Salesforce und Datenschutz

Datenschutz und Datensicherheit gehören unwidersprochen zu den wichtigsten Themen der Digitalisierung. Dies gilt besonders für das Segment Cloud Computing. Unternehmen, die nur oder überwiegend mit der Cloud arbeiten, sind extrem darauf angewiesen, dass ihre Daten jederzeit vor dem unbefugten Zugriff Dritter geschützt werden. Die Verantwortung dafür liegt in den Händen der Anbieter von Cloud Software und Cloud Services wie Salesforce.

Wer ist Salesforce?

Salesforce hat seinen Sitz in San Francisco und wurde 1999 gegründet. Es war das erste Unternehmen überhaupt, das CRM Software über die Cloud anbot, und hat damit einen Stein ins Rollen gebracht, der in der Branche eine Revolution auslöste und aus der digitalen Welt nicht mehr wegzudenken ist. Das Portfolio umfasst heute Software as a Service (SaaS) und Platform as a Service (PaaS) mit dem Schwerpunkt Customer Relationship Management (CRM, deutsch Kundenbeziehungsmanagement). In diesem Bereich gilt Salesforce als weltweiter Marktführer. Kunden, die mit den Produkten von Salesforce arbeiten, ersparen sich die Anschaffung von Software und teurer Hardware-Infrastruktur sowie den finanziellen und zeitlichen Aufwand für Implementierungen und Wartungen. Mitarbeiter können vom PC, Notebook, Smartphone oder Tablet aus arbeiten, jederzeit und überall. Lediglich eine Internetverbindung muss vorhanden sein.

Safe Harbour Abkommen

Das Safe Harbour Abkommen (Sicherer Hafen) war eine Vereinbarung zwischen den USA und der EU zur Datenübermittlung zwischen den beiden Parteien. Sie galt vom Jahr 2000 bis zum 6. Oktober 2015. An diesem Tag erklärte der Europäische Gerichtshof das Abkommen für ungültig. Kritik hatte es schon Jahre vorher immer wieder gegeben, nicht zuletzt von zahlreichen deutschen Datenschutz-Beauftragten. Grund dafür war nach den Skandalen um US-amerikanische Geheimdienste die Einsicht, dass ein ausreichender Datenschutz für europäische Bürger von Seiten der beteiligten Unternehmen in den USA nicht gewährleistet werden konnte.

Auftragsdatenverarbeitung (ADV)

Die kalifornische Softwareschmiede war gut darauf vorbereitet, als der Europäische Gerichtshof sein Urteil fällte und bietet seinen Kunden Datenschutz und Rechtssicherheit mittels eines Zusatzvertrages, der den Regeln der EU Model Clauses entspricht. Dieser Vertrag regelt nach § 11 Bundesdatenschutzgesetz die Erhebung, Verarbeitung und Nutzung von personenbezogene Daten durch Salesforce auf Weisung des Auftraggebers. Unternehmen können diesen Zusatzvertrag mit Salesforce abschließen und sich so rechtlich absichern. Diesen Vertrag findet man hier: Vertrag zu Datenverarbeitung im Auftrag.

Zertifizierung duch den TÜV Rheinland

Salesforce ist zertifiziert als "Certified Cloud Service" durch den TÜV Rheinland. Die Anforderungen dieses Zertifikats sind in puncto Qualität, Sicherheit und Compliance derzeit die umfassendsten, die es gibt, auch im internationalen Rahmen gesehen.

Der TÜV Rheinland hat die Services von Salesforce vor allem im Hinblick auf die Umsetzung der geforderten Sicherheitsmaßnahmen sowie auf die Datenschutz-Prozesse geprüft. Dabei wurden die Anforderungen des § 9 Bundesdatenschutzgesetz und der Artikel 17 der europäischen Datenschutz-Richtlinie zu Grunde gelegt. Für das Zertifizierungsverfahren wurden zum einen vorliegende Zertifikate aus dem Bereich der ISO 27001 und Berichte (SOC Reports) über bereits erfüllte Anforderungen überprüft und berücksichtigt. Zum anderen stattete das TÜV-Team dem Salesforce Hauptsitz in San Francisco einen Besuch ab, bei dem intensive Gespräche mit den zuständigen Ansprechpartnern aus der Compliance-Abteilung geführt wurden.

Im Anschluss prüfte der TÜV die Architektur der Software sowie die Sicherheitsmaßnahmen bis hinunter auf die Systemebene, zum Beispiel die Konfiguration von Applikationsservern. Erfahrene Experten halfen dabei, eine externe Sicherheitsanalyse vorzunehmen und herauszufinden, ob sich die Dienste von Salesforce via Internet kompromittieren ließen. Dieser Härtetest ist das wesentliche Qualitäts- und Alleinstellungsmerkmal des "Certified Cloud Service"-Verfahrens. Am Ende waren sowohl die Prüfer vom TÜV als auch die externen Analysten davon überzeugt, dass Salesforce die Bereiche Datenschutz, Sicherheit und Compliance sehr ernst nimmt und alles daransetzt, die hohen Anforderungen Deutschlands und der Europäischen Union zu erfüllen. Das Zertifikat mit allen Einzelheiten ist auf der Webseite www.certipedia.de für jeden Interessierten einsehbar.

Was bedeutet das für Sie?

Der "Certified Cloud Service" ist derzeit führender Standard bei der Zertifizierung von Cloud-Diensten und wird es wohl auch noch eine Weile bleiben. Bei einem Unternehmen wie Salesforce, das mit dem entsprechenden Prüfsiegel ausgezeichnet wurde, können Kunden und deren Beauftragte für den Datenschutz sicher sein, dass sie sich keine "Mogelpackung" ins Haus holen, sondern eine Software, die deutsche Gesetze rundum einhält. Die Prüfung des TÜV dringt sehr tief in die Materie ein. Sie beschränkt sich nicht auf eine Dokumentenprüfung, sondern untersucht auch intensiv die technische Realisierung von Sicherheitsmaßnahmen und die dahinter stehenden Prozesse bis hin zu den Vorgaben für ein Notfallmanagement. Deshalb können Unternehmen, die sich für Salesforce und damit für das "Certified Cloud Service"-Siegel entscheiden, in puncto Datenschutz beruhigt schlafen.

Salesforce bietet aber mehr als "nur" ausreichenden Datenschutz

Zahlreiche kleine, große und sehr große deutsche Unternehmen setzen auf die Cloud-Lösungen von Salesforce, und das nicht nur wegen seiner Bemühungen um den Datenschutz. Die Software geht auch bei millionenfachen Zugriffen auf Kundenwebseiten nicht in die Knie und erledigt ihre Aufgaben jederzeit zuverlässig und schnell. Neben dem Hauptprodukt Sales Cloud, der führenden CRM-Lösung bietet Salesforce weitere Module. Dazu zählen:

• die Service Cloud (für Kundensercie, Support und Kundenvorgangsmanagement)

• die Marketing Cloud (für jede Art von Online Marketing Kampagnen)

• die Analytics Cloud (für schnelle Datenanalysen auch auf Mobilgeräten)

• die Community Cloud (für die Vernetzung von Kunden, Mitarbeitern und Partnern)

• die Salesforce Platform (für eine schnelle und einfache Anwendungsentwicklung) sowie die

• die IoT Cloud (für die Ausschöpfung der Potenziale, die das Internet of Things bietet)

Mit all ihren technischen Features und Modulen, gepaart mit dem "Certified Cloud Service" für Datenschutz und Sicherheit, stellt die Software des kalifornischen Herstellers eine überzeugende Lösung für alle Unternehmen dar, die ihre Geschäfte und ihr CRM in die Cloud verlegen möchten.