Datenschutz hat Priorität

Kommunen wie die Stadt Bergheim sind autorisiert, ihre Datenverarbeitung auch von externen Dienstleistern ausführen zu lassen. Dabei unterliegen sie der Pflicht, für den Schutz personenbezogener Daten zu sorgen. Die Stadt Bergheim musste daher den Dienstleister für ihre Private Cloud sorgfältig auswählen und mit ihm einen Vertrag über die Auftragsdatenverarbeitung schließen.

Zu prüfen waren im Auswahlprozess vor allem die Eignung des Dienstleisters und ob er die technischen und organisatorischen Vorgaben gemäß den landes- und bundesrechtlichen Vorschriften zur Gewährleistung des Datenschutzes einhält. "Deshalb war es für uns von vornherein klar, einen Dienstleister zu wählen, der den gleichen datenschutzrechtlichen Bestimmungen unterliegt wie wir und seinerseits rechtlich verpflichtet ist, die entsprechenden sicherheitstechnischen und organisatorischen Standards zu erfüllen", sagt Wolfgang Berger.

Externe Unterstützung

Hinzu kommt, dass die Stadt Bergheim als Mitglied des Zweckverbands faktisch Miteigentümerin des KDVZ ist und dadurch mehr Einflussmöglichkeiten hat als bei einem Public-Cloud-Anbieter. Geprüft wurde dennoch sehr gewissenhaft: etwa in der Frage, ob der Cloud-Partner über ausreichend Fachpersonal und damit Wissen verfügt, sowie die erforderlichen technischen Voraussetzungen in Form einer adäquaten Cloud-Infrastruktur erfüllt.

Theo Kratz erklärt das vorgeschriebene Vorgehen: "Der Nachweis der Einhaltung der Vorschriften kann über eine vorhandene Zertifizierung gemäß ISO 27001 erfolgen. Ansonsten muss eine Überprüfung durch eigene Mitarbeiter oder eine Fachfirma stattfinden." Mit der Überprüfung wurde die IBM betraut. Sie fungierte im Projekt als Berater für die Einhaltung der Sicherheitsvorgaben sowie der technischen Machbarkeit und bestätigte der Stadt Bergheim, dass die Maßnahmen BSI-konform und "State of the Art" sind. Zusätzlich wurden im Zuge des Vertragsabschlusses die relevanten Komponenten der IT-Sicherheit und des Datenschutzes wie etwa Verfügbarkeitszeiten, Wiederherstellungszeiten, Vorschriften zur Einhaltung des Datenschutzes, Datensicherung etc. schriftlich fixiert.

Basis für den Vertrag war eine detaillierte kritische Analyse der bestehenden IT vor der Verlagerung in die Cloud. Diese Prüfung gehörte ebenso zu den Erfolgsfaktoren wie die modulare Organisation des Projekts und eine frühzeitige Einbeziehung aller Beteiligten inklusive Personalrat. Außerdem, so empfiehlt Theo Kratz, sollten Anwender der Technik nur das glauben, was sie auch sehen - besonders wenn es um die Lauffähigkeit von Spezialanwendungen in virtuellen Umgebungen geht. Der IT-Leiter erinnert sich: "Da hatten wir anfangs große Probleme, und es hat lange gedauert, bis wir mit den Produkten von Citrix die Plattform gefunden hatten, die alle unsere Anforderungen erfüllt." Dass mit der IT-Nutzung aus der Cloud weitere zehn Prozent der IT-Kosten eingespart werden konnten, ermutigt Wolfgang Berger zu neuen Cloud-Aktivitäten: "Jetzt denken wir darüber nach, die Vorteile des Cloud Computings unmittelbar für die Bürger erfahrbar zu machen."