Ein Jahr vor der DSGVO: Wie Unternehmen den EU-Datenschutz umsetzen

Share on facebook
Share on twitter
Share on linkedin
Share on xing
Share on whatsapp
Share on email
Share on print

Ein Jahr vor der DSGVO: Wie Unternehmen den EU-Datenschutz umsetzen

Share on facebook
Share on twitter
Share on linkedin
Share on xing
Share on whatsapp
Share on email
Share on print

Im Mai 2018 wird das EU-Regelwerk zum Datenschutz scharf gestellt. Unternehmen bleibt nicht viel Zeit, ihre IT für einen gesetzeskonformen Umgang mit personenbezogenen Daten umzubauen. Dabei ist mehr als Datenklassifizierung, Risikoanalyse und Dokumentation gefragt. Die gute Nachricht: Es ist noch nicht zu spät.

Im Mai 2018 wird das EU-Regelwerk zum Datenschutz scharf gestellt. Unternehmen bleibt nicht viel Zeit, ihre IT für einen gesetzeskonformen Umgang mit personenbezogenen Daten umzubauen. Dabei ist mehr als Datenklassifizierung, Risikoanalyse und Dokumentation gefragt. Die gute Nachricht: Es ist noch nicht zu spät.

Der Datenschutz in Europa wird vereinheitlicht. Darauf zielt die EU-Datenschutz-Grundverordnung (DSGVO) ab. Das Regelwerk, die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates, wurde im April 2016 im EU-Parlament verabschiedet und am 4. Mai 2016 im EU-Amtsblatt veröffentlicht. Die 28 EU-Mitgliedstaaten haben bis zum 25. Mai 2018 Zeit, alle Vorgaben umzusetzen.

In Europa gibt es Richtlinien, die von den EU-Staaten in nationales Recht umgesetzt werden müssen und Verordnungen, die unmittelbar geltendes Recht sind. Die DSGVO ist eine Verordnung und enthält etwa 70 Öffnungsklauseln, wo es jedem Mitgliedsstaat überlassen ist, diese mit entsprechenden Regelungen zu füllen. Somit sind noch viele nationale Gesetze anzupassen und zu verabschieden.

Auch das bisherige Bundesdatenschutzgesetz (BDSG) wird durch das Datenschutz-Anpassungs- und -Umsetzungsgesetz EU (DSAnpUG-EU) ersetzt. Bis zum 25. Mai 2018 ist also auch vom Gesetzgeber noch viel zu tun. Die Zeit wird knapp – man bedenke, dass am 24. September 2017 Bundestagswahlen sind und ein schnelles Vorankommen in der Gesetzgebung durch Wahlvorbereitungen und das spätere Etablieren der neuen Bundesregierung eher verzögert wird.

Einen Plan, wie ein DSGVO-konformer Umgang mit personenbezogenen Daten aussieht, haben nur die wenigsten Unternehmen. Das gaben 97 Prozent der Befragten im vergangenen Herbst im Rahmen einer Studie von Dell zu. Grund, in Panik zu verfallen, besteht nicht. Aber die Unternehmenswelt muss sich dringend um Datensicherheit und Datenschutz kümmern.

 

 

Was bedeutet das „Recht auf Vergessenwerden“?

In der EU gilt also in einem Jahr das „Recht auf Vergessenwerden“. Das Risiko verteilt sich dann auf den Verantwortlichen und den Auftragsverarbeiter, die beide in der Haftung stehen. Dies ist wichtig zu wissen für sämtliche Unternehmen, die etwa as-a-Service-Angebote (Datenverarbeitung) beziehen oder anbieten.

Personen haben das Recht, ihre Daten plus Links löschen zu lassen, wenn ihre Daten rechtswidrig verarbeitet oder behandelt wurden. Für mehr Transparenz räumt der Gesetzgeber Personen ein Auskunftsrecht ein, um den Zweck der Datenverarbeitung, Speicherdauer, Empfänger der Daten und vieles mehr abzufragen. Außerdem können Verbraucher ihre Daten mitnehmen, wechseln sie zu einem anderen Anbieter.

Auf der anderen Seite ergeben sich für Unternehmen umfangreiche Informations- und Dokumentationspflichten. So kann die Aufsichtsbehörde einen Datenverarbeiter auffordern, nachzuweisen, dass er mit den persönlichen Informationen korrekt umgeht.

Bei Verstößen gegen die DSGVO drohen Unternehmen drakonische Strafen bis zu 20 Millionen Euro oder bis zu vier Prozent ihres weltweit erzielten Jahresumsatzes. Es greift der höhere Wert. Wer künftig die technischen und organisatorischen Maßnahmen für die Datensicherheit und den Datenschutz nicht ergreift, muss auch Bußgeld zahlen.

Zur Datensparsamkeit über Klassifizierung und Risikoanalyse

Die EU verpflichtet Unternehmen dazu, sich so aufzustellen, dass sie Daten vermeiden. Für das Prinzip der Datensparsamkeit schreibt die DSGVO Privacy by Design und Privacy by Default vor. Die Technik realisiert den Datenschutz. Und in ihren Voreinstellungen gewährleistet jede Applikation, die persönliche Daten verarbeitet, den Datenschutz. Unternehmen sollten bereits für das Produktdesign den Datenschutz prozessorientiert mitdenken.

Als erstes müssen sich Unternehmen klar machen, welche personenbezogenen Daten sie speichern und verarbeiten. Das bildet die Grundlage, um überhaupt Daten zu klassifizieren und Risiken zu bewerten. Sonst herrscht bei Datenportabiltät und Zugriffsrechten schnell ein undurchschaubares Wirrwarr.

Die beste Orientierung liefert ein ganzheitlicher Ansatz, den gute IT-Berater im Wesentlichen aus drei IT-Komponenten zusammenfügen, anpassen und realisieren: Rechenschaftspflicht für den Datenschutz, Datenschutzrisikoanalyse und Sicherheitsrisikoanalyse. Zu letztgenannten bieten Hersteller wie etwa IBM viele Lösungen.

Die Breite und Tiefe des Angebots überfordern jedoch potenzielle Anwenderfirmen, stellen wir bei Axians in unseren Beratungsgesprächen immer wieder fest. Unternehmen sollten sich auf Lösungen konzentrieren, die eine DSGVO-konforme Bewertung ihrer IT in Aussicht stellen. Es empfiehlt sich auf folgenden Leistungsumfang zu achten: Das Identifizieren und Beheben von Sicherheitsschwachstellen, das Ermitteln und Klassifizieren personenbezogener Daten sowie die Audit-sichere Datenkontrolle.

Nachvollziehbar müssen die Rechte sein, wo wer wie auf Daten zugreift, diese bearbeitet, löscht und überträgt. Das Managen und Melden von Verstößen einschließlich einer IT-Forensik zu Störungen gehört ebenso abgedeckt, wodurch privilegierte Benutzer im Fokus stehen. Das Verschlüsseln und das Pseudonymisieren der Daten vor dem Verarbeiten führt die Verordnung explizit auf. Dort steht aber auch, dass die Informationspflicht bei Verschlüsselung und Pseudonymisierung entfällt. Ansonsten müssen Unternehmen Sicherheitsvorfälle und -verstöße innerhalb von 72 Stunden melden.

Wegweisende Kriterien

Der Weg zum einheitlichen Datenschutz in der EU ist vorgezeichnet. Den müssen alle Unternehmen mitgehen. Einfache Lösungen von der Stange gibt es nicht, denn im Optimalfall werden Firmenprozesse, interne wie externe Best Practices und organisatorische Bedürfnisse berücksichtigt und gegen die neuen Anforderungen evaluiert. Mögliche Schwerpunkte liegen im Datenmapping, um Datenportabilität, Zugriffsrechte und das Recht auf Löschen umzusetzen.

Es gilt nun, den Datenschutzauftrag der EU ernst zu nehmen und sofort anzugehen – dann muss kein Unternehmen dem 25. Mai 2018 mit Sorge entgegenblicken. Vielmehr bietet die DSGVO Unternehmen die Chance, über das  „Verzeichnis der Verarbeitungstätigkeiten“ einen genauen Überblick über alle Datenverarbeitungsprozesse und den gespeicherten Daten zu erhalten. Zudem profitiert jedes Unternehmen sicherheitstechnisch davon, eine aktuelle Risikoeinschätzung vorzunehmen und mögliche Risiken über entsprechende Aktivitäten nachhaltig zu minimieren.

Autor: Erwin Ritter ist seit 2008 als Leiter Organisation und Prozesse bei der Axians Infoma tätig. Er ist Datenschutzbeauftragter bei mehreren Gesellschaften von Axians. Davor war er über 20 Jahre als ORG /  IT-Leiter, Prokurist und Mitglied der Geschäftsleitung bei einem mittelständischen Produktionsunternehmen tätig.

Share on facebook
Facebook
Share on twitter
Twitter
Share on linkedin
LinkedIn
Share on xing
XING
Share on whatsapp
WhatsApp
Share on email
E-Mail
Share on print
Drucken

Ihre Meinung zum Artikel

Abonnieren
Benachrichtige mich bei
guest
0 Comments
Inline Feedbacks
View all comments

Andere Leser haben sich auch für die folgenden Artikel interessiert

Wissenschaftlern am Micro Air Vehicle Laboratory (MAVLab) der TU Delft präsentieren einen von Insekten inspirierten fliegenden Roboter. Experimente mit diesem ersten autonomen, freifliegenden und flügelschlagenden Roboter sollen zum Verständnis der gewagten Flugmanöver von Fruchtfliegen beitragen.

Redaktionsbrief

Tragen Sie sich zu unserem Redaktions-Newsletter ein, um auf dem Laufenden zu bleiben.

Wir wollen immer besser werden!

Deshalb fragen wir SIE, was Sie wollen!

Nehmen Sie an unserer Umfrage teil, und helfen Sie uns noch besser zu werden!

zur Umfrage

Aktuelle Ausgabe

Topthema: Wettbewerbsfähiger und nachhaltiger durch Digitalisierung

Edge-Applikationen in der Antriebstechnik

Mehr erfahren

Tragen Sie sich jetzt kostenlos und unverbindlich ein, um keinen Artikel mehr zu verpassen!

* Jederzeit kündbar

Entdecken Sie weitere Magazine

Schön, dass Sie sich auch für weitere Fachmagazine unseres Verlages interessieren.

Unsere Fachtitel beleuchten viele Aspekte der Digitalen Transformation entlang der Wertschöpfungskette und sprechen damit unterschiedliche Leserzielgruppen an.