EU-Datenschutz-Grundverordnung: Der Countdown läuft

Im Mai 2018 wird das EU-Regelwerk zum Datenschutz scharf gestellt. Unternehmen bleibt nicht viel Zeit, ihre IT für einen gesetzeskonformen Umgang mit personenbezogenen Daten umzubauen. Dabei ist mehr als Datenklassifizierung, Risikoanalyse und Dokumentation gefragt. Die gute Nachricht: Es ist noch nicht zu spät.

Der Datenschutz in Europa wird vereinheitlicht. Darauf zielt die EU-Datenschutz-Grundverordnung (DSGVO) ab. Das Regelwerk, die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, wurde im April 2016 im EU-Parlament verabschiedet und am 4. Mai 2016 im EU-Amtsblatt veröffentlicht. Die 28 EU-Mitgliedstaaten haben bis zum 25. Mai 2018 Zeit, alle Vorgaben umzusetzen. In Europa gibt es Richtlinien, die von den EU-Staaten in nationales Recht umgesetzt werden müssen und Verordnungen, die unmittelbar geltendes Recht sind. Die DSGVO ist eine Verordnung und enthält etwa 70 Öffnungsklauseln, wo es jedem Mitgliedsstaat überlassen ist, diese mit entsprechenden Regelungen zu füllen. Somit sind noch viele nationale Gesetze anzupassen und zu verabschieden. Auch das bisherige Bundesdatenschutzgesetz (BDSG) wird durch das Datenschutz-Anpassungs- und -Umsetzungsgesetz EU (DSAnpUG-EU) ersetzt. Bis zum 25. Mai 2018 ist also auch vom Gesetzgeber noch viel zu tun. Die Zeit wird knapp – man bedenke, dass am 24. September 2017 Bundestagswahlen sind und ein schnelles Vorankommen in der Gesetzgebung durch Wahlvorbereitungen und das spätere Etablieren der neuen Bundesregierung eher verzögert wird.

Einen Plan, wie ein DSGVO-konformer Umgang mit personenbezogenen Daten aussieht, haben nur die wenigsten Unternehmen. Das gaben 97 Prozent der Befragten im vergangenen Herbst im Rahmen einer Studie von Dell¹ zu. Grund, in Panik zu verfallen, besteht nicht. Aber die Unternehmenswelt muss sich dringend um Datensicherheit und Datenschutz kümmern.

Was bedeutet das „Recht auf Vergessenwerden“?

In der EU gilt also in einem Jahr das „Recht auf Vergessenwerden“. Das Risiko verteilt sich dann auf den Verantwortlichen und den Auftragsverarbeiter, die beide in der Haftung stehen. Dies ist wichtig zu wissen für sämtliche Unternehmen, die etwa as-a-Service-Angebote (Datenverarbeitung) beziehen oder anbieten. Personen haben das Recht, ihre Daten plus Links löschen zu lassen, wenn ihre Daten rechtswidrig verarbeitet oder behandelt wurden. Für mehr Transparenz räumt der Gesetzgeber Personen ein Auskunftsrecht ein, um den Zweck der Datenverarbeitung, Speicherdauer, Empfänger der Daten und vieles mehr abzufragen. Außerdem können Verbraucher ihre Daten mitnehmen, wechseln sie zu einem anderen Anbieter. Auf der anderen Seite ergeben sich für Unternehmen umfangreiche Informations- und Dokumentationspflichten. So kann die Aufsichtsbehörde einen Datenverarbeiter auffordern, nachzuweisen, dass er mit den persönlichen Informationen korrekt umgeht.

Bei Verstößen gegen die DSGVO drohen Unternehmen drakonische Strafen bis zu 20 Millionen Euro oder bis zu vier Prozent ihres weltweit erzielten Jahresumsatzes. Es greift der höhere Wert. Wer künftig die technischen und organisatorischen Maßnahmen für die Datensicherheit und den Datenschutz nicht ergreift, muss auch Bußgeld zahlen.

Zur Datensparsamkeit über Klassifizierung und Risikoanalyse

Die EU verpflichtet Unternehmen dazu, sich so aufzustellen, dass sie Daten vermeiden. Für das Prinzip der Datensparsamkeit schreibt die DSGVO Privacy by Design und Privacy by Default vor. Die Technik realisiert den Datenschutz. Und in ihren Voreinstellungen gewährleistet jede Applikation, die persönliche Daten verarbeitet, den Datenschutz. Unternehmen sollten bereits für das Produktdesign den Datenschutz prozessorientiert mitdenken.

Als erstes müssen sich Unternehmen klar machen, welche personenbezogenen Daten sie speichern und verarbeiten. Das bildet die Grundlage, um überhaupt Daten zu klassifizieren und Risiken zu bewerten. Sonst herrscht bei Datenportabiltät und Zugriffsrechten schnell ein undurchschaubares Wirrwarr. Die beste Orientierung liefert ein ganzheitlicher Ansatz, den gute IT-Berater im Wesentlichen aus drei IT-Komponenten zusammenfügen, anpassen und realisieren: Rechenschaftspflicht für den Datenschutz, Datenschutzrisikoanalyse und Sicherheitsrisikoanalyse. Zu letztgenannten bieten Hersteller wie etwa IBM viele Lösungen.

Die Breite und Tiefe des Angebots überfordern jedoch potenzielle Anwenderfirmen, stellen wir bei Axians in unseren Beratungsgesprächen immer wieder fest. Unternehmen sollten sich auf Lösungen konzentrieren, die eine DSGVO-konforme Bewertung ihrer IT in Aussicht stellen. Es empfiehlt sich auf folgenden Leistungsumfang zu achten: Das Identifizieren und Beheben von Sicherheitsschwachstellen, das Ermitteln und Klassifizieren personenbezogener Daten sowie die Audit-sichere Datenkontrolle.

Nachvollziehbar müssen die Rechte sein, wo wer wie auf Daten zugreift, diese bearbeitet, löscht und überträgt. Das Managen und Melden von Verstößen einschließlich einer IT-Forensik zu Störungen gehört ebenso abgedeckt, wodurch privilegierte Benutzer im Fokus stehen. Das Verschlüsseln und das Pseudonymisieren der Daten vor dem Verarbeiten führt die Verordnung explizit auf. Dort steht aber auch, dass die Informationspflicht bei Verschlüsselung und Pseudonymisierung entfällt. Ansonsten müssen Unternehmen Sicherheitsvorfälle und -verstöße innerhalb von 72 Stunden melden.

Wegweisende Kriterien

Der Weg zum einheitlichen Datenschutz in der EU ist vorgezeichnet. Den müssen alle Unternehmen mitgehen. Einfache Lösungen von der Stange gibt es nicht, denn im Optimalfall werden Firmenprozesse, interne wie externe Best Practices und organisatorische Bedürfnisse berücksichtigt und gegen die neuen Anforderungen evaluiert. Mögliche Schwerpunkte liegen im Datenmapping, um Datenportabilität, Zugriffsrechte und das Recht auf Löschen umzusetzen. Es gilt nun, den Datenschutzauftrag der EU ernst zu nehmen und sofort anzugehen – dann muss kein Unternehmen dem 25. Mai 2018 mit Sorge entgegenblicken. Vielmehr bietet die DSGVO Unternehmen die Chance, über das  „Verzeichnis der Verarbeitungstätigkeiten“ einen genauen Überblick über alle Datenverarbeitungsprozesse und den gespeicherten Daten zu erhalten. Zudem profitiert jedes Unternehmen sicherheitstechnisch davon, eine aktuelle Risikoeinschätzung vorzunehmen und mögliche Risiken über entsprechende Aktivitäten nachhaltig zu minimieren.

Auf einen Blick: In diesem Factsheet erhalten Sie einen ersten Überblick über die neue EU-Datenschutz-Grundverordnung mit einer Übersicht der Grundprinzipien, wesentlichen Änderungen und der zu erwartenden Bußgelder.

Factsheet zur DSGVO

EU-DSGVO in den Startlöchern: Ist Ihre Organisation vorbereitet?

Testen Sie jetzt, wie weit Ihr Unternehmen auf die kommende EU-DSGVO vorbereitet ist.

Zum DSGVO-Test

Quelle

¹„Unternehmen sind laut einer Umfrage von Dell schlecht auf die neue EU-Datenschutz-Grundverordnung vorbereitet.“, Pressemitteilung von Dell, 12.10.2016, http://www.dell.com/learn/de/de/decorp1/press-releases/2016-10-14-dell-publishes-gdpr-study; Link zur Studie „Global Survey: GDPR has ramification for any company that does business with citizens of the EU“: https://www.quest.com/whitepaper/gdpr-has-ramification-for-any-company-that-does-business-with-citizens8118437/

Kommentare

  1. Hallo,

    so ganz verstehe ich die Panikmache nicht. Oben steht doch:

    Die 28 EU-Mitgliedstaaten haben bis zum 25. Mai 2018 Zeit, alle Vorgaben umzusetzen. In Europa gibt es Richtlinien, die von den EU-Staaten in nationales Recht umgesetzt werden müssen und Verordnungen, die unmittelbar geltendes Recht sind.

    Wenn die Vorgaben denn bis dahin umgesetzt sind (das wird sich auch noch zeigen, ob das überhaupt klappt…), ist denn dann gesichert, dass sie für die Firmen vom gleichen Tag an gelten? Ich würde eigentlich denken, dass man abwartet, wie denn jetzt die Umsetzung in deutsches Recht geschieht und erst dann reagieren. Sonst laufe ich ja als Unternehmer vielleicht in die falsche Richtung.

    Oder ist das jetzt ganz falsch gedacht?

    1. Hallo Herr Berger,

      vielen Dank für Ihr Feedback auf unseren Artikel „EU-Datenschutz-Grundverordnung: Der Countdown läuft“. Die Vorgaben in der EU-Grundverordnung sind verbindlich. So kann schon jetzt ein internes Projekt im Unternehmen etabliert werden. So etwas muss gut vorbereitet sein und bedarf auch etwas Zeit. Davon werden dann die entsprechenden Maßnahmen abgeleitet. Gibt es Vorgaben (z.B. Öffnungsklauseln), die noch nicht endgültig in Gesetze gegossen sind, so werden diese aufgenommen, können aber noch nicht verbindlich umgesetzt werden, man kann sich aber sehr wohl Gedanken machen. Es gibt aber auch sehr aufwendige Aufgaben innerhalb der Umsetzung. Als Beispiel sei hier das Verarbeitungsverzeichnis aufgeführt. Um alle Verarbeitungsaktivitäten zu erarbeiten und festzustellen sind sehr viele Organisationseinheiten im Unternehmen gefragt und müssen auch zuarbeiten.

      Ich möchte abschließend noch erwähnen, dass auch die Aufsichtsbehörden sich bei vielen Themen etwas schwer tun. So ist das Thema „Datenschutz-Folgenabschätzung“ nach Artikel 35 Abs. 1 DS-GVO neu hinzugekommen. Man nähert sich dem Thema an und tauscht sich aus. Auch hierzu kann die Zeit genutzt werden.

      Deshalb schon jetzt anfangen, die Dinge tun, die verbindlich angegangen und umgesetzt werden können. Bei Themen, die noch etwas unklar und einer Diskussion bedürfen aber „dran bleiben“ und die Richtung erkennen und interne Maßnahmen darauf ausrichten. Es gibt auch technische Themen die durch entsprechende Software unterstützt werden können. Hierzu bedarf es einem Auswahlverfahren für Software. Einführung und Inbetriebnahme wäre dann auch separate Projekte. Budget müssen geklärt werden.

      Ich wollte auf keinen Fall eine Panikmache bezwecken. Vielmehr wollte ich sensibilisieren. Die Nachweispflichten gegenüber den Aufsichtsbehörden und den Betroffenen werden zunehmen. Deshalb schon jetzt die Zeit nutzen. Die Entscheidung steht natürlich jedem frei.

      In diesem Sinne nochmals vielen Dank für Ihre Nachricht und gleich ein schönes Wochenende.

      Besten Gruß
      Erwin Ritter

Diesen Beitrag kommentieren

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.