Auch nach Jahren stellt die Datenschutzgrundverordnung (DSGVO) viele Unternehmen noch vor große Herausforderungen – das zeigt die schnell wachsende Zahl der gemeldeten Verstöße. Häufig fehlt intern Wissen zum richtigen Umgang mit personenbezogenen Daten und Verständnis für die rechtlichen Regelungen. Mit dem Wegfall des »Privacy Shield«-Abkommens und dem Home-Office-Boom sind überdies neue Fallstricke hinzugekommen.

Vor inzwischen fünf Jahren trat die DSGVO in Kraft, seit 25. Mai 2018 müssen Unternehmen die europäischen Datenschutzregelungen verbindlich umsetzen. Von Anfang an haderten viele von ihnen mit den Vorgaben und taten sich mit der Einführung der notwendigen Maßnahmen zum Schutz personenbezogener Daten schwer. Mit der Annullierung des »Privacy Shield«-Abkommens zwischen der EU und den USA, das viele rechtliche Fragezeichen bei der Nutzung von Cloud-Diensten hinterlässt, und der Corona-Pandemie, durch die viele Datenverarbeitungen ins Home Office verlagert wurden, ist die Liste der Herausforderungen im vergangenen Jahr noch länger geworden.

Ein sichtbares Indiz für die Schwierigkeiten, die Unternehmen mit der DSGVO-Umsetzung haben, sind die mehr als 26.000 Datenschutzverletzungen, die den deutschen Behörden 2020 gemeldet wurden – deutlich mehr als in den gut anderthalb Jahren zuvor zusammengenommen [1]. Auch die Zahl und die Höhe der verhängten Bußgelder schnellte nach oben, hohe Millionenbeträge sind keine Seltenheit mehr. Nicht immer geht es bei den DSGVO-Verstößen um die wissentliche Missachtung des Datenschutzes. Oft haben Unternehmen aus Unwissenheit oder schlicht einer unternehmerischen Laissez-faire-Haltung heraus keine ausreichenden Vorkehrungen getroffen, um personenbezogene Daten DSGVO-konform zu speichern, zu verarbeiten und zu löschen.

Bereits im Vorfeld der DSGVO-Scharfstellung vor drei Jahren hatten Unternehmen und Wirtschaftsverbände rechtliche Unklarheiten und fehlende Umsetzungshilfen beklagt. Seitdem ist die Situation durch Änderungen seitens des Gesetzgebers und eine europaweit uneinheitliche Auslegung der Regeln eher noch verwirrender geworden, auch wenn die EU-Kommission im Zuge der letztjährigen DSGVO-Evaluierung mehr Unterstützung insbesondere für kleine und mittlere Unternehmen zugesichert hat. Schon die Meldepflicht bei Datenschutzverletzungen überfordert diese oft, weil sie nicht richtig einschätzen können, ob eine Meldepflicht begründet ist. Bei solchen Entscheidungen sollten sie sich daher professionell beraten lassen, um Strafen zu vermeiden – zumal Vorfälle wie Hacker-Angriffe, verlorene Notebooks oder versehentlich veröffentlichte Daten in der Home-Office-Welt häufiger vorkommen und umgehend gemeldet werden müssen.

Interessenskonflikte für den Datenschutzbeauftragten. In kleinen und mittelständischen Unternehmen treten regelmäßig Interessenskonflikte auf, weil die ernannten Datenschutzbeauftragten ihren bisherigen Aufgaben weiter nachgehen. Bestellen Unternehmen beispielsweise den IT-Leiter zum Datenschutzbeauftragten, ist dieser sowohl für die Überwachung aller technischen und organisatorischen Maßnahmen verantwortlich als auch für deren Umsetzung durch die IT-Abteilung – er müsste sich selbst kontrollieren. Noch widersprüchlicher wird es, wenn Mitarbeiter aus Bereichen wie Marketing oder Vertrieb, die von einer umfassenden Datennutzung profitieren, die Position des Datenschutzbeauftragten übernehmen sollen. Zudem fehlen solchen Mitarbeitern in der Regel detaillierte Kenntnisse im Bereichen Daten-Compliance, also zur praktikablen Datenklassifizierung und der sauberen Trennung von Geschäfts- und personenbezogenen Daten, zur Festlegung der Rechtsgrundlage für die Datenverarbeitung sowie die datenschutzkonforme Cloud-Nutzung und die korrekte Vertragsgestaltung.

Nahezu jedes Unternehmen nutzt heute SaaS-Anwendungen, Cloud-Computing oder ein ex-ternes Rechenzentrum, durch die es zu einer Auftragsdatenverarbeitung kommt, sprich: die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten durch einen Dienstleister. Für die Zusammenarbeit mit diesem müssen Unternehmen besondere Maßnahmen treffen und einen speziellen Vertrag aufsetzen, dessen Inhalt weitgehend vorgegeben ist. Fehlt er, haften das Unternehmen und der Dienstleister gemeinsam bei DSGVO-Verstößen.

Hoher Aufwand durch neue Prozesse. Eine große Herausforderung ist für viele Unternehmen die Entwicklung und Implementierung der technischen und organisatorischen Maßnahmen (TOMs) zum Schutz personenbezogener Daten. Zu diesen zählen einerseits technische Lösungen wie Firewalls, verschlüsselte Datenübertragungen, sichere Authentifizierung und eine Protokollierung von Datenzugriffen, aber auch die Berücksichtigung von »Privacy by Design« und »Privacy by Default« bei der Einführung neuer Anwendungen und Systeme. Andererseits umfassen die »TOMs« zahlreiche organisatorische Aspekte wie Mitarbeiterschulungen – auch speziell zum Umgang mit Daten im Home Office – sowie neue Prozesse, etwa für die Dokumentation aller Maßnahmen. Überdies müssen Unternehmen zum Beispiel für die Verarbeitung von sensiblen Daten in großem Umfang eine Datenschutz-Folgenabschätzung (DSFA) vornehmen, in der sie die Risiken für die Rechte und Freiheiten von Personen durch die Verarbeitung ihrer Daten beschreiben und bewerten sowie erklären, wie sie diese Risiken behandeln beziehungsweise in der Regel reduzieren.

Auch die mit der DSGVO eingeführten Betroffenenrechte machen neue interne Abläufe notwendig. So hat jede Person ein Auskunftsrecht und darf bei Unternehmen erfragen, welche Daten von ihr zu welchen Verarbeitungszwecken gespeichert sind, wie lange die Speicherung geplant ist und mit welchen anderen Unternehmen die Daten geteilt werden. Unternehmen müssen diese Auskunft präzise und in verständlicher Form sowie in einem gängigen Format erteilen. Voraussetzungen für eine schnelle Antwort auf solche Anfragen sind ein gut strukturiertes Datenschutzkonzept, schlanke Prozesse für eine fristgerechte und korrekte Bearbeitung sowie Tools, die die Auskunft weitgehend automatisch erstellen – denn müssen Mitarbeiter die Daten manuell zusammensuchen, steigt der Aufwand schnell ins Unermessliche. Ein ähnlich strukturierter Ablauf sollte auch beim Recht auf Vergessenwerden zum Einsatz kommen, um Daten – unter Berücksichtigung der anwendbaren Aufbewahrungspflichten – schnell und sicher zu löschen, wenn eine Person ihre Einwilligung zur Verarbeitung zurückzieht.

Christoph Seidel,
Senior Manager, GRC European Practice
der Security Division von NTT Ltd.

Illustration: © ngaga/shutterstock.com

519 Artikel zu „DSGVO personenbezogen“

NEWS | IT-SECURITY | KOMMUNIKATION | TIPPS

DSGVO: personenbezogene Daten nur verschlüsselt übermitteln

26. Juli 2018

Matthias Stauch, Vorstand der Intervista AG und Experte für digitalen Vertrieb, zur Unzulässigkeit der unverschlüsselten Übersendung von Vertragsdaten nach der DSGVO: »Am 25. Mai dieses Jahres trat die neue EU-Datenschutzgrundverordnung (DSGVO) vollständig in Kraft – für Unternehmen bedeutet dies, personenbezogene Daten zu schützen und bei deren Verarbeitung die 99 Artikel der Regeln zu…

Christoph Seidel, Senior Manager, GRC European Practice der Security Division von NTT Ltd.

519 Artikel zu „DSGVO personenbezogen“

Christoph Seidel,
Senior Manager, GRC European Practice
der Security Division von NTT Ltd.