Ein Großteil unseres Lebens spielt sich mittlerweile online ab. Das gilt für Privatpersonen wie auch für Unternehmen und Regierungen. Es ist daher leicht nachvollziehbar, warum die Sorge um den Umgang mit digitalen Informationen wächst. Wie können persönliche und unternehmensbezogene Daten im digitalen Zeitalter noch geschützt werden?
Gesetze und Regelungen wie die neue EU-Datenschutzrichtlinie (GDPR – General Data Protection Regulation) sollen dabei helfen – stellen jedoch vor allem Unternehmen vor große Herausforderungen. Laut einer Studie von Intralinks in Zusammenarbeit mit dem Analystenhaus Ovum meint die Mehrheit deutscher Unternehmen (58 Prozent) gar nicht in der Lage zu sein, die neuen Datenschutzbestimmungen der EU zu erfüllen.
Richard Anstey, CTO EMEA bei Intralinks stellt vier entscheidende Maßnahmen für Unternehmen zusammen, die dabei helfen, die strengen rechtlichen Auflagen zu erfüllen.
#1 Eine Strategie für die Datenhoheit
Bevor sie sich bemühen, rechtliche Anforderungen zu erfüllen, sollten Unternehmen zunächst eine Strategie entwickeln. So können sie Ressourcen sparen und Compliance-Vorgaben wesentlich zuverlässiger erfüllen. Gerade bei international tätigen Unternehmen ist dies besonders relevant – denn wenn sie Daten sammeln, sind sie von den Datenschutzbestimmungen aller Länder betroffen, in denen sie arbeiten. Personenbezogene Daten unterliegen immer den Bestimmungen des Landes, in dem sie gesammelt wurden.
Unternehmen müssen diese Regelungen auch dann genau beachten, wenn sie auf externe Cloud-Anbieter setzen. Der erste Schritt besteht darin, sich der Verantwortung über die Daten bewusst zu werden und eine entsprechende Strategie zu entwickeln. Ein festes Team sollte diese Strategie leiten und für Compliance-Kontrollen, -Regeln und -Abläufe verantwortlich sein. Auch wenn sich Risikoverantwortliche bereits damit beschäftigen, müssen die Führungskräfte unbedingt auch dahinterstehen.
#2 Risiken abschätzen
Sobald die Führungsebene mit an Bord ist, sollten alle signifikanten Risiken identifiziert werden. In bestimmten Branchen wie Life Sciences und Versicherungen gehört dies bereits zum Alltag; sie unterliegen sehr strengen Kontrollen und der Aufsicht von Regulierungsbehörden. Bei der Abschätzung des Datenschutzrisikos empfiehlt es sich, mit der Klassifizierung der Informationen zu beginnen – etwa in personenbezogene oder firmeninterne Informationen.
Die Informationsklassen sollten bereits existierenden Geschäftsprozessen und Regionen zugeordnet werden. Im Anschluss müssen die einschlägigen Datenschutzbestimmungen der einzelnen Länder ermittelt und geprüft werden, in denen das Unternehmen tätig ist. Zuweilen sind Unternehmen sogar gezwungen, Geschäftsprozesse zu ändern, um gesetzlichen Anforderungen gerecht zu werden.
In den meisten Fällen verfügen Unternehmen bereits über IT-Lösungen, die sie dabei unterstützen können, wie etwa das Datenklassifizierungstool Atlas. Oft befinden sich in ihrem Arsenal jedoch auch Technologien, die das eigene Risiko erhöhen, etwa File-Sharing-Tools für Konsumenten.
#3 Kein Datenschutz ohne Mitarbeiter
Nachdem die Strategie steht und alle Risiken identifiziert wurden, folgt der dritte Schritt. Dieser ist oft am zeitaufwändigsten: Die Strategie muss unternehmensweit umgesetzt werden. Datenhoheit ist eine komplexe Herausforderung für alle Mitarbeiter. Neben dem Einsatz der richtigen Lösungen sollten Unternehmen ihre Mitarbeiter daher im Umgang mit Daten ausbilden. Aus finanzieller und rechtlicher Sicht ist ein alleiniger Fokus auf Technologien, Prozesse oder Mitarbeiter nicht ratsam, da alle Faktoren wichtig sind. Dieser Schritt ist entscheidend für den Erfolg der neu entwickelten Strategie.
#4 Dienstleister in die Pflicht nehmen
Für den erfolgreichen Umsatz der entworfenen Strategie müssen Unternehmen ihre bereits existierenden Technologie- und Service-Dienstleister mit einbeziehen und kritisch nachfragen, wie diese den neuen rechtlichen Anforderungen gerecht werden wollen. Kompetente Dienstleister warten bereits mit einer Palette an Lösungen auf, um Datenschutzanforderungen umzusetzen. Verschiedene Optionen zu haben ist von entscheidender Bedeutung, da sich die Gesetze von Land zu Land unterscheiden und ständig verändern. Die richtigen Dienstleister sind in der Lage, Fragen über den physischen Standort der Daten zu beantworten und bieten flexible Verträge an.