Das ändert sich 2013 für den Datenschutz

Lange Wege von Brüssel nach Berlin

Bevor man nun angesichts der neuen Betroffenenrechte und ihrer Auswirkungen in Unruhe verfällt, muss man sich den Zeitrahmen dieser EU-Initiative vergegenwärtigen: Richtlinien gelten nicht unmittelbar als Gesetz der Europäischen Union, sondern müssen innerhalb einer festgesetzten Frist von den Mitgliedsstaaten in ein nationales Gesetz transformiert werden (hier: das Bundesdatenschutzgesetz). Dabei haben alle Länder – auch die Bundesrepublik Deutschland - einen gewissen Spielraum bei der Auslegung und Umsetzung der europäischen Vorgaben. Die neue Initiative zur Datenschutzreform enthält neben einer Richtlinie auch eine Verordnung, die im Wortlaut unmittelbar zum Gesetz wird. Sie ist das eigentliche Instrument für die Angleichung der nationalen Regelungen, da den Ländern hier keine Variation mehr möglich ist. Beide Entwürfe der Kommission müssen voraussichtlich den Weg des ordentlichen Gesetzgebungsverfahrens gehen: Die Richtlinie und die Verordnung werden in bis zu drei Lesungen im Europäischen Parlament und im Rat verhandelt und können sich bis zur finalen Abstimmung – oder Ablehnung – inhaltlich noch stark ändern. Bis zum finalen Dokument können noch zahlreiche Änderungen einfließen und bis zur unmittelbaren Auswirkung auf Unternehmen und deren IT auch noch Zeit vergehen.

Diese folgenden Maßnahmen sollten daher bereits heute angegangen werden:

• Vermeidung von redundanten Datenbeständen und Verringerung bestehender Redundanzen,
• eindeutige Identifizierung von Datenbeständen in der IT-Landschaft (Datenlandkarte),
• datensparsame Implementierung erforderlicher Zwischenspeicher
• (beispielsweise automatische Löschung nach Konvertierung und Export),
• Vermeidung fester Verknüpfungen mit vollständigen Datensätzen,
• Implementierung von Verknüpfungen zu Protokollierungszwecken mittels eineindeutiger User- oder Datensatz-IDs (Pseudonyme).

Mit Perspektive auf die kommenden Neuerungen im Datenschutzrecht lassen sich die folgenden Maßnahmen bereits andenken, auch wenn das Gesetzgebungsverfahren und die finale Fassung abgewartet werden sollten:

• einheitliche Gestaltung von Datensätzen in unterschiedlichen Systemen,
• Erweiterung von Datensätzen um Haltbarkeitsdatum und
• Aufbau von Prüf- und Löschroutinen zum automatisierten Vergessen
• Implementierung von Schnittstellen zum Export von Datensätzen im jeweils gültigen Format.

Der Autor Jan Simon Grintsch ist Senior Managing Consultant für IT-Security und Compliance bei Logica, jetzt Teil von CGI, und für die fachliche Entwicklung von Compliance-Themen verantwortlich. Er ist Autor zahlreicher Fachartikel zu IT-Governance- und IT-Compliance-Themen.

1. Das ändert sich 2013 für den Datenschutz
2. Einheitlich heißt nicht einfacher
3. Der Datenschutz bestimmt die Technologie und umgekehrt
4. Herr der eigenen Daten
5. Lange Wege von Brüssel nach Berlin