Datenschutz und Compliance

Vorschriften-Vielfalt fordert Unternehmen

| Autor / Redakteur: Marcel Mock* / Stephan Augsten

Verarbeiten oder übermitteln Unternehmen Kreditkartendaten, so sind die Compliance-Vorschriften besonders streng.
Verarbeiten oder übermitteln Unternehmen Kreditkartendaten, so sind die Compliance-Vorschriften besonders streng. (Bild: Archiv)

Unternehmen aller Größen müssen verbindliche Datenschutz-Vorschriften einhalten. Diese unterliegen einem ständigen Wandel und können sich je nach Land und Branche stark unterscheiden. Dieser Beitrag beleuchtet die wichtigsten Standards und eine ihnen gemeinsame Sicherheitsmaßnahme.

Denkt man an den Datenschutz, so ist auf nationaler Ebene vor allem das BDSG (Bundesdatenschutzgesetz) zu beachten. Es verpflichtet Unternehmen dazu, bei der Erhebung, Verarbeitung und Nutzung personenbezogener Daten, zu denen Name, Adresse und Alter bzw. Geburtsdatum gehören, Maßnahmen zum Schutz dieser Daten zu treffen.

Explizit genannt wird dabei die Verwendung von Verschlüsselung. Das BDSG setzt die Bestimmungen der europäischen Datenschutz-Richtlinie 95/46/EG von 1995 um. Diese soll allerdings bald durch ein neues EU-Gesetzeswerk abgelöst werden: die Datenschutz-Grundverordnung.

Das Hauptziel ist ein einheitliches Datenschutzgesetz über alle 28 Mitgliedsstaaten hinweg. Diesen Zweck verfolgte zwar auch die derzeit noch geltende Richtlinie; er wurde jedoch nicht erreicht, da die notwendige Umsetzung in nationales Recht durch die einzelnen Mitglieder zu unterschiedlichen Ausprägungen der Datenschutzbestimmungen führte.

Die neuen Vorschriften sollen in Form einer Verordnung erlassen werden. Damit ist die Regelung unmittelbar wirksam und über die gesamte Europäische Union hinweg gültig. Bereits seit Anfang 2012 arbeiten die Mitgliedsstaaten an der neuen Verordnung, mit der Verabschiedung einer endgültigen Fassung wird bis Ende des Jahres gerechnet.

Compliance ist Länder- und Branchensache

Sind Unternehmen nicht nur innerhalb der EU tätig, müssen sie darüber hinaus zusätzliche Gesetze beachten. Dies kann das Bestreben nach Compliance verkomplizieren. Zumal nicht jedes Land ein umfassendes Gesetz erlassen hat, das regelt, wie eine Organisation sich beim Speichern und Nutzen persönlicher Daten zu verhalten hat.

In den Vereinigten Staaten gibt es zum Beispiel eine Sammlung verschiedener Gesetze sowohl auf Bundes- wie auch auf Ebene einzelner US-Bundesstaaten. Diese überschneiden sich und können sich unter Umständen sogar widersprechen. Darüber hinaus existiert eine Vielzahl unterschiedlicher Regulatorien für einzelne Branchen. So hat sich etwa in der Gesundheitsbranche mit dem Health Information Portability and Accountability Act (HIPAA) ein Standard etabliert.

Das US-Bundesgesetz beinhaltet umfassende Regelungen zum amerikanischen Gesundheitssektor und zu Krankenversicherungen. HIPAA schreibt nicht nur generell den Schutz von Patienteninformationen vor, sondern insbesondere deren verschlüsselte Übertragung. Auch im US-Gesundheitssektor aktive europäische Unternehmen sind an diese Vorschriften gebunden.

Compliance beschränkt sich aber nicht alleine auf die Beachtung von Vorschriften, die durch die Legislative eines Landes oder eines Länderverbundes erlassen wurden. Insbesondere Branchenregelungen sind oft Ergebnis von sogenannter Selbstregulierung, deren Ziel es ist, Best Practices einer Branche zu formulieren und zu erhalten.

Kreditkartendaten erfordern hohes Schutzniveau

Ein bekanntes Beispiel für aus Selbstregulierung hervorgegangene Regeln ist der Payment Card Industry Data Security Standard (PCI DSS) für die Abwicklung von Kreditkartentransaktionen. Er enthält zwölf verbindliche Anforderungen an Rechnernetze von Unternehmen, die Kreditkarten-Transaktionen übermitteln, speichern oder abwickeln. PCI DSS basiert auf den Regelwerken von fünf Kreditkartenunternehmen, darunter Visa, Mastercard und American Express.

Die erste Version des PCI DSS wurde 2004 veröffentlicht. Mittlerweile sind die Vorschriften in der Finanzindustrie derart anerkannt, dass PCI DSS als weltweiter Standard gilt. Und obwohl es sich beim PCI DSS eigentlich um eine Selbstregulierungsvorschrift handelt, können Strafen für mangelnde Compliance drastisch ausfallen und sehr hohe Geldbußen nach sich ziehen.

Das heißt, selbst wenn es Bestrebungen gibt, Compliance-Vorschriften zu vereinheitlichen (EU-Verordnung), gibt es immer noch eine Vielzahl an Vorschriften, die zu beachten sind, je nachdem wo und in welchen Branchen das Unternehmen tätig ist.

Inhalt des Artikels:

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 43669040 / Compliance und Datenschutz )