Prüfung des Einsatzes von Microsoft Azure und Amazon Web Services bei der Deutschen Bahn

In der Anfrage #204602 (https://fragdenstaat.de/anfrage/datenschutz-folgenabschatzung-vorherige-konsultation-der-deutschen-bahn-zu-microsoft-azure-und-aws-1/) führen Sie in Ihrer Antwort vom 5. Januar 2021 aus, die im Zuge der Überführung der IT der Deutschen Bahn in die Cloud erfolgende Nutzung von Microsoft Azure und Amazon Web Services im Laufe des Jahres 2021 überprüfen zu wollen. Ich gehe davon aus, dass diese Prüfung zwischenzeitlich durchgeführt und abgeschlossen wurde.

Ich bitte diesbezüglich um folgende Informationen:
1. Im Rahmen der Prüfung untersuchte oder durchgeführte Datenschutz-Folgenabschätzungen (DSFA) sowie etwaig durchgeführte vorherige Konsultationen (Art. 35, 36 DSGVO).
2. Im Rahmen der Prüfung untersuchte oder durchgeführte „Transfer Impact Assessments“ (TIA). Sofern solche nicht oder nicht für beide Dienstleister vorliegen: Informationen zu den mit den Dienstleistern getroffenen vertraglichen, technischen und organisatorischen Absicherungen eines Drittlandtransfers, insbesondere (aber nicht nur) hinsichtlich sog. zusätzlicher Garantien im Sinne der Schrems-II Rechtsprechung des EuGH.
3. Interne oder öffentliche Stellungnahmen und Berichte zur durchgeführten Prüfung, insbesondere (aber nicht nur) hinsichtlich etwaiger DSFA und TIA.

Sofern Teile der Information durch Ausschlussgründe geschützt sind, beantrage ich mir die nicht geschützten Teile zugänglich zu machen.

Sollten Sie für diesen Antrag nicht zuständig sein, bitte ich Sie, ihn an die zuständige Behörde weiterzuleiten und mich darüber zu unterrichten.

Anfrage teilweise erfolgreich

  • Datum
    4. Mai 2022
  • Frist
    8. Juni 2022
  • 5 Follower:innen
<< Anfragesteller:in >>
Anfrage nach dem Berliner Informationsfreiheitsgesetz, VIG Sehr geehrte Damen und Herren, bitte senden Sie mir F…
An Die Berliner Beauftragte für Datenschutz und Informationsfreiheit Details
Von
<< Anfragesteller:in >>
Betreff
Prüfung des Einsatzes von Microsoft Azure und Amazon Web Services bei der Deutschen Bahn [#248276]
Datum
4. Mai 2022 16:28
An
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit
Status
Warte auf Antwort — E-Mail wurde erfolgreich versendet.
Anfrage nach dem Berliner Informationsfreiheitsgesetz, VIG Sehr geehrte Damen und Herren, bitte senden Sie mir Folgendes zu:
In der Anfrage #204602 (https://fragdenstaat.de/anfrage/datenschutz-folgenabschatzung-vorherige-konsultation-der-deutschen-bahn-zu-microsoft-azure-und-aws-1/) führen Sie in Ihrer Antwort vom 5. Januar 2021 aus, die im Zuge der Überführung der IT der Deutschen Bahn in die Cloud erfolgende Nutzung von Microsoft Azure und Amazon Web Services im Laufe des Jahres 2021 überprüfen zu wollen. Ich gehe davon aus, dass diese Prüfung zwischenzeitlich durchgeführt und abgeschlossen wurde. Ich bitte diesbezüglich um folgende Informationen: 1. Im Rahmen der Prüfung untersuchte oder durchgeführte Datenschutz-Folgenabschätzungen (DSFA) sowie etwaig durchgeführte vorherige Konsultationen (Art. 35, 36 DSGVO). 2. Im Rahmen der Prüfung untersuchte oder durchgeführte „Transfer Impact Assessments“ (TIA). Sofern solche nicht oder nicht für beide Dienstleister vorliegen: Informationen zu den mit den Dienstleistern getroffenen vertraglichen, technischen und organisatorischen Absicherungen eines Drittlandtransfers, insbesondere (aber nicht nur) hinsichtlich sog. zusätzlicher Garantien im Sinne der Schrems-II Rechtsprechung des EuGH. 3. Interne oder öffentliche Stellungnahmen und Berichte zur durchgeführten Prüfung, insbesondere (aber nicht nur) hinsichtlich etwaiger DSFA und TIA. Sofern Teile der Information durch Ausschlussgründe geschützt sind, beantrage ich mir die nicht geschützten Teile zugänglich zu machen. Sollten Sie für diesen Antrag nicht zuständig sein, bitte ich Sie, ihn an die zuständige Behörde weiterzuleiten und mich darüber zu unterrichten.
Dies ist ein Antrag auf Akteneinsicht bzw. Aktenauskunft nach § 3 Abs. 1 Berliner Informationsfreiheitsgesetz (IFG) bzw. nach § 2 Abs. 1 des Gesetzes zur Verbesserung der gesundheitsbezogenen Verbraucherinformation (VIG), soweit Verbraucherinformationen nach § 2 Abs. 1 VIG betroffen sind. Ausschlussgründe liegen meines Erachtens nicht vor. Ich möchte Sie darum bitten, mich vorab über den voraussichtlichen Verwaltungsaufwand sowie die voraussichtlichen Kosten für die Akteneinsicht bzw. Aktenauskunft zu informieren. Soweit Verbraucherinformationen betroffen sind, bitte ich Sie zu prüfen, ob Sie mir die erbetene Akteneinsicht bzw. Aktenauskunft nach § 7 Abs. 1 Satz 2 VIG auf elektronischem Wege kostenfrei gewähren können. Ich verweise auf § 14 Abs. 1 Satz 1 IFG und bitte Sie, ohne Zeitverzug über den Antrag zu entscheiden. Soweit Verbraucherinformationen betroffen sind, verweise ich auf § 5 Abs. 2 VIG und bitte Sie, mir die erbetenen Informationen baldmöglichst, spätestens bis zum Ablauf eines Monats nach Antragszugang zugänglich zu machen. Sollten Sie den Antrag ablehnen, gilt dafür nach § 15 Abs. 5 IFG Berlin eine Frist von zwei Wochen. Ich widerspreche ausdrücklich der Weitergabe meiner Daten an Dritte. Ich möchte Sie um eine Antwort in elektronischer Form (E-Mail) und um eine Empfangsbestätigung bitten. Vielen Dank für Ihre Mühe! Mit freundlichen Grüßen << Antragsteller:in >> << Antragsteller:in >> Anfragenr: 248276 Antwort an: <<E-Mail-Adresse>> Laden Sie große Dateien zu dieser Anfrage hier hoch: https://fragdenstaat.de/a/248276/
Mit freundlichen Grüßen << Anfragesteller:in >>
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit
Ihre E-Mail vom 4. Mai 2022 Sehr << Antragsteller:in >> Ihre o. g. E-Mail liegt mir vor und ist hier …
Von
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit
Betreff
Ihre E-Mail vom 4. Mai 2022
Datum
11. Mai 2022 16:57
Status
Warte auf Antwort
Sehr << Antragsteller:in >> Ihre o. g. E-Mail liegt mir vor und ist hier zum Geschäftszeichen 1391.210 veraktet. Hierzu teile ich Ihnen mit, dass unsere in der Tat für 2021 avisierte Prüfung der Umsetzung der Cloud-Infrastruktur bei der DB AG noch nicht abgeschlossen ist. Leider lässt sich nicht abschätzen, wann dies der Fall sein wird. Ich empfehle Ihnen daher, sich bei uns ab Ende September 2022 nach dem Sachstand zu erkundigen. Mit freundlichen Grüßen
<< Anfragesteller:in >>
AW: Ihre E-Mail vom 4. Mai 2022 [#248276]
Sehr << Anrede >> ich beziehe mich auf meine fragdenstaat.d…
An Die Berliner Beauftragte für Datenschutz und Informationsfreiheit Details
Von
<< Anfragesteller:in >>
Betreff
AW: Ihre E-Mail vom 4. Mai 2022 [#248276]
Datum
10. Oktober 2022 17:15
An
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit
Status
E-Mail wurde erfolgreich versendet.
Sehr << Anrede >> ich beziehe mich auf meine fragdenstaat.de-Anfrage "Prüfung des Einsatzes von Microsoft Azure und Amazon Web Services bei der Deutschen Bahn". In Ihrer Antwort vom 11. Mai 2022 teilten Sie mit, dass die für 2021 avisierte Prüfung der Umsetzung der Cloud-Infrastruktur bei der DB AG noch nicht abgeschlossen sei und regten eine erneute Anfrage Ende September 2022 an. Hiermit bitte ich um Mitteilung des aktuellen Sachstands und, sofern die Prüfung nunmehr abgeschlossen ist, um Bereitstellung der unter Ziff. 1 bis 3 gewünschten Informationen. Vielen Dank. Mit freundlichen Grüßen << Antragsteller:in >> << Antragsteller:in >> Ihr Geschäftszeichen: 1391.210
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit
Sehr << Antragsteller:in >> zu dem unten erbetenen Sachstand muss ich Ihnen leider mitteilen, dass d…
Von
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit
Betreff
Prüfung des Einsatzes von Microsoft Azure und Amazon Web Services bei der Deutschen Bahn
Datum
25. Oktober 2022 13:02
Status
Warte auf Antwort
Sehr << Antragsteller:in >> zu dem unten erbetenen Sachstand muss ich Ihnen leider mitteilen, dass der Vorgang hier aufgrund eines Büroversehens, das wir zu entschuldigen bitten, und aufgrund eines Wechsels der internen Zuständigkeit für den Beschäftigtendatenschutz noch nicht abschließend bearbeitet wurde. Dies soll aber nun recht zeitnah geschehen. Mit freundlichen Grüßen

Ein Zeichen für Informationsfreiheit setzen

FragDenStaat ist ein gemeinnütziges Projekt und durch Spenden finanziert. Nur mit Ihrer Unterstützung können wir die Plattform zur Verfügung stellen und für unsere Nutzer:innen weiterentwickeln. Setzen Sie sich mit uns für Informationsfreiheit ein!

Jetzt spenden!

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit
Sehr << Antragsteller:in >> ich komme zurück auf den o. g. Vorgang und teile Ihnen mit, dass unsere …
Von
Die Berliner Beauftragte für Datenschutz und Informationsfreiheit
Betreff
Prüfung des Einsatzes von Microsoft Azure und Amazon Web Services bei der Deutschen Bahn
Datum
29. Dezember 2022 16:35
Status
Anfrage abgeschlossen
Sehr << Antragsteller:in >> ich komme zurück auf den o. g. Vorgang und teile Ihnen mit, dass unsere Prüfung inzwischen abgeschlossen ist. Nach Entscheidung unserer Abteilung I (Recht) und unserer Abteilung IV (Informatik) bietet der vorliegende Sachverhalt keine ausreichenden Anhaltspunkte für einen tatsächlichen Export von Beschäftigtendaten. Es besteht hier lediglich ein geringfügiges Risiko für eine rechtswidrige Datenverarbeitung. Zu berücksichtigen ist außerdem, dass wiederaufgenommene Verhandlungen zwischen den USA und der EU für diesen Fall möglicherweise zukünftige Rechtssicherheit herstellen. Die verantwortliche Stelle wurde abschließend auf die grundsätzliche Problematik möglicher Sicherheitslücken hingewiesen. Zu Ihren konkreten Fragen teile ich Ihnen zudem Folgendes mit: Zu 1.: Eine DSFA liegt uns nicht vor, und es hat keine vorherige Konsultation stattgefunden. Zu 2.: TIAs liegen uns nicht vor. In einem Dokument von Mai 2021 (unser Aktenzeichen 511.1133.15) schilderte uns die DB AG, welche technischen und organisatorischen Maßnahmen im Hinblick auf mögliche Drittlandtransfers getroffen wurden. Zu 3.:  Unsere abschließende Bewertung von November 2022, aus der ich eingangs - gebührenfrei - zitiert habe, befindet sich in einem Dokument mit dem Aktenzeichen 511.1133.16. Die Offenlegung darüber hinausgehender Informationen ist gebührenpflichtig (§ 16 IFG). Die Höchstgebühr beträgt laut Tarifstelle 1004 der Verwaltungsgebührenordnung (VGebO) 500 €. Sofern Sie weitere Informationen begehren, werden wir prüfen, ob und wenn ja welche Ausschlusstatbestände im Sinne der §§ 6 ff. IFG in Betracht kommen, und hiernach zu schützende Daten vor einer Offenlegung schwärzen (§ 12 IFG). Die Gebührenfestsetzung erfolgt unter Berücksichtigung des Verwaltungsaufwandes für die Prüfung und Schwärzung, auch für ein mit der DB AG durchzuführendes Anhörungsverfahren (§ 14 Abs. 2 IFG). Das IFG ist zusammen mit den Gebührenvorschriften abrufbar unter https://www.datenschutz-berlin.de/informationsfreiheit/rechtliche-grundlagen Mit freundlichen Grüßen