Prüfung durch die Datenschutzaufsicht Jetzt kommen die automatischen Datenschutz-Kontrollen!

Anbieter zum Thema

FTAPI Software GmbH

Wer bisher dachte, die personell unterbesetzte Datenschutzaufsicht wird schon keine Prüfung bei uns machen, sollte aufpassen: Die Aufsichts­behörden führen zunehmend automatisierte Prüfungen des Datenschutzes durch. Die Kontrolle von Cookie-Bannern und Apps sind nur zwei Beispiele. Wir zeigen, wie sich die Prüfung durch die Aufsicht entwickelt.

Den Datenschutzaufsichtsbehörden geht es nicht anders als vielen Unternehmen, es herrscht Personal- und Fachkräftemangel. Gleichzeitig steigt die Zahl der Aufgaben. Nur zu gerne würden die Aufsichtsbehörde noch mehr Beratung anbieten, wie dies zum Beispiel Wirtschaftsverbände fordern.

Doch bei der geringen Personalausstattung kann nicht alles im gewünschten Umfang erfolgen. Insbesondere muss eine Aufsichtsbehörde auch Aufsicht betreiben, also auch Prüfungen und Kontrollen durchführen, bei bestimmten Anlässen wie einem Cybervorfall mit Datenschutzverletzung als auch anlasslos. Solche Prüfungen sind aber mit hohen Aufwänden verbunden, auf allen Seiten.

Die Hoffnung, nicht geprüft zu werden

Nun könnte man als Unternehmen hoffen oder sogar glauben, bei den wenigen Mitarbeiterinnen und Mitarbeitern in einer Aufsichtsbehörde würde der Kelch der Prüfung an einem vorübergehen. Tatsächlich sind viele Prüfungen eher Stichproben.

So hat zum Beispiel die Datenschutzaufsicht in Niedersachsen im Rahmen einer Serie von Prüfungen im Gesundheitswesen in einer Stichprobe fünf Apotheken hinsichtlich des datenschutzkonformen Umgangs mit personenbezogenen Daten untersucht. Nun sind fünf Apotheken nicht gerade viel, doch solch eine Stichprobenprüfung zeigt oftmals trotzdem den Handlungsbedarf in einer Branche auf.

Die Gefahr aber, dass so manches Unternehmen die Umsetzung der DSGVO nicht so sehr in den Fokus stellt, weil die Zahl der geprüften Firmen gering ist, besteht trotzdem.

Mehr Automatisierung, auch bei der Datenschutzaufsicht

Um dem Personalmangel zu begegnen und der Vielzahl an Aufgaben gerecht werden zu können, denken viele Unternehmen an mehr Automatisierung. Das ist bei den Aufsichtsbehörden nicht anders.

Das BayLDA (Bayerisches Landesamt für Datenschutzaufsicht) zum Beispiel führt anlasslose Prüfungen in der Regel als sogenannte fokussierte Prüfungen bei einzelnen Unternehmen vor Ort, als Prüfungen im Wege eines schriftlichen Verfahrens oder als Onlineprüfung automatisiert über das Internet durch.

Wie dies konkret aussehen kann, zeigen aktuelle Beispiele für durchgeführte Kontrollen, zum Beispiel im Bereich Cookie-Banner und Apps: Das Bayerische Landesamt für Datenschutzaufsicht hat im Rahmen einer anlasslosen, teils automatisierten Prüfung mehr als 350 Webseiten und 15 Apps von bayerischen Betreibern untersucht. Im Fokus der App-Prüfung stand die Einbindung von Diensten ohne die erforderliche Einwilligung. Bei den geprüften Webseiten lag der Schwerpunkt auf der Frage, ob eine Ablehnen-Möglichkeit auf erster Ebene des sogenannten Cookie-Banners vorhanden ist.

Im Zentrum der aktuellen App-Prüfung des BayLDA lagen also Prozesse, die direkt nach der Installation bei erstem Öffnen der App und noch vor einer Interaktion mit einem Einwilligungs-Banner stattfinden. Geprüft wurde ein breites Spektrum von App-Anbietern, beispielsweise Anbieter von Kundenbindungssystemen, von Unterhaltungs- und Freizeitservices bis hin zur Versicherungsbranche. Das Ergebnis: Bei nahezu allen der geprüften Apps konnten hier einwilligungs­pflichtige Vorgänge festgestellt werden, bei denen eine notwendige Einwilligung jedoch nicht eingeholt wurde. Die verantwortlichen App-Betreiber wurden hinsichtlich dieser Prozesse nun aufgefordert, wie in diesen Verfahren erforderlich, hierzu Stellung zu nehmen. Abschließende Ergebnisse der Prüfverfahren sind im weiteren Jahresverlauf zu erwarten.

Während die Untersuchungen von Apps für die Aufsicht derzeit noch etwas aufwändiger sind, hat das BayLDA ein Tool zur automatisierten Prüfung von Einwilligungs-Bannern (Cookie-Bannern) entwickelt. Dieses ermöglicht es, Webseiten automatisiert daraufhin zu überprüfen, ob neben der Option „Alle Akzeptieren“ auch eine gleichwertige Möglichkeit auf erster Ebene gegeben ist, das Banner ohne Erteilung einer Einwilligung zu schließen.

Im Rahmen des ersten Durchlaufs dieser anlasslosen Untersuchungen wurden bereits etwa 350 Webseiten aufgegriffen, die den geprüften datenschutzrechtlichen Anforderungen nicht genügen. Deren Betreiber erhalten derzeit die Möglichkeit, sich zu den Feststellungen zu äußern und die Webseite anzupassen.

Automatisierte Datenschutz-Kontrolle: Nicht Ausnahme, sondern Regel

Ohne Frage hätten Hunderte von Webseiten einen zu großen Aufwand bedeutet, wenn es keine Automatisierung der Prüfung geben würde. Das wird in Zukunft häufiger genutzt werden.

„Angesichts der trotz aller Aufklärung immer noch viel zu hohen Zahl nicht datenschutzgerechter Apps und Webseiten eröffnen uns automatisierte Prüfungen neue Handlungsoptionen der Rechtsdurchsetzung“, erläuterte Michael Will, der Präsident des BayLDA. „Auch wenn weitere Verfahrensschritte und natürlich die abschließende Entscheidung über Abhilfemaßnahmen und Bußgelder fest in der Hand von Sachbearbeiterinnen und Sachbearbeitern bleiben, sind solche automatisierten Prüfverfahren ein wichtiger Schritt, um unseren Kontrollaufgaben unabhängig von Beschwerden Einzelner und trotz unzureichender Ressourcen besser nachzukommen“, so der Präsident des BayLDA zur Zielsetzung des Prüfverfahrens.

Auch auf EU-Ebene entwickelt sich die Automatisierung der Datenschutz-Prüfungen. Der Europäische Datenschutzausschuss (EDSA) hat ein Website-Audit-Tool eingeführt, mit dessen Hilfe analysiert werden kann, ob Websites gesetzeskonform sind.

Das Tool kann sowohl von juristischen und technischen Prüfern bei Datenschutzbehörden als auch von Verantwortlichen und Auftragsverarbeitern genutzt werden, die ihre eigenen Websites testen möchten. Das Tool ist eine kostenlose Open-Source-Software unter der EUPL 1.2-Lizenz und steht auf code.europa.eu zum Download bereit.

Das neue Tool ermöglicht die Vorbereitung, Durchführung und Auswertung von Audits direkt im Tool durch einen einfachen Besuch der jeweiligen Website. Schließlich kann das Tool auch Berichte erstellen.

Der Support Pool of Experts, der bei der Tool-Entwicklung zum Einsatz kam, soll Datenschutzbehörden dabei helfen, ihre Durchsetzungskapazitäten durch die Entwicklung gemeinsamer Tools und den Zugang zu einem breiten Expertenpool zu erhöhen, so der EDSA.

Man kann also davon ausgehen, dass weitere Tools zur Automatisierung der Datenschutzprüfungen folgen werden. Als Unternehmen sollte man dies aber nicht als „Drohkulisse“ verstehen, sondern die Tools und auch die Prüfungen als Hilfe und womöglich auch als Warnung sehen, was im eigenen Datenschutz stimmt und was nicht.

(ID:49948723)