Was die EU-Richtlinie für Software und Dienste bedeutet

Anbieter zum Thema

FTAPI Software GmbH

Insider Research

cyberintelligence.institute GmbH

PROGRESS SOFTWARE GmbH

Verschlüsseln, Daten verfolgen, Klartext reden

Was heißt dies nun für Software? In vielen Anwendungen stecken auch heute schon starke Verschlüsselungstechniken, zumindest hier muss sich an diesen Applikationen nichts ändern. Neu oder strikter geregelt sind das „Recht auf Vergessen“, Datenportabilität und konsequentes Einholen des Einverständnisses.

Das „Recht auf Vergessen“ bezieht sich auf alle gespeicherten persönlichen Daten von Individuen, sogar auf solche, die bereits an Dritte verkauft wurden. Daher empfiehlt es sich, von vornherein nur das absolut Notwendige zu speichern. Jede Bewegung der gespeicherten Daten sollte man nachverfolgen und aufzeichnen, so dass immer klar ist, wo sich alle Daten befinden. Dies gilt auch dann, wenn in sozialen Medien oder über das Web erhobene Daten in nachgelagerten strukturierten Datenbanken gespeichert werden.

Die Verordnung gilt für sämtliche unstrukturierten Datentypen wie PDF-Files oder XML-Dateien; betroffen sind auch jene Daten, die der Anwender selbst erstellt hat, die aber nun beim Unternehmen lagern, zum Beispiel Fotos oder Filme, sofern sie persönliche Informationen enthalten. Auch Logfiles von User-Aktivitäten sind vom Recht auf Vergessen betroffen.

Wie bereits erwähnt müssen alle gespeicherten persönlichen Daten auf Nachfrage exportierbar sein, wobei die Formate nicht vorgegeben werden. Texte und Tabellen sollten in gut transportierbaren und allgemein verbreiteten Formaten wie .CSV, .XML oder.JSON gespeichert und exportiert werden. Medien- und Binärdaten liegen am besten in den Formaten vor, in denen sie bereitgestellt wurden, im Zweifel in De-facto-Standardformaten wie .JPG bei Bildern. Keinesfalls sollten Unternehmen wegen mangelnder Exportfähigkeiten proprietäre Speicherformate verwenden.

Zweck und Art der Datenerhebung präzisieren

Besonders genau sollte man es mit der Einwilligung zur Datenspeicherung persönlicher Daten nehmen. Ein Auswahlkästchen für die Einwilligung am Bildschirm ist immer dann erforderlich, wenn Unternehmen mehr Daten erfassen wollen, als sie für den unmittelbaren Zweck der Transaktion brauchen. So ist bei einer Lieferung auf Rechnung keine Kreditkartennummer oder Kontonummer nötig, bei einer digitalen Lieferung und Abrechnung möglicherweise keine Postadresse, sondern nur die E-Mail und für Nachfragen die Telefonnummer.

Wer mehr Daten will, muss in der Ankreuzbox klar benennen, welche Daten zusätzlich erfasst werden und zu welchem Zweck. Wie konkret der Zweck benannt sein muss, dürfte auf lange Sicht Stoff für Debatten und Prozesse liefern. Reicht es, „Marketing“ anzugeben, oder müssen auch die einzelnen Marketing-Aktionen in der Tick Box aufgeführt werden? Keinesfalls gestattet sind Generalklauseln wie „Mit Bestellung des Produkts erkläre ich mich einverstanden, dass alle Daten fürs Marketing verwendet werden“ oder verwirrende Formulierungen, etwa mit Mehrfach-Verneinungen.

Der Zugriff auf persönliche Daten sollte auf diejenigen beschränkt werden, die sie tatsächlich benötigen. Jeder Zugriff sollte nachvollziehbar erfasst werden. Grundsätzlich empfiehlt es sich, persönliche Daten, am besten aber alle Daten bereits auf der Festplatte zu verschlüsseln.

Selbstverständlich sind diese Aspekte auch zu bedenken, wenn ein Unternehmen Daten bei Dritten einkauft oder eingekauft hat. Dass die Daten von woanders stammen, enthebt ihren aktuellen Nutzer nicht der Einhaltung der EU-Verordnung. Zudem müssen Unternehmen, die bereits heute persönliche Daten auswerten und für ihre Zwecke nutzen, ihre Verfahren und Datenbestände auf Compliance mit den neuen Regulierungen prüfen und gegebenenfalls daran anpassen.

Manch aggressivem Marketingmodell dürften die neuen, verschärften Regulierungen wohl das Licht auspusten. Unternehmen, die es nicht genau nehmen mit der Datenschutz-Compliance, drohen Reputationsverluste und empfindliche finanzielle Einbußen. Die Einhaltung der Regeln könnte sich langfristig aber positiver auswirken als aufdringliche Marketingaktionen, die die Adressaten eher als Belästigung denn als relevantes Angebot betrachten.

(ID:43724832)