INQ-01 Juristische Bewertung von behördlichen Auskunfts- und Herausgabeverlangen

Behördliche Auskunfts- und Herausgabeverlangen nach Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten und Kontodaten unterliegen einer dokumentierten juristischen Bewertung durch sachverständiges Personal des Cloud-Anbieters. Die Bewertung bestimmt, ob die Regierungsbehörde über eine anwendbare und rechtsgültige Rechtsgrundlage verfügt und welche weiteren Schritte für das vorliegende behördliche Auskunfts- und Herausgabeverlangen zu unternehmen sind.

Ergänzende Informationen

Zu Nachweiszwecken bilden alle behördlichen Auskunfts- und Herausgabeverlangen, die im festgelegten Zeitraum vollständig bearbeitet wurden, die Grundgesamtheit für die Prüfung der Wirksamkeit der Kontrollen im Betrieb zur Erfüllung der Kriterien in dieser Domäne. Alle behördlichen Auskunfts- und Herausgabeverlangen sind in die Grundgesamtheit einzubeziehen, unabhängig davon, ob sie zur Offenlegung von Cloud-Kundendaten oder abgeleiteten Cloud-Dienstdaten geführt haben.

Der Zugriff auf oder die Offenlegung von Cloud-Kundendaten, abgeleitete Cloud-Dienstdaten oder Kontodaten als Reaktion auf behördliche Auskunfts- und Herausgabeverlangen ist nur zulässig, wenn der Cloud-Anbieter eine juristische Beurteilung durchgeführt hat. Diese Beurteilung muss bestätigen, dass eine anwendbare und gültige Rechtsgrundlage vorliegt und dass dem behördlichen Auskunfts- und Herausgabeverlangen auf Grundlage dieser stattgegeben werden muss.

Ergänzende Informationen

Die Offenlegung von Cloud-Kundendaten an Regierungsbehörden kann die Herausgabe von Verschlüsselungsschlüsseln einschließen. In diesem Fall gilt auch das Verfahren gemäß der INQ-Kriterien. Insbesondere ist mit Verweis auf INQ-03 darauf zu achten, dass durch die Herausgabe eines Schlüssels keine anderen Cloud-Kundendaten beeinträchtigt werden.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass Art und Umfang der behördlichen Auskunfts- und Herausgabeverlangen sowie die damit verbundene Offenlegung ihrer eigenen Daten in ihrem eigenen Risikomanagement behandelt wurden und dass die Nutzung des Cloud-Dienstes nur aufgenommen oder fortgeführt wird, wenn dieses Risiko als akzeptabel eingestuft wurde.