Datenbewusstsein für die digitale Welt
EU-DSGVO-Tipps für Nachzügler
Fortsetzung des Artikels von Teil 1
Einfache Maßnahmen für die DSGVO-Umsetzung
1. Daten, Anwendungen und Personen ermitteln: Ein guter Ausgangspunkt ist eine einfache Fragestellung: Was, wo und wer? Was für Daten werden an welcher Stelle im Geschäftsprozess erhoben? Dabei ist es sinnvoll mit dem wesentlichen, den personenbezogenen Daten anzufangen und sich mit dem Begriff derselben vertraut zu machen. Als personenbezogene Daten gelten dabei nicht nur Angaben zur Person, sondern weitere Daten, die eine natürliche Person bestimmbar machen, beispielsweise die IP-Adresse. Wo, beziehungsweise auf welchen Wegen werden diese erhoben, an welcher Stelle haben Kunden die Gelegenheit zur Einwilligung und in welchen Softwareanwendungen werden diese verarbeitet und gespeichert? Und zu guter Letzt – wer im Unternehmen hat Zugriff und welche Nutzungsrechte für welche Menge an Daten?
2. Verschlüsselungstechnologien nutzen: Worst Case im Sinne der DSGVO ist der Verlust von personenbezogenen Daten an unbefugte Dritte, beispielsweise durch den Datenverlust im Rahmen einer IT-Sicherheitslücke. Geschieht dies, ist das betroffene Unternehmen verpflichtet, die betroffenen Kunden sowie die Aufsichtsbehörden innerhalb von 72 Stunden über den Vorfall zu unterrichten. Auch für Unternehmen dürfte dieses Szenario wohl unter dem Begriff „Alptraum“ rangieren. Es empfiehlt sich daher, geeignete Daten-Verschlüsselungstechnologien zu implementieren, um sicherzugehen, dass Kundendaten auch im schlimmsten möglichen Fall geschützt sind. Werden Verschlüsselungstechnologien angewendet und sind damit die verloren gegangenen Daten für Dritte unbrauchbar, entfällt zudem auch die Informationspflicht gegenüber dem Kunden, wie in Artikel 34, Abs. 3a) dargelegt.
3. Datenschutz zum Bestandteil der Unternehmenskultur machen: Der Schutz von Daten – immerhin die Grundlage eines digitalen Unternehmens – sollte alle angehen und nicht ausschließlich auf Verantwortliche wie den Datenschutzbeauftragten oder IT-Administratoren beschränkt bleiben. Mitarbeiter bilden regelmäßig die Schnittstelle zu wichtigen Daten und sollten für die Probleme im Umgang mit Daten sensibilisiert werden. Ein angemessenes Problembewusstsein auf Seiten der Mitarbeiter kann sich insbesondere in unvorhergesehenen Ausnahmefällen bezahlt machen. Wenn beispielsweise der E-Mailserver ausfällt, sollte es für alle Betroffenen selbstverständlich sein, dass sie nicht auf andere Lösungen wie private E-Mailpostfächer bei Drittanbietern ausweichen und somit sensible Unternehmensdaten einem Sicherheitsrisiko aussetzen. Daher sollten Beteiligte aller Unternehmensebenen für die Probleme im Umgang mit Daten sensibilisiert werden. Schulungen sind zwar ein nützliches Mittel, um strukturiert die wichtigsten Sachverhalte zu vermitteln, doch der Lerneffekt lässt erfahrungsgemäß nach, wenn die Inhalte im Tagesgeschäft keinerlei Anwendung finden. Der Umgang mit Daten und deren Rolle in den Geschäftsprozessen sollte daher immer wieder in alltägliche Diskussionen einfließen, ob in Teammeetings, Einzelgesprächen oder auch mal kurz beim lockeren Gespräch in der Kaffeepause. Dies führt letztendlich dazu, dass Mitarbeiter bewusster und verantwortungsvoller mit Daten umgehen.
Bei der Datenschutzgrundverordnung geht es weniger darum, Maßnahmen „abzuarbeiten“, um einer Vorschrift zu entsprechen, sondern sie ist ein Weckruf für Unternehmen, ihre Datenverarbeitungsprozesse zukunftsfähig auszurichten. Die digitale Welt verändert sich beständig weiter, dementsprechend ist auch der Schutz der Daten ein fortlaufender, dynamischer Prozess. Unternehmen sollten daher ihre Erhebungs-, Verarbeitungs- und Sicherungsprozesse regelmäßig evaluieren und stets nach technischen Verfahren Ausschau halten, mit denen sich diese verschlanken lassen. Dies ist wesentlich für eine starke Position im Marktwettbewerb. Auch wenn gegenwärtig der Umgang mit Daten noch wenig reguliert erscheinen mag und wegweisende Präzedenzfälle erst noch entstehen müssen, die Bedeutung des Datenschutzes im digitalen Zeitalter steht fest – dies markiert auch die ePrivacy-Verordnung, die gegenwärtig noch ausgearbeitet wird.
Michael Scheffler ist Regional Director Central and Eastern Europe bei Bitglass
- EU-DSGVO-Tipps für Nachzügler
- Einfache Maßnahmen für die DSGVO-Umsetzung
Lesen Sie mehr zum Thema
