Zwei Jahre DSGVO Eine Bilanz der gemischten Datenschutz-Gefühle

Anbieter zum Thema

Arvato Systems

SEPPmail - Deutschland GmbH

TXOne Networks

sayTEC AG

Seit zwei Jahren führt für Unternehmen kein Weg mehr an der DSGVO vorbei. Dass längst noch nicht überall DSGVO-Konformität besteht, zeigen die hohen Bußgelder, die in den vergangenen Monaten verhängt wurden. Doch wo liegen die Schwierigkeiten in der Umsetzung und welche Maßnahmen lassen sich aus den mittlerweile bestehenden Erkenntnissen ableiten?

Auf der Website enforcementtracker.com werden sämtliche Bußgelder, die aufgrund von DSGVO-Verstößen entstanden sind, in einer frei zugänglichen Statistik zusammengefasst. Demnach wurden im Zeitraum Juli 2018 bis Mai 2020 insgesamt 240 Strafzahlungen verhängt. Das Volumen betrug über 467 Millionen Euro. „Eingezahlt“ haben hier auch deutsche Unternehmen wie die 1&1 Telecom GmbH. Sie musste Ende 2019 9,55 Millionen Euro entrichten, da Anrufer rein durch die Angabe eines Namens und Geburtsdatums weitreichende personenbezogene Informationen erhalten konnten. Technischer Natur war hingegen ein DSGVO-Verstoß der Wohngesellschaft Deutsche Wohnen. Sie erhielt eine Strafe in Höhe von 14,5 Millionen Euro, da ihr Archivsystem keine Möglichkeit zur Löschung von nicht mehr benötigten persönlichen Daten zuließ. Diese Beispiele zeigen: Aufgedeckte Verstöße werden mittlerweile verstärkt geahndet. Doch lässt sich daraus ableiten, dass die DSGVO aus Bürgersicht ein Erfolg ist? Und wie stellt sich die Bilanz aus dem Blickwinkel der Unternehmen dar? Um das beurteilen zu können, müssen wir uns zunächst noch einmal die grundsätzlichen Ziele der Verordnung vor Augen führen.

eBook

DSGVO – und jetzt?

Gestärkte Rechte für Betroffene

Das übergeordnete Ziel der EU-DSGVO ist es, die Grundrechte und Grundfreiheiten natürlicher Personen im Zeitalter der Digitalisierung besser zu schützen. Bei den Bürgern haben die neuen Regelungen ein geteiltes Echo hervorgerufen. Viele beschweren sich über störende Cookie-Banner, eine Mail-Flut mit aktualisierten Datenschutzerklärungen und komplizierte Einwilligungsklauseln. Andere entwickelten aufgrund dieser Aspekte erst ein Bewusstsein für die Bedeutung des Datenschutzes in einer digitalisierten Welt. Und die hohen Bußgeldandrohungen haben tatsächlich dafür gesorgt, dass Unternehmen die Betroffenenrechte ernster nehmen als in der Vergangenheit. Gleiches gilt für Auskunfts-, Löschungs- und Informationspflichten.

Wichtige Hinweise der Aufsichtsbehörden

Was bei Betroffenenrechten nach DSGVO zu beachten ist

Auch Unternehmen profitieren

Aus Sicht der Unternehmen hat die DSGVO jedoch nicht nur lästige Pflichten und Bußgeldsorgen mit sich gebracht, sondern auch einige Vorteile. So profitieren international aufgestellte Unternehmen beispielsweise davon, dass EU-weit dasselbe Recht gilt. Sie müssen sich nicht länger mit den vielfältigen nationalen Datenschutzregularien befassen, wodurch Aufwände minimiert werden. Weiterhin hat die Datenschutz-Grundverordnung dazu geführt, dass sich zahlreiche Betriebe von Altlasten wie unnötigen Datenbeständen und veralteten Dienstleistungsverträgen trennen mussten. Hierdurch entstand mehr Transparenz hinsichtlich der Datenbestände und Datenflüsse. Zudem ergab sich die Möglichkeit, Kosten einzusparen, Synergien zu nutzen und Sicherheitslücken zu schließen. In organisatorischer Hinsicht sind in Summe also durchaus positive Entwicklungen zu verzeichnen.

Umsetzungslücken vor allem bei KMU

Trotz aller Fortschritte und erschlossener Potenziale bleibt festzuhalten, dass die Umsetzung der DSGVO-Richtlinien insbesondere bei kleinen und mittelständischen Unternehmen nach wie vor Lücken aufweist. Dies gilt weniger in organisatorischer Hinsicht. Vielmehr sind es technische Schwachstellen, die das Risiko von Datenschutzverletzungen erhöhen.

Das schwächste Glied sind nach wie vor die PCs der Anwender. In den meisten Fällen sind diese Endgeräte das Einfallstor für Angreifer. Es ist daher erforderlich, den Zugang zu den Daten unabhängig vom PC zu sichern. Ein wichtiger Ansatz ist es in diesem Kontext, verschiedene Sicherheitsprüfungen ineinander zu verketten. So kann ein Security-Konzept beispielsweise vorsehen, dass Daten nur dann zugänglich sind, wenn Aspekte wie der Anwender sowie sein Standort und seine Berechtigungen zweifelsfrei überprüft werden konnten. Um dies auf beliebigen Endgeräten zu gewährleisten, können zusätzliche externe Hardwarekomponenten wie USB-Sticks genutzt werden, über die sich eine Mehr-Faktor-Authentifizierung realisieren lässt. Wie wichtig solche endgeräte­unabhängigen Konzepte sind, hat die Corona-Krise mit ihren kurzfristig realisierten Homeoffice-Provisorien mehr als deutlich gezeigt.

Zwei Jahre Datenschutz-Grundverordnung

Was an der DSGVO geändert werden soll und kann

Herausforderungen auch bei der Datensicherung

Für vollständige DSGVO-Konformität ist neben der Abwehr von externen Gefahren auch die Erhaltung, Verfügbarkeit und verlässliche Wiederherstellbarkeit der Daten von hoher Bedeutung. Denn die Verordnung besagt unter anderem, dass Verantwortliche personenbezogene Daten vor Verlust, Zerstörung und Schädigung bewahren müssen. Zwar führen viele Unternehmen regelmäßig Backups durch. Im Ernstfall versagen ihre Lösungen jedoch oftmals, da die Wiederherstellung nicht funktioniert.

Wir halten also fest: Ein erfolgreiches Back-up und eine erfolgreiche Wiederherstellung sind zwei völlig unterschiedliche Dinge. Bei der Wahl einer Datensicherungslösung sollten Unternehmen also in jedem Fall darauf achten, dass eine einfache und vollständige Recovery-Durchführung möglich ist.

Fazit: DSGVO-Umsetzung erfordert technologische Unterstützung

Fassen wir zusammen, so ist die Umsetzung der DSGVO-Richtlinien seit dem Start im Jahr 2018 deutlich vorangeschritten. Einige Unternehmen konnten sogar einen Mehrwert aus ihren neuen Pflichtübungen ziehen. Schwierig zu realisieren ist nach wie vor die Absicherung des Zugangs zu sensiblen Daten. Ebenso bestehen Lücken im Bereich Datensicherung und -wiederherstellung. In beiden Fällen existieren mittlerweile jedoch Lösungen, die einfach zu implementieren sind und gleichzeitig einen effektiven Schutz gewährleisten. Zumindest die technischen Schwachstellen lassen sich auf diese Weise deutlich minimieren.

Über den Autor: Yakup Saygin ist Vorstand der sayTEC AG. Im Jahr 2003 erfüllte sich der studierte Physiker einen Traum: Er gründete sayTEC zur Entwicklung und Umsetzung spezieller und anspruchsvoller IT-Lösungen für mittelständische Unternehmen.

(ID:46617722)