Joachim Schrey - Handbuch IT-Outsourcing

1. Rahmenbedingungen

2. Cloud-Modelle

3. MaRisk (BA) und die Cloud

a) Vorliegen einer Auslagerung

b) Bestimmung der Wesentlichkeit

c) Steuerung der Risiken

d) Weiterverlagerung

IV. Fazit

V. Kontrollen des Auslagerungsunternehmens

1. IT-Grundschutzhandbuch

2. Controls Reports/SAS 70/SSAE 16/ISAE 3402

a) Controls Reports

b) SAS 70-Prüfung

c) ISAE 3402/SSAE 16

aa) Assertion

bb) Beschreibung des Internen Kontrollsystems

cc) Identifizierung von Risiken

dd) Sub-Dienstleistungsorganisationen

3. COBIT/ITIL

9. Kapitel Outsourcing in der Telekommunikationsbranche

I. Einführung

II. Persönlicher Anwendungsbereich

III. Sachliche Anwendungsbereiche

1. Vorschriften zum Schutz des Fernmeldegeheimnisses

2. Datenschutzvorschriften

IV. Spezifische Datenklassen, deren Verwendung im TKG geregelt ist

1. Datenklassen

a) Bestandsdaten

b) Verkehrsdaten

c) Standortdaten

V. Outsourcing von telekommunikationsspezifischen Leistungen

1. Erbringen von Telekommunikationsdiensten über das öffentliche Telefonnetz eines fremden Betreibers

2. Billing und Inkasso durch einen Dritten

a) Umfang der zulässigen Datenübermittlung an Billingdienstleister

b) Anforderungen an den Vertrag mit dem Billingdienstleister

c) Billingdienstleister im Ausland

d) Billing durch Diensteanbieter für Mehrwertdiensteanbieter

3. Werbung, Marktforschung, Beratungsleistungen

4. Location Based Services

VI. Aufgaben nach den Vorschriften zur Telekommunikationsüberwachung

1. Inhalt der Verpflichtung nach § 110 Abs. 1 TKG

2. Zulässigkeit der Auslagerung dieser Funktion

3. Verantwortungsverteilung

10. Kapitel Outsourcing und die Verletzung von Privatgeheimnissen

I. Einleitung: Strafbarkeit für Geheimnisträger beim Outsourcing

II. Noch herrschende Meinung: Outsourcing als Fall von § 203 StGB

1. Verletzung von Privatgeheimnissen – der Tatbestand von § 203 StGB

a) Geheimnis im Sinne von § 203 Abs. 1 StGB

b) Offenbaren im Sinne von § 203 Abs. 1 StGB

2. Der Gehilfenbegriff im Sinne von § 203 Abs. 3 Satz 2 StGB

a) (Noch) herrschende Meinung: Erforderlichkeit organisatorischer Einbindung des Gehilfen und eines Direktionsrechts des Geheimnisträgers

b) Effektive Kontrollmöglichkeit ausreichend?

III. Mögliche Vermeidung der Strafbarkeit

1. Einwilligung

2. Einordnung des Outsourcing-Anbieters und seiner Mitarbeiter als Gehilfen

IV. „11Plus-Vertrag“ als mögliche Lösung

1. Darstellung des „11Plus-Vertrags“

2. Gestaltungselemente des „11Plus-Vertrags“

3.Datenschutzrechtliche Bewertung

a) Einhaltung von § 11 BDSG

b) Besonderheiten wegen der Verarbeitung sensibler Daten gemäß § 3 Abs. 9 BDSG

4.Geheimnisschutzrechtliche Bewertung

a) Kein Offenbaren gemäß § 203 Abs. 1 StGB

b) Selbstständige Unternehmer als Gehilfen

c) Wortlaut von § 203 StGB erfordert keinen Arbeitsvertrag

d) Direktverpflichtung als arbeits- und sozialversicherungsrechtliches Problem?

e) Erforderlichkeit der Kontrolle durch den Auftraggeber

5. Einschätzung des Konzepts durch die Staatsanwaltschaft

V. Fazit

11. Kapitel Outsourcing in der Sozialverwaltung

I. Einleitung

II. Begriffsklärung

III. Allgemeine rechtliche Schranken für das Outsourcing in der Sozialverwaltung

1. Sozialversicherungsrechtliche Kompetenznorm des Art. 87 Abs. 2 GG

2. Sozialstaatsprinzip des Art. 20 Abs. 1 GG

3. Allgemeiner Gesetzesvorbehalt gem. § 31 SGB I

IV. Gesetzlich geregelte Fälle des Outsourcings in der Sozialverwaltung

1. Verwaltungsinternes Outsourcing

2. Outsourcing auf Private

V. Datenschutzrechtliche Schranken für das Outsourcing in der Sozialverwaltung

1. Einleitung

2. Anonymisierung und Pseudonymisierung

3.Funktionsübertragung

a) Datenschutzrechtliche Vorgaben für den Datenumgang des Outsourcingnehmers im Rahmen einer Funktionsübertragung

b) Datenschutzrechtliche Zulässigkeit der Datenübermittlung im Rahmen einer Funktionsübertragung

4. Auftragsdatenverarbeitung

a) Voraussetzungen des § 80 SGB X für die Auftragsdatenverarbeitung

b) Datenschutzrechtliche Verantwortlichkeit für die Datenverarbeitung

c) Weitere Zulässigkeitsvoraussetzungen außerhalb des § 80 SGB X

aa) Beschränkung bei besonders schutzwürdigen Sozialdaten gem. § 76 SGB X

bb) Einschränkung bei Übermittlung ins Ausland gem. § 77 SGB X

cc) Einrichtung automatisierter Abrufverfahren gem. § 79 SGB X

dd) Keine Anwendbarkeit der §§ 88, 97 SGB X

ee) Verhältnis zwischen § 80 SGB X und § 197b SGB V

d) Inhaltliche Reichweite der Auftragsdatenverarbeitung

e) Prüfung und Wartung von EDV-Anlagen

VI. Fazit

Stichwortverzeichnis

Literaturverzeichnis› 1. Kommentare und Buchveröffentlichungen

Literaturverzeichnis› 2. Aufsätze