Genau wie alle Unternehmen, die in der EU Geschäft machen, sind IT-Dienstleister, -Berater, -Systemhäuser und MSPs von der Datenschutz-Grundverordnung (DSGVO) betroffen. Die Umsetzung des komplexen Regelwerks ist schwierig, aber wichtig, weil strenge Strafen drohen.
Wer sich bisher nicht um die Umsetzung der im April 2016 verabschiedeten EU-Datenschutzgrundverordnung gekümmert hat, könnte am 25. Mai 2018 ein böses Erwachen erleben. Ab diesem Stichtag sind die Bestimmungen zum Schutz personenbezogener Daten und Dokumentationspflicht ebenso rechtsverbindlich wie die strengen Sanktionen, die zuwider handelnden Unternehmen drohen.
Wer nicht den gesetzlich vorgeschriebenen Datenschutz und entsprechende Maßnahmen nicht lückenlos nachweisen kann, kann laut DSGVO (oder auch GDPR - General Data Protection Regulation) mit Bußgeldern bis zu 20 Millionen Euro beziehungsweise vier Prozent des - weltweiten - Konzernumsatzes bestraft werden. Denn nach dem Marktortprinzip greift die Datenschutz-Grundverordnung für jede Geschäftsform, sprich für alle, die Waren und Dienstleistungen in der EU anbieten oder das Verhalten von Personen digital beobachten.

Ziel der Gesetzgeber ist es, das persönliche Recht auf datenschutzfreundliche Voreinstellungen (Stichworte: Privacy by Default und Privacy by Design) und das "Vergessenwerden" durchzusetzen, die Datennutzung transparent zu machen und Datentransfers zu vereinfachen. Für Unternehmen (vor allem für die, bei denen die Digitalisierung in den Kinderschuhen steckt oder noch gar nicht begonnen hat) ist es jedoch alles andere als einfach, den neuen EU-Geboten, etwa für die

• Zweckgebundenheit
• Sparsamkeit
• Portabilität
• Transparenz
• Informationspflicht

und die durchgängige Dokumentation ihres Umgangs mit personenbezogenen Daten nachzukommen.

Unternehmen überschätzen sich

Selbst Unternehmen, die glauben, ihren Datenschutz bereits vor dem Stichtag gesetzeskonform im Griff zu haben, weisen bei näherer Betrachtung etliche Lücken auf. Dies gilt vor allem auf organisatorisch-struktureller Ebene, für die Geschäftsprozesse und die grundsätzliche Sicherheit von IT-Infrastruktur und Daten. In einer aktuellen Untersuchung von Veritas etwa wiesen 276 Unternehmen ihren Datenschutz als "compliant" aus. Allerdings gaben dann 61 Prozent an, es sei "schwierig" für sie, eine der wichtigsten Auflagen der DSGVO zu erfüllen: Verstöße und Angriffe, die personenbezogene Daten betreffen können, zu identifizieren und innerhalb von 72 Stunden an die Behörden zu melden. Gleich 20 Prozent sahen sich außerstande, vorhandene Datensätze zu löschen oder ihre Datenbestände zu säubern. Die Hauptgründe: Keine oder nur unzureichende Suchfunktionen; Unklarheit darüber, an wie vielen Orten welche Daten lagern; keine durchgängige Klassifizierung der Daten.

Der Blick auf weitere Studien bestätigt, dass viele Unternehmen auch zum DSGVO-Stichtag nicht in der Lage sein werden, personenbezogene Daten effizient zu ermitteln und zu analysieren. Auch ist die Mehrheit außerstande, zusätzliche Informationen zu einer Person korrekt zu korrelieren und ihren Umgang mit Daten gemäß der DSGVO zu dokumentieren. Oft fehlt es bereits an einem strukturierten Stammdaten-Management.

Über die Grundfrage "Was fällt eigentlich in die Kategorie personenbezogene Daten?" sind sich selbst die Juristen uneinig. Fest steht lediglich, dass eine Konzentration auf Kunden-, Lieferanten- und Partnerdaten zu kurz greift. Wie steht es mit Daten der Personalabteilung, Krankenakten oder Besuchsberichten? Was ist eigentlich mit Logfiles? Auch darüber müssen sich Geschäftsverantwortliche und Datenschutzbeauftragte schleunigst Gedanken machen, nicht zuletzt weil die DSGVO für sie persönliche Verantwortung bis hin zur Haft vorsieht.
Weitere Informationen als PDF

Quelle: Ingram Micro, Ausgabe 10/2017