Cloud funktioniert, auch rechtlich, und auch fu\u0308r regulierte Branchen. Banken k\u00f6nnen Clouds im In- und Ausland einsetzen, ohne das Bankgeheimnis zu verletzen. In einem Gutachten hat der Verfasser dieses Beitrags die Grundlagen daf\u00fcr nachgewiesen.<\/strong><\/p>\n

<\/p>\n

Die Schweizerische Bankiervereinigung hat einen Leitfaden f\u00fcr den Weg von Banken in die Cloud erstellt^{1<\/sup>. Das eingangs erw\u00e4hnte Gutachten2<\/sup> war ein wesentlicher Beitrag dazu. Banken m\u00fcssen den Datenschutz (Personendaten), das Vertragsrecht (Bankkundengeheimnis), das Strafrecht (Verst\u00e4rkung des Bankkundengeheimnisses, Art. 47 BankG) und das Aufsichtsrecht (Funktionieren des Finanzplatzes) einhalten. In der Wahrnehmung von vielen stand v.a. Art. 47 BankG (siehe Text im Kasten) der Cloud-Nutzung durch Banken bislang entgegen.<\/p>\n}

Diese Schutzaspekte sind rechtlich beherrschbar. Wenn eine Bank eine Cloud nutzen will, braucht es Planung und Kontrolle. Die Bank muss f\u00fcr technische, organisatorische und vertragliche Massnahmen sorgen und vom Cloud-Anbieter diesbez\u00fcgliche Transparenz verlangen. Die Bank muss sich mit dessen Reifegrad auseinandersetzen, seinen Umgang mit Daten und die Funktionsweise des Cloud-Angebots verstehen (Erweiterung des physischen und logischen Perimeters der Bank). Mittels vertraglicher Massnahmen ist dieser Zustand abzusichern. Alle Schutzaspekte verlangen die Einhaltung von gewissen Verfahren sowie eine besondere Organisation, teilweise zudem Beschr\u00e4nkungen in der Datennutzung und eine besondere Datenverf\u00fcgbarkeit; nicht jedoch, dass man alles selber machen m\u00fcsste. \u00dcbersetzt in die Aufgabenstellung \u00abCloud\u00bb bedeutet dies: Der Beizug eines Cloud-Anbieters ist nicht verboten.<\/p>\n

Die technische L\u00f6sung wird sich je nach Cloud-Anbieter unterscheiden. Die folgende Unterscheidung ist wesentlich f\u00fcr die W\u00fcrdigung unter Art. 47 BankG:<\/p>\n

\n
• Ohne Klartextzugriff: Wenn die Bank Cloud-Anbieter ausw\u00e4hlt, die sicherstellen k\u00f6nnen, dass im Normalbetrieb keinerlei Offenbarungen an unbefugte Dritte (auch eigene Mitarbeitende) erfolgen, darf die Bank deren CloudAngebote nutzen. Dies kann heute f\u00fcr reife Cloud-Anbieter bereits best\u00e4tigt werden. Die Migration von Daten in die IT-Infrastrukturen solcher Cloud-Anbieter erf\u00fcllt das Tatbestandsmerkmal der strafbaren Offenbarung nicht.<\/li>\n
• Mit Klartextzugriff: Die Bank kann auch Cloud-Anbieter beiziehen, deren Mitarbeitende Klartextzugriff auf Bankkundendaten erhalten. Dies ist gesetzlich seit 1971 ausdr\u00fccklich anerkannt (sog. strafrechtliche Privilegierung). Ein Cloud-Anbieter muss daf\u00fcr als \u00abBeauftragter\u00bb eingebunden werden: Damit wird der Cloud-Anbieter wie eine Bank strafbar und der personelle Perimeter der Bank wird erweitert. Es geht hier um die Frage, wo die Bank \u00abanf\u00e4ngt und wo sie aufh\u00f6rt\u00bb<\/li>\n<\/ul>\n

  Aus der Optik des Strafrechts spielt der Speicherort der Daten keine Rolle. Aus der Optik der Finanzmarktaufsicht wird mitunter postuliert, eine parallele Infrastruktur in der Schweiz sei n\u00f6tig, um jederzeit Zugriff der Aufsichtsbeh\u00f6rde auf die Daten gew\u00e4hrleisten zu k\u00f6nnen. Eine derartige Lesart des einschl\u00e4gigen Outsourcing-Rundschreibens der Finma l\u00e4sst sich aber mit technischen und rechtlich-systematischen \u00dcberlegungen widerlegen.<\/p>\n

  ---

  \n

  Nach Art. 47 BankG wird bestraft, wer vors\u00e4tzlich oder fahrl\u00e4ssig:<\/p>\n

  \n
  1. ein Geheimnis offenbart, das ihm in seiner Eigenschaft als Organ, Angestellter, Beauftragter oder Liquidator einer Bank oder einer Person nach Artikel 1b [\u2026] anvertraut worden ist oder das er in dieser Eigenschaft wahrgenommen hat;<\/li>\n
  2. [\u2026]<\/li>\n
  3. ein ihm nach Buchstabe a offenbartes Geheimnis weiteren Personen offenbart oder f\u00fcr sich oder einen anderen ausn\u00fctzt.<\/li>\n<\/ol>\n

     ---

     \n

     ^{1<\/sup> https:\/\/www.swissbanking.org\/en\/topics\/digitisation\/cloud-computing-2013-swiss-cloud<\/a>
     2<\/sup> https:\/\/www.swissbanking.org\/library\/richtlinien\/rechtsgutachten<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"}

     Cloud funktioniert, auch rechtlich, und auch fu\u0308r regulierte Branchen. Banken k\u00f6nnen Clouds im In- und Ausland einsetzen, ohne das Bankgeheimnis…<\/span> <\/span><\/span><\/span><\/span><\/a><\/p>\n","protected":false},"author":18,"featured_media":6116,"comment_status":"open","ping_status":"closed","template":"","categories":[109,272,78],"artikelbranche":[188],"acf":[],"_links":{"self":[{"href":"http:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/artikel\/6115"}],"collection":[{"href":"http:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/artikel"}],"about":[{"href":"http:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/types\/artikel"}],"author":[{"embeddable":true,"href":"http:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/users\/18"}],"replies":[{"embeddable":true,"href":"http:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/comments?post=6115"}],"version-history":[{"count":0,"href":"http:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/artikel\/6115\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"http:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/media\/6116"}],"wp:attachment":[{"href":"http:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/media?parent=6115"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/categories?post=6115"},{"taxonomy":"artikelbranche","embeddable":true,"href":"http:\/\/staging.cmm360.ch\/wp\/wp-json\/wp\/v2\/artikelbranche?post=6115"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}