CISPE-Verhaltenskodex für den Datenschutz

Der Cloud Infrastructure Service Providers in Europe Data Protection Code of Conduct (kurz CISPE-Kodex) ist der erste gesamteuropäische Datenschutz-Verhaltenskodex für Anbieter von Cloud-Infrastruktur-Services gemäß Artikel 40 der Datenschutz-Grundverordnung (DSGVO) der Europäischen Union. Es wurde im Mai 2021 vom Europäischen Datenschutzausschuss (EDPB) genehmigt und im Juni 2021 von der französischen Datenschutzbehörde (CNIL) offiziell angenommen.

Der CISPE-Kodex sichert den Unternehmen zu, dass ihr Anbieter von Cloud-Infrastruktur-Services die Anforderungen erfüllt, die für einen Datenverarbeiter gemäß der DSGVO gelten. Dies gibt Cloud-Kunden zusätzliches Vertrauen, dass sie Services wählen können, die unabhängig auf ihre Compliance mit der DSGVO überprüft wurden.

Die Einhaltung des CISPE-Kodex durch AWS gibt den Kunden zusätzliche Zusicherungen, dass AWS vertragliche und betriebliche Maßnahmen implementiert hat, die die Anforderungen erfüllen, die für einen Auftragsverarbeiter gemäß Artikel 28 der DSGVO gelten. Die Compliance des CISPE-Kodex durch AWS wurde von EY CertifyPoint, einem von der CNIL als Überwachungsstelle akkreditierten externen Prüfer, überprüft.

Der CISPE-Kodex geht über die Einhaltung der DSGVO hinaus. Er verpflichtet Anbieter von Cloud-Infrastruktur-Services, Kunden die Möglichkeit zu geben, ihre Daten innerhalb des Europäischen Wirtschaftsraums zu speichern und zu verarbeiten. Die Anbieter von Cloud-Infrastruktur-Services müssen sich außerdem verpflichten, auf Kundendaten nicht zuzugreifen oder diese zu verwenden. Insbesondere müssen sich die Anbieter von Cloud-Infrastruktur-Services dazu verpflichten, Kundendaten nicht für eigene Zwecke zu verwenden, einschließlich für Data Mining, Profiling oder Direktmarketing.

Der CISPE-Kodex ermöglicht Cloud-Kunden die sichere Auswahl von Cloud-Infrastruktur-Services, die unter Einhaltung der DSGVO genutzt werden können. Der CISPE-Kodex versichert Organisationen, dass ihr Anbieter von Cloud-Infrastruktur-Services die Anforderungen erfüllt, die für einen Datenverarbeiter gemäß der DSGVO gelten. Dies gibt Cloud-Kunden das zusätzliche Vertrauen, dass sie Cloud-Services auswählen können, die unabhängig auf ihre Compliance mit der DSGVO überprüft wurden. AWS deklariert Services unter dem CISPE-Kodex aufgrund der zusätzlichen Sicherheit, die es unseren Kunden bietet. Der CISPE-Kodex ist der erste europaweite Datenschutz-Verhaltenskodex mit Schwerpunkt auf Cloud-Infrastruktur-Services und wird vom Europäischen Datenschutzausschuss gebilligt und von der französischen Datenschutzbehörde (CNIL) genehmigt, die als führende Datenschutzbehörde fungiert.

Ja, AWS hält eine hohe Messlatte für Datenschutz und Datenschutzkontrollen ein, die im CISPE-Kodex für alle Kundeninhalte beschrieben sind.

EY CertifyPoint (EYCP) hat unabhängig zertifiziert, dass die AWS-Services dem CISPE-Kodex entsprechen. EYCP war die erste „Überwachungsstelle“, die von der CNIL akkreditiert wurde, um die Compliance des CISPE-Kodex durch Cloud-Infrastrukturanbieter zu überprüfen. Die CNIL hat seitdem mehrere andere Überwachungsstellen akkreditiert, darunter Bureau Veritas und LNE. Dies sind alles international anerkannte unabhängige Prüfer und Zertifizierungsstellen mit ausgewiesener Erfahrung in der Überprüfung der Compliance mit Datenschutzanforderungen durch Unternehmen.

Die Services, die dem CISPE-Kodex entsprechen, sind im öffentlichen CISPE-Register unter „Controlled Adherence“ (Kontrollierte Einhaltung) registriert. Für diese Services wurde die Einhaltung der Anforderungen des CISPE-Kodex durch AWS von EY CertifyPoint, einer unabhängigen, von der CNIL akkreditierten Überwachungsstelle, überprüft. Die AWS-Services, die in den Geltungsbereich des CISPE-Kodex fallen, finden Sie auch unter AWS Services in Scope by Compliance Program.

AWS unterstützt mehr Sicherheitsstandards und Compliance-Zertifizierungen als alle anderen Cloud-Anbieter. Zudem überprüfen wir im Zuge der Weiterentwicklung des regulatorischen Umfelds kontinuierlich die Bedürfnisse unserer Kunden. Der CISPE-Kodex ermöglicht unseren Kunden die sichere Auswahl von Cloud-Infrastruktur-Services, die DSGVO-konform genutzt werden können, und adressiert die heutigen Compliance-Anforderungen unserer Kunden.

Der Cloud-Verhaltenskodex der EU ist eine andere Initiative, jedoch mit ähnlichen Überlegungen und Ansätzen wie beim CISPE-Kodex. Während AWS der Ansicht ist, dass der CISPE-Kodex ein hervorragendes Instrument ist, um die DSGVO-Compliance von AWS zu demonstrieren und die entsprechenden Erwartungen unserer Kunden zu erfüllen, werden wir die Bedürfnisse unserer Kunden weiterhin überprüfen, wenn sich das regulatorische Umfeld weiterentwickelt.