Der lange Weg vom Vorschlag zum Gesetz Maßnahmen im Vorfeld der EU-Datenschutzreform

Bis eine europaweit gültige Rechtsvorschrift in Kraft tritt, kann es Jahre dauern. Im Falle der geplanten Datenschutz-Grundverordnung der Europäischen Union ist das nicht anders. Allerdings können sich Unternehmen bereits jetzt auf einige der zu erwartenden Compliance-Anforderungen vorbereiten.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

Insider Research

Cohesity GmbH

Sophos Technology GmbH

Ein EU-weites Gesetz wird nur eingeführt, wenn alle drei Institutionen der Europäischen Union zustimmen – die Kommission, das Parlament und der Rat. Angestoßen wird der Prozess von der Europäischen Kommission, die auch Vorschläge für die „Gesetze“ der EU erarbeitet. Die Vorschläge und Änderungen für das neue EU-Datenschutzrecht stammen dementsprechend von der Europäischen Kommission.

Im Europäischen Parlament ist der Ausschuss für bürgerliche Freiheiten, Justiz und Inneres (LIBE) für die legislative Arbeit im Bereich Informationsaustausch und Datenschutz zuständig. Im Oktober 2013 nahm der LIBE-Ausschuss den Entwurf zur Änderung der durch die EU-Kommission vorgelegten Datenschutz-Grundverordnung mit überwältigender Mehrheit an und erhielt das Mandat zur Aufnahme von Verhandlungen mit dem Rat der Europäischen Union.

Die Abstimmung wurde schließlich am 12. März 2014 vom Europäischen Parlament auf seiner Plenarsitzung bestätigt, auch hier mit einer überwältigenden Mehrheit von 621 Ja-Stimmen, 10 Gegenstimmen und 22 Enthaltungen. Im Rat der Europäischen Union (auch EU-Ministerrat genannt) befasst sich derweil die Arbeitsgruppe DAPIX mit dem Datenschutz.

Durch die Europawahlen wird es sicherlich zu Verzögerungen und Unsicherheiten kommen, aber die bereits geleistete legislative Arbeit und die nahezu einstimmige Billigung des Textes unabhängig von Nationalität und politischer Gesinnung sind ein deutliches Signal. Der Vorschlag zur Reform des EU-Datenschutzes kann auf seinem Weg zur rechtsgültigen Verordnung nun verschiedene Pfade einschlagen. Es kann durchaus länger als ein Jahr dauern, bis alle möglichen Schritte durchlaufen sind.

Wer ist von der Reform betroffen?

Der Reformvorschlag für das EU-Datenschutzrecht ist weltweit von Interesse, da jedes Unternehmen, das Geschäftsbeziehungen zu europäischen Bürgern unterhält, davon betroffen ist – unabhängig von seinem Standort. Ein Unternehmen, das beispielsweise im US-Bundesstaat Kalifornien niedergelassen ist und Kunden in Deutschland hat, muss sich in Zukunft an die neue Datenschutzverordnung der EU halten. Die EU-Datenschutzreform bringt unter anderem folgende Vorteile mit sich:

• Ein Kontinent, ein Datenschutzrecht – europäische und nicht-europäische Unternehmen brauchen sich nicht mehr über 28 verschiedene nationale Gesetze und Regelungen Gedanken zu machen.

• Einheitliches Verfahren – das Verfahren bei Verstößen und/oder Zuwiderhandlungen ist überall gleich.

• Gleiche Regelungen für alle Unternehmen – unabhängig vom Standort der Unternehmen gelten für geschäftliche Aktivitäten innerhalb der EU immer dieselben Regelungen.

Einhaltung der neuen Rechtsvorschriften

Die vielen Unternehmen, für die die geplante EU-Datenschutzreform relevant ist, bereiten sich am besten darauf vor, indem sie solide Datenschutzstrategien und -prozesse einführen. Um die Wirksamkeit zu erhöhen, sollte auch eine Verschlüsselung einbezogen werden.

Wie bereits erwähnt, sieht der Vorschlag keine speziellen technischen Kontrollmechanismen vor. Diese müssen lediglich dem aktuellen Stand der Technik entsprechen und Kundendaten so schützen, dass sie für unbefugte Personen unbrauchbar sind. Am besten schaut man sich an, wie Unternehmen bei ähnlichen Gesetzen zum Schutz sensibler Daten vorgehen, um die Vorschriften zu erfüllen.

Der Payment Card Industry Data Security Standard (PCI DSS) und das US-Bundesgesetz Health Insurance Portability and Accountability Act (HIPAA) für das Gesundheitswesen in den USA sind nur zwei Beispiele für Vorschriften, die Datenschutzkontrollen ähnlich wie diejenigen im Vorschlag zur Reform des EU-Datenschutzrechts vorsehen.

Datenschutzanforderungen mit Verschlüsselung gerecht werden

Da Daten mit einer Verschlüsselung für unbefugte Personen unbrauchbar gemacht werden, gilt diese Methode allgemein als geeignet, um die Anforderungen zu erfüllen. Bei einem Verlust oder Diebstahl sind Daten, die im Vorfeld verschlüsselt wurden, für Unbefugte wertlos. Niemand kann auf die eigentlichen Daten zugreifen. Genau hier setzen die Datenschutzgesetze und -verordnungen an.

Will sich ein Unternehmen für das neue EU-Datenschutzrecht fit machen, dann kann es dementsprechend bei der Verschlüsselung anfangen. Verschlüsselungstechnologien haben sich im Wesentlichen immerhin aus der Notwendigkeit heraus entwickelt, Gesetze und Vorschriften einhalten zu müssen. Unternehmen, die eine Verschlüsselung einführen, haben jedoch oft technische Bedenken.

Eine Verschlüsselung wird traditionell als Ressourcen-Vernichter betrachtet, der die IT unnötig belastet und sich negativ auf die Produktivität der Benutzer auswirkt. Ältere Technologien verlangsamen möglicherweise das Hochfahren und stoßen bei Benutzern daher auf wenig Gegenliebe. Andere sind nicht mit neuerer Hardware kompatibel oder legen Rechner lahm, was die ohnehin schon überlastete IT noch mehr unter Druck setzt.

Moderne Versionen der Windows- und Mac-Betriebssysteme verfügen jedoch über integrierte Verschlüsselungsfunktionen. Eine Drittanbieter-Lösung greift nach Möglichkeit auf die betriebssystemeigene Verschlüsselung zurück und minimiert dadurch die Beeinträchtigung des Benutzers.

Alle Geräte sollten unabhängig von der Plattform geschützt werden, ohne dass die Benutzer bei ihrer Arbeit gestört werden oder ihre Arbeitsweise anpassen müssen. Das gilt für die Cloud, auf Wechselmedien, in Netzwerkdateien oder auf mobilen Geräten. Einfache Verschlüsselung bedeutet auch, dass diese von der IT schnell und einfach eingeführt und verwaltet werden kann.

Audit- und Reporting-Funktionen unterstützen die Compliance-Bemühungen, damit die IT jederzeit nachweisen kann, dass eine Datei, ein Rechner oder ein USB-Stick zum Zeitpunkt des Verlusts, Diebstahls oder Verstoßes gegen den Datenschutz verschlüsselt war. Alle diese Mechanismen geben Unternehmen Sicherheit, weil sie nicht mehr dem Risiko hoher Geldbußen im Falle einer Nichteinhaltung der Datenschutzgesetze ausgesetzt sind.

Fazit

Aufgrund der Furcht vor behördlichen Kontrollmaßnahmen und im Zuge des Bekanntwerdens massiver Datenschutzvergehen in den Medien wachsen der Druck und die Anforderungen für den Schutz sensibler Kundendaten. Gleichzeitig nimmt das Vertrauen der Kunden ab.

Das Europäische Parlament, Datenschutzbehörden und Regierungen wollen die europäische Online-Wirtschaft schützen und fördern, was bedeutet, dass viele Unternehmen Prozesse und technische Kontrollmechanismen einführen müssen, um die Vertraulichkeit von Kundendaten sicherzustellen. Eine Verschlüsselung sollte Teil dieser Lösung sein, da sie verhindert, dass unbefugte Benutzer Daten im Falle eines Verlusts oder Diebstahls lesen können.

(ID:43038531)