau jetzt und hier und heute entschieden. Bedauerlicherweise haben das viele Unternehmen, Interessensverbände, Wirtschaftsverbände und politische Organisationen noch nicht erkannt. Ich kann es daher gar nicht oft genug wiederholen: „Der Zug fährt schon längst, und ihr seid noch immer nicht eingestiegen.“

Tobias Höllwarth, Wien 16.08.2014

Tobias Höllwarth ist Vorstand der europäischen EuroCloud (www.eurocloud.at www.eurocloud.org) und Mitglied einer Reihe von Beratungsunternehmen (www.vccg.at www.ictan.eu www.ictan.eu www.hoellwarth.at) und IT-Gremien in der Europäischen Kommission und der internationalen Normungsorganisation ISO. Höllwarth ist Autor des Werkes Cloud Migration (www.cloud-migration.eu), Leitet die Initiative TRUST IN CLOUD (www.trustincloud.org) und ist Direktor des ECSA Programmes (www.eurocloud-staraudit.eu)

Deine Daten gehören mir. Die Entwicklung eines zur Cloud passenden Datenschutzrahmens.

"All your data belong to us", urteilt ein US-Gericht – und bringt die IT-Industrie des Landes damit in eine katastrophale Lage. So schreibt das Online Magazin heise vor kurzem zu dem Urteil eines US-Gerichts, das in zweiter Instanz von Microsoft

Zugriff auf Daten für eine Ermittlung gegen Drogenhändler

Generell gilt nun, dass ein Unternehmen der Gerichtsbarkeit am Standort seines Sitzes unterliegt. Dazu gehört auch der Standort des Rechenzentrums. Das heißt, ein österreichisches Unternehmen mit einer Niederlassung oder einem RZ in den USA unterliegt selbstverständlich dem US-Recht. Das jeweilige Recht am Standort der Niederlassung gilt genauso für Unternehmen, die in Frankreich, Deutschland oder England Niederlassungen haben.

Die Richterin in dem genannten Urteil meinte nun, dass es darum ginge, wer die Information kontrolliere, und nicht darum, wo die Daten liegen würden. Und ganz Unrecht hat sie damit ja nicht, denn auch das europäische Datenschutzrecht unterscheidet nur zwischen dem Data-Owner und dem Datacontroller.

Europa hat ja bekanntermaßen sehr klare Vorschriften, was ein Datacontroller – also jenes Unternehmen, das personenbezogene Daten verarbeitet – einzuhalten hat:

Die für die Verarbeitung Verantwortlichen müssen die Privatsphäre und das Recht auf Datenschutz aller Personen schützen, deren Daten ihnen anvertraut werden:

• Sie dürfen nur dann personenbezogene Daten erfassen und verarbeiten, wenn dies gesetzlich erlaubt ist.
• Sie müssen bestimmte Verpflichtungen bei der Verarbeitung personenbezogener Daten einhalten.
• Sie müssen Beschwerden nachgehen, die Verstöße gegen die Datenschutzrichtlinien betreffen, und sie müssen mit den nationalen Datenschutzbehörden zusammenarbeiten.

Um es US-Unternehmen auch zu ermöglichen, trotz dieser strikten Bestimmungen mit europäischen Kunden Geschäfte zu machen und damit auch Datacontroller für personenbezogene Daten europäischer Data-Owner zu werden, wurde vor 14 Jahren Safe Harbour erfunden: eine selbstauferlegte Verpflichtung von US-Unternehmen, sich an die Datenschutzbestimmungen im Land des Data-Owners zu halten. Bei näherem Hinschauen wird aber klar, dass Safe Harbour nur teilweise sinnvoll ist, denn die Einträge im US-Handelsregister waren Selbstauskünfte der Unternehmen ohne Überprüfung. In Europa verlangt man da mehr Sicherheit und Nachweise.

Der zweite Zugang zum europäischen Kunden für US-Unternehmen war dann noch die Gründung eines Tochterunternehmens in Europa. Damit zeigen US-Unternehmen, dass sie sich bereitwillig dem europäischen und Landesrecht unterwerfen. Eigentlich ein sehr lobenswerter Schritt von US–Unternehmen, um bei europäischen Kunden Vertrauen in die eigenen Cloudservices aufzubauen.
Das amerikanische Urteil ist nun deshalb so interessant, weil es amerikanisches Recht auf ein Unternehmen appliziert, das in Europa seinen Sitz hat (die Niederlassung eines amerikanischen Mutterunternehmens). Äquivalent dazu wäre, wenn ein österreichisches Gericht ein Unternehmen in New York dessen Konzernmutter in Österreich firmiert zu einer Handlung zwingt, die nach österreichischem Recht erlaubt wäre, aber vielleicht nicht nach amerikanischem. Die Richterin argumentiert ja, dass die Konzernmutter der Datacontroller ist und nicht das Tochterunternehmen mit Sitz in der EU.

Weil das Gericht als Druckmittel vermutlich den amerikanischen Mutterkonzern verwendet, ist die Kernfrage, ob landesspezifische Gerichtsbarkeit einfach auf andere Länder ausgeweitet werden darf. Das ist grundsätzlich zu bezweifeln und vor allem deshalb abzulehnen, weil das jeweilige Unternehmen nur wenige Möglichkeiten hat, sich gegen einen solchen Zugriff zu wehren. Und zwar nicht nur aus finanziellen Gründen, sondern auch deshalb, weil das Unternehmen gar keinen Rechtsstatus im anderen Land hat, um in einem Gerichtsfall Parteistellung zu erhalten.

Zugriffe von staatlichen Verfolgungsbehörden, die auf Basis einer rechtlichen Grundlage und einer eventuell auch erforderlichen gerichtlichen Entscheidung erfolgen, gibt es in Deutschland oder England genauso häufig wie in den USA, und kein rationell denkender Mensch wird gegen ein solches Vorgehen eines demokratischen und rechtsstaatlichen Landes einen Einwand haben.

Auf der anderen Seite jedoch ist klar, dass eine grenzenlose IT und eine grenzenlose Cloud technische Rahmen schaffen, die von rechtlichen Regeln noch nicht vollständig und passend erfasst wurden. Wie in jeder industriellen Revolution hinkt die soziale und juristische Adaption der technischen hinterher.
Ist man also grundsätzlich der Meinung, dass es möglich sein muss, Firmen oder Personen, die Cloudservices für verbrecherische Aktivitäten verwenden (z. B. Geldwäsche, Planung von terroristischen Anschlägen oder internationalen Drogennetzwerken), durch die Strafverfolgungsbehörden eines Landes auch international zu verfolgen, dann muss man auch entsprechende Mechanismen erlauben. Also beispielsweise einer Behörde ermöglichen, in Kooperation mit anderen Behörden in einem anderen Land rasch auf Daten und Kommunikationsprotokolle zuzugreifen, wenn dies erforderlich ist.

Tobias Höllwarth ist Vorstand der europäischen EuroCloud (www.eurocloud.at www.eurocloud.org) und Mitglied einer Reihe von Beratungsunternehmen (www.vccg.at www.ictan.eu www.ictan.eu www.hoellwarth.at) und IT-Gremien in der Europäischen Kommission und der internationalen Normungsorganisation ISO. Höllwarth ist Autor des Werkes Cloud Migration (www.cloud-migration.eu), Leitet die Initiative TRUST IN CLOUD (www.trustincloud.org) und ist Direktor des ECSA Programmes (www.eurocloud-staraudit.eu)

Barrierefreie Cloud

2008 ist die UN-Konvention über die Rechte behinderter Menschen in Kraft getreten. Sie verpflichtet Länder, die diese Konvention ratifiziert haben, unter anderem dazu, sicherzustellen, dass behinderte Menschen einen freien Zugang zu Systemen der Informationsverarbeitung haben.

Alleine in Deutschland leben zehn Prozent der Bevölkerung mit einer anerkannten körperlichen Beeinträchtigung. Gerade diesen Menschen würde das Internet die selbstbestimmte Teilnahme am sozialen, kulturellen und beruflichen Leben enorm erleichtern. Jedoch sind sehr viele Internetseiten und somit auch Cloud-Anwendungen nicht barrierefrei gestaltet. Paradoxerweise können also gerade jene Menschen, die von den Möglichkeiten der Cloud besonders profitieren würden, das Medium nur unter Schwierigkeiten oder überhaupt nicht benutzen.

Als Barrieren – und damit behindernd – wirken in der Umwelt eines behinderten Menschen nicht nur Gegenstände, Einrichtungen oder Programmierungen, sondern auch die Einstellung anderer Menschen. Auch jene der Hersteller von Cloud-Services. Diesen fehlt es oft an Problembewusstsein oder Know-how, um Anwendungen so zu erstellen, dass diese ohne unnötige Barrieren für alle Menschen benutzbar sind.

Menschen mit Behinderungen sind oftmals darauf angewiesen, besondere technische Hilfsmittel zu benutzen, um eine Webseite bedienen und die Inhalte verstehen zu können. Cloud-Anwendungen so zu programmieren, dass diese Werkzeuge gut funktionieren, ist nicht extrem kompliziert und sollte ein selbstverständlicher Teil des Anforderungskataloges sein, der einem Programmierauftrag zugrunde liegt.

EuroCloud möchte das Wissen, die Aufmerksamkeit und das Selbstverständnis für barrierefreies Arbeiten in der IT-Welt des 21. Jahrhunderts fördern. Daher wurde ein Leitfaden erstellt, und er wird in eine Reihe von Sprachen übersetzt werden. Ich muss mich dabei besonders bei Herrn Mag. Mario Batusic, dem Autor des Leitfadens bedanken. Herr Batusic weiß, wovon er spricht, er konnte hier auf seine eigenen Erfahrungen und sein fachmännisches Wissen zurückgreifen

Dieser Leitfaden wendet sich an Cloud-Verantwortliche und -Entwickler sowie an Verantwortliche für den Einkauf von IT-Lösungen in den Organisationen der Anwender.

Nach einer allgemeinen Erklärung zur Barrierefreiheit und zu den Gründen, warum sie in Cloud-Diensten notwendig ist, folgt eine kurze Zusammenfassung über die Art und Weise, wie einzelne Behindertengruppen mit den Informations- und Kommunikationstechniken (IKT) umgehen und wo für sie die Hauptprobleme liegen.

Der Download des Leitfadens ist möglich unter http://www.eurocloud.at/projekte/publikationen/leitfaeden-bestellung.html

Ergänzung zu "Grillen im Freien gehört verboten"

In einer Mitteilung des BIFIE über den Stand der Untersuchungen vom 10.3. wurde bekannt gegeben, dass es sich bei dem sogenannten „Datenleck“ um keinen Softwarefehler oder mangelnden Schutz einer IT-Plattform handelte, sondern dass Schadsoftware gezielt eingebracht worden war (das Bundeskriminalamt wurde eingeschaltet). Außerdem stellte sich bei näherem Hinschauen heraus, dass es sich bei den sogenannten „sensiblen und wichtigen“ Daten um Testdaten handelte, alte Schülertests ohne die Namen der Schüler und die E-Mail-Adressen von Lehrern, die ohnehin auf der Webseite jeder Schule öffentlich zu finden sind.

Dies bestätigt meine Aussage in dem Blog vom 30.3. Diese Vorgangsweise von selbsternannten Datenschutz-Sheriffs der Nation, die unterinformiert mit plakativen Killerargumenten jedes neue IT-Projekt und auch vertrauenswürdige österreichische Unternehmen wie die KBC pauschalierend in Misskredit bringen und dadurch den weniger informierten Laien in Zweifel und Unsicherheit versetzen, sollte von jedem mündigen und modernen Mitmenschen dieses Landes bloßgestellt werden. Read my lips: „I dislike it“.