EU-Datenschutz-Grundverordnung Wie Unternehmen personenbezogene Daten schützen können

Vor dem Hintergrund der neuen EU-Datenschutz-Grundverordnung (GDPR) sollten Unternehmen dringend prüfen, wie mit personenbezogenen Daten umgegangen wird. Dies gilt insbesondere auch für den Datenaustausch mit Cloud-Anwendungen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Insider Research

Mit Einführung der neuen EU-Datenschutz-Grundverordnung (GDPR) können Unternehmen personenbezogene Daten nur noch unter strengen Regelungen für legitime Zwecke sammeln. Unternehmen, die solche Daten sammeln und verwalten, müssen diese dann vor Missbrauch schützen und bestimmte Rechte der Eigentümer berücksichtigen.

Die derzeitige Datenschutzrichtlinie (95/46/EG) führte zu einer Vielfalt von nationalen Datenschutzgesetzen innerhalb der EU, die sich nicht in angemessenem Spektrum mit der Entwicklung der Informationstechniken, wie beispielsweise Social Media oder Cloud Computing, befassen. Das hat auf dem digitalen Markt in Europa für Barrieren gesorgt, da in jedem Land andere Bestimmungen gelten. Dabei steigt die Anzahl der gesammelten Daten stetig – und das oft ohne die Zustimmung der Bürger. Ziel der neuen EU-Datenschutz-Grundverordnung ist es, personenbezogene Daten besser zu schützen und den Unternehmen mehr Verantwortung zu übertragen.

Vor diesem Hintergrund sprach die Redaktion mit Fabian Sander, Director CEUR bei Netskope.

CloudComputing-Insider: Herr Sander, was kommt mit der neuen EU-Datenschutz-Grundverordnung auf Unternehmen zu?

Fabian Sander: Durch das EU-Datenschutzgesetz sind Unternehmen dazu angehalten, angemessene Maßnahmen zu ergreifen, um die Sicherheit von personenbezogenen Daten zu gewährleisten. Das gilt ganz unabhängig davon, zu welchem Zweck die Daten gesammelt und verarbeitet werden. Zudem umfasst die Sicherheitspflicht nicht bloß interne Informationssysteme, sondern auch Cloud-Services, mit denen personenbezogene Daten verarbeitet werden. Kommt es bei der Verarbeitung von Daten zu einer Panne, besteht eine Meldepflicht. Das Nicht-Einhalten der neuen Verordnung kann eine Geldstrafe von bis zu 4 Prozent des Jahresumsatzes eines Unternehmens sowie erhöhte öffentliche Kontrollen darüber, wie ein Unternehmen Daten nutzt und schützt, mit sich bringen.

Was beinhaltet der Begriff „personenbezogene Daten“ alles?

Sander: Personenbezogene Daten sind Informationen, die im Zusammenhang mit einer Person stehen – ganz egal, ob dass das private, berufliche oder öffentliche Leben betrifft. Das kann also alles mögliche sein: ein Name, Ethnie, politische und religiöse Überzeugungen, Benutzername, Passwort, ein Foto, eine E-Mail-Adresse, eine IP-Adresse, Beiträge in sozialen Netzwerken, Einkäufe, die Bankverbindung, medizinische Informationen, sexuelle Ausrichtung, genetische Daten, Daten, die zur Diskriminierung eines Einzelnen oder Identitätsbetrug führen könnten, Daten von Kindern und so weiter. Die neue EU-Datenschutz-Grundverordnung gilt immer dann, wenn eine Person direkt oder indirekt durch diese Daten identifiziert oder eindeutig aus einer Gruppe als Individuum herauskristallisiert werden kann.

Gibt es neben dem bereits genannten noch etwas zu beachten?

Sander: Eines der zentralen Prinzipien der neuen Datenschutz-Grundverordnung ist das Prinzip der Verantwortlichkeit: Unternehmen müssen zeigen, dass sie geeignete Maßnahmen ergriffen haben, um die Einhaltung der Verordnung zu gewährleisten. Hinzu kommt außerdem das neue „Recht auf Vergessen“ und die beiden Datenschutzprinzipien „Data Protection by Design“ sowie „Date Protection bei Default“.

Wo sehen Sie die größte Herausforderung für Unternehmen?

Sander: Die wohl am meisten unterschätzte Herausforderung für Unternehmen ist, dass viele – wenn nicht sogar die meisten – persönliche Daten, für die die Organisationen rechtlich verantwortlich ist, unstrukturiert verarbeiten. Das bedeutet, dass diese Daten nicht mit vordefinierten Datensystemen oder bereits genehmigten Cloud-Services des Unternehmens verarbeitet werden, die die Sicherheitsrichtlinien der Organisation entsprechen, um die gesetzlichen Verpflichtungen einhalten zu können. Dabei sollten solche Systeme regelmäßig überprüft und gegeben falls aktualisiert werden. Zudem führt das unbeaufsichtigte Nutzen von Apps, die die Zusammenarbeit vereinfachen und Produktivität erhöhen sollen, zu weiteren unstrukturierten, personenbezogenen Daten: Die Daten werden auf mobilen Geräten oder in der Cloud gespeichert und mit anderen geteilt – außerhalb des Kontrollbereichs des Unternehmens. Der Trend, Smartphones, Tablets und Laptops von zu Hause mit zur Arbeit zu nehmen, hat dieses Problem noch verstärkt. Doch bei der neue EU-Datenschutz-Grundverordnung liegt es immer in der Hand der Unternehmen, die unstrukturierten Daten vor Verlust, Veränderung und unbefugter Verarbeitung zu schützen – auch dann, wenn das Unternehmen gar nichts von der Nutzung nicht zugelassener Cloud-Apps weiß.

5 Tipps wie Unternehmen personenbezogene Daten schützen können

1. Wissen, wer Daten verarbeitet und welche Cloud-Apps dabei genutzt werden

Um sich auf die neue EU-Datenschutz-Grundverordnung vorzubereiten, sollten Unternehmen in einem ersten Schritt alle Cloud-Anwendungen auflisten, die in ihrer Organisation eingesetzt werden. Daraufhin sollte sich der Zuständige ansehen, in welchem Land und wie die Daten gespeichert werden – denn der Hauptsitz des App-Anbieters ist in der Regel nicht der Ort, an dem die Daten gespeichert werden.

2. Verhindern, dass persönliche Daten in nicht-genehmigten Cloud-Diensten gespeichert und ausgetauscht werden

Informieren Sie sich: welche Apps entsprechen Ihren Sicherheitsstandards? Diejenigen, die es nicht tun, sollten blockiert beziehungsweise deren Nutzung kontrolliert werden. Zur Unterstützung stehen technische Lösungen zur Verfügung, die Cloud-Apps anhand von vielen Parametern analysieren und bewerten. Damit lassen sich ähnliche Dienste vergleichen und mangelhafte Apps aussortieren.

3. Vereinbarungen mit Cloud-Anbietern treffen, die die Verordnung und die unternehmensinternen Richtlinien einhalten

Sobald Sie den Überblick haben und wissen, wie viele und welche Apps genutzt werden, vergleichen Sie Apps mit ähnlichen Funktionen miteinander und treffen Sie dann eine Auswahl. Welche Apps entsprechen den Anforderungen der neuen Verordnung? Gehen Sie auf die ausgewählten Anbieter zu und schließen Sie Datenverarbeitungsvereinbarungen ab, die auch den Weg der Datenverarbeitung festhalten.

4. Nur notwendige Daten sammeln

In der Datenverarbeitungsvereinbarung sollten Sie festhalten, dass nur diejenigen personenbezogenen Daten gesammelt werden, die für den Betrieb der App erforderlich sind. Die Erfassung von Sonderdaten, beispielsweise Ethnie und Religionszugehörigkeit, sollte eingeschränkt werden.

5. Daten nach Ende der App-Nutzung löschen

In den Nutzungsbedingungen einer App sollte festgelegt werden, dass die eigenen Daten nach Ende der App-Nutzung heruntergeladen werden können und auf Seiten der App gänzlich gelöscht werden. Bringen Sie in Erfahrung, wie lange der App-Anbieter dafür braucht. Denn mit jedem Tag, den die Daten auf dem Server verweilen, steigt das Risiko der Offenlegung.

Netskope und der Autor

„Cloud with Confidence“: Netskope ist ein Lösungsanbieter zur Absicherung von Cloud-Anwendungen. Die Netskope Active Platform bedient sich sogenannter Cloud Access Security Broker (CASB), mit deren Hilfe genehmigte als auch ungenehmigte Enterprise-Cloud-Apps detailliert erfasst und kontrolliert werden können. Damit lässt sich die Nutzung von Apps – On-Premises oder Remote – kontrollieren, vertrauliche Daten schützen und die Einhaltung von Vorschriften und Richtlinien in Echtzeit auf jedem Gerät gewährleisten, einschließlich nativer Apps auf mobilen Geräten.

Fabian Sander, Director CEUR, Netskope

Fabian Sander ist seit September 2014 Director CEUR bei Netskope. Zuvor war er Sales Manager bei Juniper Networks, Manager Central Europe bei Trapeze Networks, Regional Sales Manager bei Symbol/Motorola, Account Manager bei Computacenter sowie Viag Intercom/British Telecom. Er absolvierte seinen Betriebswirt an der Fachhochschule für Ökonomie und Management in Essen.

* Fabian Sander, Director CEUR, Netskope

(ID:43923462)