Europäischer Datenschutz

Die Uhr tickt. Ab dem 25.5.2018 gilt die DSGVO für alle Unternehmen in Europa. Grund genug, sich mit dem Thema jetzt genau auseinanderzusetzen und die erforderlichen Maßnahmen zu treffen, bevor zeitliche Engpässe für die Umsetzung entstehen. Die Compliance-Experten des deutschen Security-Anbieters G Data zählen hierzu sechs Änderungen auf, die für Unternehmer von entscheidender Bedeutung sind.

1. Erhöhte Bußgelder für juristische Personen

Alles dreht sich in der EU-DSGVO um personenbezogene Daten, zum Beispiel Kundeninformationen und wie diese zukünftig geschützt sein müssen. Erhält eine Datenschutzbehörde Kenntnis über einen Verstoß, so muss das Unternehmen laut Art. 83 EU-DSGVO Bußgelder von bis zu 20 Millionen Euro respektive 4 Prozent des weltweiten Firmenjahresumsatzes zahlen. Diese Summen werden dann aufgerufen, wenn beispielsweise ein Unternehmen das Recht auf Vergessenwerden verletzt. 2 Prozent des weltweiten Firmenjahresumsatzes oder eine Summe von bis zu 10 Millionen Euro werden fällig, wenn beispielsweise die Meldepflicht verletzt wird.

2. Natürliche Personen können haftbar gemacht werden

Zukünftig wird bei einer Datenschutzverletzung nicht nur die juristische Person, also das Unternehmen, zur Rechenschaft gezogen. Auch Sanktionsmöglichkeiten gegenüber Datenschutzbeauftragte, Mitarbeiter oder Geschäftsführern, also natürlichen Personen, ist vorgesehen. Laut § 42 DSAnpUG ist mit einer Freiheitsstrafe von bis zu drei Jahren zu rechnen.

3. Umfassendes Auskunftsrecht für Betroffene

Laut Art. 15 EU-DSGVO gilt ab sofort ein umfassendes Auskunftsrecht für Personen, deren Daten weiterverarbeitet werden. Dieses Vorgehen ist nicht neu und ist bereits in vergleichbarer Form in § 34 BDSG zu finden. Die Änderung: Betroffene dürfen zukünftig in elektronischer Form über die Daten Auskunft erhalten und diese übermittelt bekommen. Ferner darf eine Kopie der Daten verlangt werden. Unternehmer müssen also sicherstellen, dass sie jederzeit beantworten können, woher die Daten stammen, an wen sie übermittelt wurden und zu welchem Zweck die Daten der Betroffenen verarbeitet werden.

4. Datenpannen müssen gemeldet werden

Unternehmen müssen laut den Vorgaben des Art. 33 EU-DSGVO Datenpannen, bei der der Schutz von personenbezogenen Daten verletzt wurde, binnen 72 Stunden nach Bekanntwerden der Verletzung der Aufsichtsbehörde melden. Hierbei muss beispielsweise die Anzahl der Betroffenen, Name und Kontaktdaten des Datenschutzbeauftragen und die Folgen der Datenschutzverletzung genannt werden.

5. Datenschutzfolgenabschätzung

Sofern ein Datenverarbeitungsverfahren ein hohes Risiko für die Rechte der Betroffenen birgt, greift diese gänzlich neue Gesetzesregelung. Laut Art. 35 EU-DSGVO muss eine Datenschutzfolgenabschätzung erfolgen, die sich in drei Eskalationsstufen aufgliedert. Der erste Schritt ist die Überprüfung des Risikos für die Rechte und Freiheiten der Betroffenen. Ist ein Risiko vorhanden, so muss im zweiten Schritt eruiert werden, ob die geplanten Sicherheitsvorkehrungen zum Schutz der Daten ausreichen, sodass die EU-DSGVO eingehalten werden kann. Wenn dies nicht möglich sein sollte, so muss im letzten und dritten Schritt die Aufsichtsbehörde informiert werden, die eine Empfehlung ausspricht.

6. Vereinbarungen zur Auftragsdatenverarbeitung prüfen

Wichtig sind auch, dass Unternehmen vor dem Stichtag die Vereinbarungen zur Auftragsdatenverarbeitung (ADV) geprüft bzw. abgeschlossen haben. Die ADVs regeln die Vertraulichkeit und Integrität der Daten, wenn Firmen und externen Dienstleistern zusammenarbeiten, um Geschäfte abzuwickeln. Darüber hinaus müssen Unternehmen auch die Sicherheit der Daten im eigenen Netzwerk sicherstellen können.

Es gibt viele Fallstricke, die bei der Umsetzung der Vorgaben der DSGVO beachtet werden müssen – neben den oben genannten auch Aspekte der IT-Security. Schutzkomponenten für die IT-Infrastruktur müssen optimal aufeinander abgestimmt werden, damit ein einheitliches Konzept für die Überwachung der Netzwerkinfrastruktur gewährleistet wird.