Artikel vom 04.03.2020

Unternehmen, Datenschutz, Selbstauskunft: Wie klappt es mit der DSGVO?

Um Auskunft bitten? Verglichen mit Großbritannien und Frankreich hält sich Deutschland - Regulierungsbehörden eingeschlossen - noch zurück. Geht es um Selbstauskunft im Kontext größerer Organisationen, geht die Mehrzahl der Anfragen an Firmen aus Energieversorgung und Telekommunikation. Wie halten es Unternehmen und Behörden mit der DSGVO seit Inkrafttreten 2018?

Umfrage: Umsetzung von Datenschutz in Unternehmen

Dazu befragte das Marktforschungsinstitut Sapio Research im Auftrag von Softwaremacher Sineaqua 752 Entscheider aus Firmen jeder Größe zum Status Quo der Umsetzung von Datenschutz seit Inkrafttreten der EU-DSGVO. Mit 14 Prozent weniger Anfragen als in Frankreich und Großbritannien übt sich Deutschland, Regulierungsbehörden inklusive, in vornehmer Zurückhaltung. Per se nicht bedenklich, denn Deutschland ist trotzdem Spitzenreiter beim Thema Datenschutz, weil hier schon vor Inkrafttreten der neuen DSGVO hohe Standards regierten. Nicht nur Kunden, sondern auch Angestellte und Lieferanten machen von ihrem Recht auf Selbstauskunft zu den über sie gespeicherten persönlichen Daten (zu 70 Prozent) Gebrauch; 61 Prozent fordern Datenlöschungen.

Rechtsicherheit beim Datenschutz: Was ist die DSGVO?

Seit 25. Mai 2018 sorgt die EU-Datenschutz-Grundverordnung (DSGVO) für einheitlichen Datenschutz sowie einheitliche Vorgaben, wie personenbezogene Daten innerhalb der EU-Mitgliedsstaaten zu verarbeiten sind. Ziel: Rechte von EU-Bürgern beim Thema persönliche Daten stärken sowie Datenaustausch innerhalb der EU vereinfachen. Nicht nur Unternehmen und öffentliche Institutionen, auch solche außerhalb der EU, welche mit dieser Geschäftsbeziehungen pflegen, müssen sich an die DSGVO halten. Zu den Grundsätzen zählen u. a.:

- Vertraulichkeit
- Zweckbindung
- Datensparsamkeit
- Datensicherheit
- Datentransparenz
- Recht auf Vergessenwerden

Unternehmen, die keine funktionierenden organisatorischen und technischen Maßnahmen zum Datenschutz treffen, riskieren Bußgelder bis zu 20 Millionen Euro bzw. von bis zu vier Prozent des Jahresumsatzes. Jeder EU-Bürger, der einen Verstoß feststellt, kann diesen - unanhängig vom Ort des Verstoßes - seiner zuständigen nationalen Datenschutzbehörde melden.

Unternehmen: Wo es bei der Datenverwaltung noch hakt

Mehr als jedes zweite europaweit tätige Unternehmen will beim Thema DSGVO besser werden: Mitarbeiter werden gezielt geschult, Datenschutzbeauftragte ernannt. Aber nicht alle sind so engagiert: Oft ist Datenverwaltung reine Chefsache des CIO (Chief Information Officer) der IT-Abteilung. Die Sineaqua-Umfrage fand heraus, dass Unternehmen entweder bereit sind, den Mindeststandard gesetzlicher Vorgaben zu leisten, also Datenschutzbeauftragte einzustellen und Prozesse zu überarbeiten. Oder dass sie - meist größere Organisationen - ganz neue Strategien der Datenverwaltung entwickeln. Als datenschutzbezogene Herausforderung sehen Befragte die Erfassung von Daten bei gleichzeitiger Gewährleistung, dass auch ungeordnete Daten umfassend sichtbar sind. Denn die Lokalisierung persönlicher Daten macht Probleme; nur 41 Prozent der Unternehmen sagen, dass sie alle Daten umfassend sichten können.

Wo sind bloß die Daten? DSGVO Monatsfrist oft überschritten

58 Prozent der Unternehmen weltweit tun sich, 18 Monate nach Inkrafttreten, noch immer schwer. Kommen Anfragen von Einzelpersonen auf Selbstauskunft, gelingt das Einhalten der einmonatigen DSGVO-Frist zwar besser, aber nicht ausreichend, so eine Studie durch Datenintegritätsdienstleister Talend von 2019 (verglichen mit 70 Prozent in 2018). Talend ist überzeugt: DSGVO -Konformität lässt sich nur realisieren, wenn Unternehmen wissen, wo die Daten sind - und wer diese wie verarbeitet. Hier sieht man in einer verstärkten Automatisierung des Umgangs mit Daten die Lösung, wollen Unternehmen nicht hohe Strafen durch Fehler riskieren.

Alles per Hand, von Antragsbearbeitung bis Identitätsprüfung

Im Bereich der Ämter schafften 29 Prozent die Selbstauskunft fristgerecht, in Medienbranche und Telekommunikation 32 Prozent. Der Handel schnitt besser ab, weil anscheinend schneller bei der Optimierung von Prozessen - mit 46 Prozent korrekter Bearbeitung innerhalb Einmonatsfrist. Ähnlich performten Finanzdienstleistungen oder die Reisebranche. Oft hakt es bei der Antragsbearbeitung, die noch immer zu wenig automatisiert abläuft. Beispiel: Ein Kunde, eine Versicherung, aber mehrere Verträge, von Privathaftpflicht bis Kfz - und jeder anderswo gespeichert. Na, wo ist das denn? Daten sind mühevoll von Hand zusammenzusuchen, Zugriff und Bündelung sind erschwert. Auch bei der Überprüfung der Identität des Antragstellers hakt es: Statt schnelle Onlineübermittlung anzubieten, fordert man Ausweiskopien umständlich via E-Mail an. Wobei zusätzlich zu prüfen ist: Stimmt die Empfängeradresse überhaupt? Und kommt der Identitätsnachweis schließlich, passt das Dateiformat, um geöffnet zu werden?

Datenschutzbehörden 2020: Strafrahmen der DSGVO ausreizen

Im Rest Europas wurden schon Bußgelder in sechsstelliger Höhe verhängt. Allen, die dachten, sich mit der Implementierung technologisch ausgefeilter, rechtsicherer Löschkonzepte noch Zeit lassen zu können, soll es an den Kragen gehen. Denn Art. 32 DSGVO stellt an die Speicherung personenbezogener Daten hohe IT-Sicherheitsanforderungen - nicht zuletzt bei sensiblen Gesundheitsinformationen. Immobilienriese Deutsche Wohnen Berlin ist schon im Visier. Der Vorwurf: Private Daten von Mietern wie Kontoauszüge oder Einkommensnachweise seien so archiviert, dass nicht mehr erforderliche Daten nicht gelöscht werden könnten. Das Unternehmen stellt sich bislang taub, aber es droht - angesichts einer Milliarde Jahresumsatz - eine Geldbuße von 14,5 Millionen Euro.

Wenn der Bundesdatenschutz zur Kasse bittet

Doch schon bei deutlich kleineren Verstößen gibt es Ärger: Seit Ende 2019 droht Mobilfunkanbieter 1&1 eine Strafe von 9,5 Millionen Euro. Der Grund: Ungenügende Authentifizierung bei der telefonischen Abfrage der Handynummer eines früheren Lebenspartners. In nicht mehr als einem einzigen Fall, aber nach Auffassung des Bundesdatenschutzbeauftragtem Ulrich Kelber eine Art Auskunftsverfahren, das mehr als ein vereinzeltes, sondern ein Risiko für den Kundenbestand insgesamt darstellt. Also versprach 1&1, ein besseres Authentifizierungsverfahren einzuführen. Zu spät: Beim Bundesdatenschutz hält man an der beschlossenen Bußgeldhöhe fest.