|
+PI-02.01B |
PI-02.01BIn vertraglichen Vereinbarungen werden für die Bereitstellung von Cloud-Kundendaten nach Beendigung des Vertragsverhältnisses die folgenden Aspekte definiert, soweit diese auf den Cloud-Dienst anwendbar sind: 1. Art, Umfang und Format der Cloud-Kundendaten, die der Cloud-Anbieter dem Cloud-Kunden bereitstellt; 2. Methoden zur Bereitstellung der Cloud-Kundendaten an den Cloud-Kunden; 3. Bedingungen und Zeitrahmen für die Bereitstellung von Cloud-Kundendaten über die Dauer des Vertragsverhältnisses hinweg; 4. Recht zur Kündigung des Vertrags und Definition des Zeitrahmens, innerhalb dessen der Cloud-Anbieter dem Cloud-Kunden die Cloud-Kundendaten nach Vertragsbeendigung zur Verfügung stellt; 5. Definition des Zeitpunkts, ab dem der Cloud-Anbieter die Cloud-Kundendaten für den Cloud-Kunden unzugänglich macht und diese nach Vertragsbeendigung löscht; 6. Die Verantwortlichkeiten und Mitwirkungspflichten der Cloud-Kunden für die Bereitstellung der Cloud-Kundendaten; und 7. Cloud-Kundendaten bleiben während des gesamten Vertragsverhältnisses Eigentum des Cloud-Kunden. Nach dessen Beendigung sind die Cloud-Kundendaten wieder das alleinige Eigentum und der alleinige Besitz des Cloud-Kunden. Die Definitionen orientieren sich an den Bedürfnissen von sachverständigem Personal potenzieller Cloud-Kunden, die die Eignung des Cloud-Dienstes im Hinblick auf eine Abhängigkeit vom Cloud-Anbieter sowie rechtliche und regulatorische Anforderungen bewerten. Ergänzende Informationen Art und Umfang der von diesem Kriterium umfassten Cloud-Kundendaten sowie die Verantwortlichkeiten für deren Bereitstellung hängen vom Servicemodell des Cloud-Dienstes oder von den bereitgestellten Diensten und Funktionen ab: Im Fall von IaaS- und PaaS-ähnlichen Diensten ist der Cloud-Kunde grundsätzlich dafür verantwortlich, die im Cloud-Dienst gespeicherten Cloud-Kundendaten vor Beendigung des Vertragsverhältnisses zu extrahieren und zu sichern (vgl. korrespondierendes Kundenkriterium). Die Verantwortung des Cloud-Anbieters ist typischerweise auf die Bereitstellung von Cloud-Kundendaten für die Konfiguration der Infrastruktur oder Plattform beschränkt, die der Cloud-Kunde innerhalb seiner Umgebung eingerichtet hat (z. B. Konfiguration von Netzen, Images virtueller Maschinen und Container). Bei SaaS stützt sich der Cloud-Kunde typischerweise auf vom Cloud-Anbieter bereitgestellte Exportfunktionen. Vom Cloud-Kunden erzeugte Daten sollten in demselben Format verfügbar sein, in dem sie im Cloud-Dienst gespeichert sind. Andere solcher Cloud-Kundendaten, einschließlich relevanter Protokolldateien und Metadaten, sollten in einem anwendbaren Standardformat wie CSV, JSON oder XML verfügbar sein. Rechtliche Anforderungen können beispielsweise den EU Data Act umfassen. In Deutschland lassen sich gesetzliche Vorgaben zur Aufbewahrung beispielsweise der Abgabenordnung (§147 AO) und dem Handelsgesetzbuch (§ 257 HGB) entnehmen. Diese sehen eine Aufbewahrungspflicht von sechs oder zehn Jahren vor. Falls vertragliche Vereinbarungen die im Basiskriterium aufgeführten Aspekte nicht enthalten und diese aufgrund des Servicemodells anwendbar sind, ist das Kriterium nicht erfüllt und eine Abweichung ist vom Auditor festzuhalten. Ergänzende Informationen Falls der Cloud-Anbieter als Cloud-Vermittler agiert, sollte vertraglichen Klauseln zur Datenportabilität besondere Beachtung geschenkt werden, die die Komplexität des jeweiligen Cloud-Vermittler-Szenarios berücksichtigen. Dies kann unter anderem die Definition von Folgendem umfassen: 1. Verantwortung für den Export von Cloud-Kundendaten; 2. Falls mehrere zugrunde liegende Cloud-Anbieter vorhanden sind, den Exportumfang, das konsolidierte Format, etwaige Vollständigkeitsgrenzen und den Umgang mit vom Cloud-Vermittler erzeugten Artefakten wie aggregierten Protokollierungen; 3. Ob Cloud-Kunden direkt über APIs auf die Cloud-Dienste zugrunde liegender Cloud-Anbieter zugreifen können oder auf die Exportschnittstelle des Cloud-Vermittlers angewiesen sind und ob es zeitliche oder nutzungsbezogene Einschränkungen gibt; und 4. Zeitrahmen für die Bereitstellung von Exporten der Cloud-Kundendaten an den Cloud-Kunden. 1. Übersicht
1.1 Referenzen1.2 Identifizierte Anforderungen1.3 Zugehörige Regulierungen2. Identifizierte Anforderungen
3. Zugehörige Regulierungen
Verknüpfte Vorgänge
|