Nur zwei Prozent der Firmen sind wirklich auf die DSGVO vorbereitet

Kaum ein Unternehmen scheint auf die GDPR wirklich vorbereitet zu sein. Das zeigen zwei Studien und die Mythen die sich um die EU-DSGVOZ ranken. Noch ist Zeit zum Handeln, ab Mai 2018 drohen Geldstrafen. [...]

GEFAHR DURCH EHEMALIGE MITARBEITER
Verlässt ein Mitarbeiter das Unternehmen, sollte er auf keine Unternehmensdaten mehr zugreifen dürfen. Das geschieht meist, indem seine Systemzugänge und -Profile gelöscht werden. Dies ist ein wichtiger Prozess, um finanzielle oder Image-Schäden zu vermeiden. Trotzdem erklärte die Hälfte der „DSGVO-konformen“ Unternehmen, dass ihre ehemaligen Mitarbeiter weiterhin Zugriff auf Unternehmensdaten hätten. Dieses Ergebnis zeigt, dass auch die Firmen, die von ihrer DSGVO-Compliance überzeugt sind, anfällig für mögliche Sicherheitslücken sind.
„RECHT AUF VERGESSENWERDEN“ BEREITET PROBLEME
Laut DSGVO haben alle Verbraucher das Recht zu fordern, dass ihre eigenen personenbezogenen Daten aus Datenbanken von Unternehmen gelöscht werden. Das wird jedoch zum Problem – auch für Organisationen, die sich nach eigenen Angaben bestens vorbereitet fühlen. 18 Prozent räumten ein, personenbezogene Daten nicht zeitnah suchen, finden und löschen zu können. Weitere 13 Prozent sind nicht in der Lage, ihre Daten daraufhin zu untersuchen, ob sie Referenzen zu Einzelpersonen enthalten oder zu visualisieren, wo Daten gespeichert werden. Ebenfalls 13 Prozent gestanden, dass die Quellen der Daten und ihr Verwendungszweck nicht klar definiert sind. Auch das verstößt gegen die DSGVO. Organisationen müssen sicherstellen, dass personenbezogene Daten ausschließlich für den ursprünglichen Verwendungszweck verwendet und danach gelöscht werden.
WER IST WOFÜR VERANTWORTLICH?
Ein weiteres Ergebnis: Organisationen schätzen falsch ein, wer für die Daten in Cloud-Umgebungen verantwortlich ist. 49 Prozent der Befragten, die sich bereit für die DSGVO halten, sehen die Verantwortung für Daten-Compliance komplett beim Cloud-Anbieter (Cloud Service Provider CSP). Allerdings ist das Unternehmen selbst als der „Besitzer“ der Daten oder als der „Data Controller“, wie es in der Verordnung heißt, verantwortlich und muss sicherstellen, dass ein CSP als so genannter Datenverarbeiter oder „Data Processor“ entsprechend den Vorgaben handelt.
Letztlich zeigen die Ergebnisse, dass Organisationen, die sich bereits als compliant einstufen, ihre Strategien überdenken sollten. Handeln sie nicht entsprechend, drohen hohe Bußgelder, die sich auf bis zu vier Prozent des Jahresumsatzes oder 20 Millionen Euro belaufen können – je nachdem, welcher Betrag größer ist.
*Jürgen Hill ist Teamleiter Technologie bei der COMPUTERWOCHE.de