Rechtlich-regulatorische Anforderungen – Wichtige Begrifflichkeiten

Im Folgenden sind einige zentrale Begrifflichkeiten erläutert, die für das Verständnis der Anforderungsbeschreibungen wichtig sind und sich nicht unmittelbar aus dem jeweiligen Beschreibungstext ergeben:

Anything as a Service (XaaS): Cloud-Computing-Modell, bei dem IT-Services, Produkte und Technologien über das Internet als nutzungsbasierte Dienstleistung bereitgestellt werden (auch als „Everything as a Service“ bezeichnet).

Auftragsverarbeiter: Natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet (vgl. Art. 4 Nr. 8 DSGVO).

Betroffene Person: Als betroffene Person wird im Datenschutzrecht eine identifizierte oder identifizierbare natürliche Person bezeichnet, deren Daten verarbeitet werden. Als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder einem oder mehreren besonderen Merkmalen, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind, identifiziert werden kann (vgl. Art. 4 Nr. 1 DSGVO).

Infrastructure as a Service (IaaS): Cloud-Computing-Modell, bei dem IT-Infrastruktur wie virtuelle Server, Speicher und Netzwerke über das Internet bereitstellt werden.

Datennutzer: Ein Datennutzer im Sinne des Daten-Governance-Rechtsakts ist eine natürliche oder juristische Person, die rechtmäßig Zugang zu bestimmten Daten hat und berechtigt ist, diese Daten für kommerzielle oder nichtkommerzielle Zwecke zu nutzen (vgl. Art. 2 Nr. 9 DGA).

Datenschutzverletzung: Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden (vgl. Art. 4 Nr. 12 DSGVO).

Datenvermittlungsdienst: Ein Datenvermittlungsdienst (auch Datenintermediär genannt) ist eine natürliche oder juristische Person, die als neutrale Vermittler zwischen Datengebern und Datennutzern fungiert und deren Hauptaufgabe darin besteht, den Austausch von Daten durch technische, rechtliche oder sonstige Mittel zu erleichtern und zu fördern.

Platform as a Service (PaaS): Cloud-Computing-Modell, bei dem Entwicklern eine internetbasierte Umgebung zum Erstellen, Testen, Bereitstellen und Verwalten von Anwendungen bereitgestellt wird.

Software as a Service (SaaS): Cloud-Computing-Modell, bei dem Softwareanwendungen meist im Abonnement über das Internet bereitgestellt werden.

Software-defined Networking: Architekturansatz für den Aufbau und Betrieb großer Netzwerke, der die Steuerungsebene von der Datenebene trennt und eine zentrale, softwarebasierte Kontrolle ermöglicht.

Systemkomponente: Im Kontext der Cloud-Sicherheit steht der Begriff Systemkomponente für alle Objekte im Verantwortungsbereich des Cloud-Anbieters, die dieser für die Informationssicherheit der Cloud-Dienste während der Erstellung, Verarbeitung, Speicherung, Übertragung, Löschung oder Zerstörung von Informationen benötigt, z. B. Firewalls, Loadbalancer, Webserver, Anwendungsserver und Datenbankserver (auch als „Asset“ bezeichnet, vgl. BSI C5:2026, 1.2.1 Begriffe im Zusammenhang mit Cloud-Sicherheit).

Verantwortlicher: Natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet (vgl. Art. 4 Nr. 7 DSGVO).

Verarbeitung: In Art. 4 Nr. 2 DSGVO ist die Verarbeitung im Zusammenhang mit personenbezogenen Daten definiert. Der Begriff umfasst jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe wie: Erheben, Erfassen, Organisation, Ordnen, Speicherung, Anpassung oder Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, Abgleich oder Verknüpfung, Einschränkung, Löschen, Vernichtung. Dieses Begriffsverständnis wird in DREAM analog auch auf die Verarbeitung nicht-personenbezogener Daten angewendet.|