Datenschutz im neuen Jahr Welche Datenschutz-Prioritäten die Aufsichts­behörden für 2024 haben

Anbieter zum Thema

Fsas Technologies GmbH

FAST LTA GmbH

FTAPI Software GmbH

Das Datenschutzkonzept für 2024 sollte nicht nur die Prognosen für die Cyberbedrohungen im Blick haben und berücksichtigen. Auch die Planungen und Prioritäten der Datenschutzaufsichtsbehörden können Unternehmen dabei helfen, den Datenschutz für das neue Jahr weiterzuentwickeln. Wir geben einen Überblick, was sich Aufsichtsbehörden für das Jahr 2024 vornehmen.

Als größte Herausforderung bei der Umsetzung der DSGVO (Datenschutz-Grundverordnung) nennen 92 Prozent der befragten Unternehmen, dass die Umsetzung nie vollständig abgeschlossen ist, so eine aktuelle Bitkom-Umfrage zum Datenschutz.

Tatsächlich wird die Umsetzung des Datenschutzes nie abgeschlossen sein. Unternehmen müssen fortlaufend an ihrem Datenschutzkonzept arbeiten, um die darin definierten Maßnahmen wirksam zu halten. Neue Technologien und Tools, verschärfte Cyberbedrohungen und zusätzliche, rechtliche Vorgaben machen eine ständige Überprüfung und Anpassung des Datenschutzes notwendig.

Doch woher soll man als Unternehmen wissen, wie sich der Datenschutz in den nächsten Monaten und im kommenden Jahr entwickeln sollte? Planung muss ebenso sein wie die Flexibilität, die aufgestellte Planung auch wieder zu verändern.

Prognosen zur Cybersicherheit sind hilfreich

Wenn es um den technischen Datenschutz und die für einen modernen Datenschutz notwendige Cybersicherheit geht, empfiehlt sich ein genauer Blick auf die zahlreichen Prognosen zu den Cyberbedrohungen, die in diesen Tagen und Wochen von IT-Sicherheitsbehörden und von Security-Anbietern veröffentlicht werden. Da Cyberattacken in vielen Fällen zu Datenschutzverletzungen führen, müssen Datenschutzkonzepte die Entwicklungen bei den Cyberrisiken einbeziehen.

Aber alleine diese Prognosen reichen leider nicht, der Datenschutz ist sehr vielschichtig und muss auf allen Ebenen fortentwickelt werden. Vor dieser Herausforderung stehen aber nicht nur die Unternehmen, sondern auch die Datenschutzaufsichtsbehörden.

Vorbereitung auf mögliche Prüfungen ist nicht alles

Zum einen hilft die Kenntnis der Prioritäten der Aufsichtsbehörden, um sich auf denkbare Prüfungen vorzubereiten. Aber es geht bekanntlich nicht nur darum, mögliche Kontrollen der Aufsicht zu überstehen, sondern es geht immer um den Schutz personenbezogener Daten und damit letztlich den Schutz von uns Menschen.

Die Aufsichtsbehörden sind nicht nur Kontrollorgane, sondern sie bieten auch Beratung und Orientierung im Datenschutz. Wer also die Prioritäten der Aufsichtsbehörden für sich auswertet, kann dies durchaus auch als Orientierungshilfe verstehen.

Planungen der Aufsicht als Orientierung im Datenschutz nutzen

Nehmen wir als Beispiel den Europäischen Datenschutzbeauftragten (EDPS). Diese Aufsichtsbehörde hat sich insbesondere vorgenommen:

Effektive Durchsetzung des Datenschutzes in einer neuen Regulierungslandschaft: Mit der Verabschiedung mehrerer Gesetzesinitiativen im digitalen Bereich befindet sich der Datenschutz in einem deutlich komplexeren Regulierungsumfeld. Diese neue Regulierungslandschaft umfasst die Gesetze wie den Data Governance Act (DGA), den Digital Markets Act (DMA) und den Digital Services Act (DSA) einerseits und den vorgeschlagenen Artificial Intelligence Act und Data Act andererseits.

Während in diesen Gesetzen im Prinzip festgelegt ist, dass die DSGVO weder beeinträchtigt noch geändert wird, beziehen sich mehrere Bestimmungen in diesen neuen oder künftigen Verordnungen ausdrücklich auf Definitionen, Konzepte und Pflichten der DSGVO. Dies zeigt: Auch Unternehmen sollten in ihrem Datenschutzkonzept daran denken, dass weitere Gesetze und Verordnungen einen spezifischen Einfluss auf die Datenverarbeitung haben und haben werden, also zusätzlich zur DSGVO weitere Vorgaben beachtet werden müssen, damit der Datenschutz gelingen kann.

Zudem will sich der EDPS auf weitere Bereiche fokussieren, die auch Unternehmen genauer anschauen sollten:

• Rechte betroffener Personen: Ziel ist es, dem Risiko einer Fragmentierung der Rechte betroffener Personen entgegenzuwirken, durch eine Vielzahl von integrierten Verarbeitern. Unternehmen sollten also auch daran denken, dass sie bei der Nutzung von Diensten zum Beispiel aus der Cloud die Betroffenenrechte wahren können müssen, wobei ein Zusammenspiel mit den Cloud-Dienstleistern notwendig ist, sei es für eine Auskunft oder zum Beispiel für die Löschung der Daten.

• Algorithmisches Profiling: Betrachtet müssen Fragen der Diskriminierung, Zuverlässigkeit, Verhältnismäßigkeit und Transparenz. Die Kontrolle von algorithmischem Profiling ist ein komplexes Thema, das sich erst in einem frühen Stadium befindet und die Zusammenarbeit mit vielen weiteren Akteuren erfordert. Unternehmen als KI-Anwender sind dabei auch gefragt und gefordert, indem Datenschutzfolgen vor dem Einsatz einer KI hinterfragt werden.

Was Aufsichtsbehörden für die Zukunft fordern

Neben den Planungen und Vorhaben der jeweils zuständigen Aufsichtsbehörde, die man sich als Unternehmen ansehen sollte, sind auch die Forderungen von Aufsichtsbehörden eine wichtige Quelle, da diese zeigen, wo es im Datenschutz Handlungsbedarf gibt.

Als Beispiel sei hier der Bundesdatenschutzbeauftragte genannt. So forderte dieser insbesondere: „Bei den großen, grenzüberschreitenden Fällen brauchen wir eine schnellere Bearbeitung, damit diese über den einzelnen Fall hinaus Signalwirkung entfalten und Rechtssicherheit schaffen können. Es ist wichtig, dass geltendes Recht durchgesetzt wird. Außerdem brauchen wir eine Herstellerhaftung auch im Datenschutz. Es kann nicht sein, dass vor allem kleine und mittlere Unternehmen dafür datenschutzrechtlich geradestehen müssen, was eigentlich Aufgabe der Microsofts, Googles und AWS dieser Welt wäre. Das gilt umso mehr, wenn zunehmend KI-Systeme zum Einsatz kommen.“

Zudem hat der Bundesdatenschutzbeauftragte eine Reihe von Empfehlungen, die sich an den Bund und an den Gesetzgeber wenden, aber auch Handlungsbedarf bei Unternehmen zeigen können, darunter:

„Ich empfehle der Bundesregierung ein Beschäftigten­datenschutz­gesetz zu erlassen, in dem etwa der Einsatz von KI im Beschäftigungskontext, die Grenzen der Verhaltens- und Leistungskontrolle sowie typische Datenverarbeitungen im Bewerbungs- und Auswahlverfahren klar geregelt werden.

Eine datenschutzkonforme Nutzung von Facebook Fanpages ist weiterhin nicht möglich. Ich empfehle daher, die Fanpages abzuschalten.

Ich empfehle die Einführung von Datentreuhändern auf Basis des TTDSG grundsätzlich zu überarbeiten und DSGVO-konform umzusetzen.

Ich empfehle, die Einbindung von Videos auf den Webseiten des Bundes zu überprüfen und datenschutzkonforme Alternativen zur weit verbreiteten Praxis der Einbindung mittels YouTube umzusetzen.“

Hier zeigt sich, dass der Datenschutz in Fragen der KI, bei Cloud Computing und internationalen Datentransfers, aber auch bei Datenschutzfunktionen, die die Hersteller verantworten sollten, noch viel zu tun und vorhat. Hier müssen Unternehmen also damit rechnen, dass Veränderungen anstehen könnten, die sie beeinflussen, entweder unterstützend, wenn zum Beispiel Privacy by Design deutlich mehr Wirklichkeit würde als bisher, oder aber als zusätzliche Herausforderung, wenn zum Beispiel weitere Datenschutzprüfungen anstehen, wenn man als Unternehmen KI-basierte Tools nutzen möchte.

Anregungen für Punkte, die man sich als Unternehmen auf die eigene Datenschutz-Agenda für 2024 schreiben kann, gibt es also mehr als genug.

(ID:49787850)