Datenschutz und Compliance Vorschriften-Vielfalt fordert Unternehmen

Unternehmen aller Größen müssen verbindliche Datenschutz-Vorschriften einhalten. Diese unterliegen einem ständigen Wandel und können sich je nach Land und Branche stark unterscheiden. Dieser Beitrag beleuchtet die wichtigsten Standards und eine ihnen gemeinsame Sicherheitsmaßnahme.

Anbieter zum Thema

FTAPI Software GmbH

valvisio international AG

totemo ag

Denkt man an den Datenschutz, so ist auf nationaler Ebene vor allem das BDSG (Bundesdatenschutzgesetz) zu beachten. Es verpflichtet Unternehmen dazu, bei der Erhebung, Verarbeitung und Nutzung personenbezogener Daten, zu denen Name, Adresse und Alter bzw. Geburtsdatum gehören, Maßnahmen zum Schutz dieser Daten zu treffen.

Explizit genannt wird dabei die Verwendung von Verschlüsselung. Das BDSG setzt die Bestimmungen der europäischen Datenschutz-Richtlinie 95/46/EG von 1995 um. Diese soll allerdings bald durch ein neues EU-Gesetzeswerk abgelöst werden: die Datenschutz-Grundverordnung.

Das Hauptziel ist ein einheitliches Datenschutzgesetz über alle 28 Mitgliedsstaaten hinweg. Diesen Zweck verfolgte zwar auch die derzeit noch geltende Richtlinie; er wurde jedoch nicht erreicht, da die notwendige Umsetzung in nationales Recht durch die einzelnen Mitglieder zu unterschiedlichen Ausprägungen der Datenschutzbestimmungen führte.

Die neuen Vorschriften sollen in Form einer Verordnung erlassen werden. Damit ist die Regelung unmittelbar wirksam und über die gesamte Europäische Union hinweg gültig. Bereits seit Anfang 2012 arbeiten die Mitgliedsstaaten an der neuen Verordnung, mit der Verabschiedung einer endgültigen Fassung wird bis Ende des Jahres gerechnet.

Compliance ist Länder- und Branchensache

Sind Unternehmen nicht nur innerhalb der EU tätig, müssen sie darüber hinaus zusätzliche Gesetze beachten. Dies kann das Bestreben nach Compliance verkomplizieren. Zumal nicht jedes Land ein umfassendes Gesetz erlassen hat, das regelt, wie eine Organisation sich beim Speichern und Nutzen persönlicher Daten zu verhalten hat.

In den Vereinigten Staaten gibt es zum Beispiel eine Sammlung verschiedener Gesetze sowohl auf Bundes- wie auch auf Ebene einzelner US-Bundesstaaten. Diese überschneiden sich und können sich unter Umständen sogar widersprechen. Darüber hinaus existiert eine Vielzahl unterschiedlicher Regulatorien für einzelne Branchen. So hat sich etwa in der Gesundheitsbranche mit dem Health Information Portability and Accountability Act (HIPAA) ein Standard etabliert.

Das US-Bundesgesetz beinhaltet umfassende Regelungen zum amerikanischen Gesundheitssektor und zu Krankenversicherungen. HIPAA schreibt nicht nur generell den Schutz von Patienteninformationen vor, sondern insbesondere deren verschlüsselte Übertragung. Auch im US-Gesundheitssektor aktive europäische Unternehmen sind an diese Vorschriften gebunden.

Compliance beschränkt sich aber nicht alleine auf die Beachtung von Vorschriften, die durch die Legislative eines Landes oder eines Länderverbundes erlassen wurden. Insbesondere Branchenregelungen sind oft Ergebnis von sogenannter Selbstregulierung, deren Ziel es ist, Best Practices einer Branche zu formulieren und zu erhalten.

Kreditkartendaten erfordern hohes Schutzniveau

Ein bekanntes Beispiel für aus Selbstregulierung hervorgegangene Regeln ist der Payment Card Industry Data Security Standard (PCI DSS) für die Abwicklung von Kreditkartentransaktionen. Er enthält zwölf verbindliche Anforderungen an Rechnernetze von Unternehmen, die Kreditkarten-Transaktionen übermitteln, speichern oder abwickeln. PCI DSS basiert auf den Regelwerken von fünf Kreditkartenunternehmen, darunter Visa, Mastercard und American Express.

Die erste Version des PCI DSS wurde 2004 veröffentlicht. Mittlerweile sind die Vorschriften in der Finanzindustrie derart anerkannt, dass PCI DSS als weltweiter Standard gilt. Und obwohl es sich beim PCI DSS eigentlich um eine Selbstregulierungsvorschrift handelt, können Strafen für mangelnde Compliance drastisch ausfallen und sehr hohe Geldbußen nach sich ziehen.

Das heißt, selbst wenn es Bestrebungen gibt, Compliance-Vorschriften zu vereinheitlichen (EU-Verordnung), gibt es immer noch eine Vielzahl an Vorschriften, die zu beachten sind, je nachdem wo und in welchen Branchen das Unternehmen tätig ist.

(ID:43669040)