Die größten Fallstricke bei der Umsetzung der DSGVO

Drei Jahre später hat die Verordnung vielen Unternehmen mehr Kosten als Nutzen gebracht. Wir nennen die fünf größten Fallstricke bei der Umsetzung der DSGVO. [...]

Sei Mai 2018 gilt die neue Europäische Datenschutzgrundverordnung (DSGVO). Sie soll einen regelkonformen Umgang mit personenbezogenen Daten sicherstellen. Wie diverse Bußgelder inzwischen zeigen, lauern auf dem Weg zur Datenschutz-Compliance – ob nun aus Unwissenheit, aus Unklarheit oder aus einer unternehmerischen Laissez-faire-Haltung heraus – zahlreiche Stolpersteine.

Der Technologie-Dienstleister NTT Ltd. nennt die fünf größten Fallstricke bei der Umsetzung der DSGVO.

1. Interne Interessenskonflikte und mangelndes Verständnis
   Der betriebliche Datenschutzbeauftragte kümmert sich um den Schutz personenbezogener Daten im Unternehmen. In kleinen und mittelständischen Betrieben ist es häufig so, dass er seinen bisherigen Aufgaben weiterhin nachgeht. Hieraus kann sich ein Interessenkonflikt mit der bestehenden Tätigkeit ergeben. Gerade die Ernennung des IT-Leiters zum Datenschutzbeauftragten lässt aus Sicht der zuständigen Landesämter für Datenschutzaufsicht Zweifel an der Neutralität aufkommen. Immerhin ist es die zentrale Aufgabe des Datenschutzbeauftragten, die Einhaltung der DSGVO-Bestimmungen zu überwachen, und das beinhaltet explizit die „Sicherheit der Verarbeitung“ durch geeignete technische und organisatorische Maßnahmen seitens der IT-Abteilung. In der Konsequenz müsste er sich also selber überwachen.
   
   Ein anderer Stolperstein sind fehlende Kenntnisse in puncto Daten-Compliance. Das umfasst die unterschiedlichen Datenklassen, die Einführung einer praktikablen Datenklassifizierung und die Festlegung der Rechtsgrundlage für die Datenverarbeitung, eine saubere Trennung zwischen Geschäftsdaten und personenbezogen Daten sowie die Privacy-Shield-Problematik bei der Cloud-Nutzung.
   
2. Probleme bei der technischen und organisatorischen Umsetzung
   Zu den zentralen Elementen der DSGVO gehören die Betroffenenrechte, darunter das Auskunftsrecht. Jede Person darf umfassend Auskunft über sie betreffende personenbezogene Daten sowie weitere Informationen verlangen. Dies schließt unter anderem die Verarbeitungszwecke, die Empfänger der Daten und die geplante Dauer der Speicherung ein. Die Auskunft muss in verständlicher Form, präzise und transparent erfolgen sowie ein gängiges Datenformat haben. Voraussetzung für eine schnelle Antwort auf eine Betroffenenanfrage ist die Erstellung eines gut strukturierten Datenschutzkonzeptes, die Implementierung eines Prozesses, der eine fristgerechte und korrekte Bearbeitung der Anträge gewährleistet, und Tools, die die Auskunft nahezu auf Knopfdruck erteilen.
   
   Ein ähnliches Vorgehen empfiehlt sich beim Recht auf Vergessenwerden: Durch einen klar definierten Prozess stellen Unternehmen sicher, dass Daten gelöscht werden, wenn eine Person die Einwilligung zur Verarbeitung zurückzieht.
   
3. Korrekte Erstellung und Abnahme von Verträgen
   Die Verarbeitung von Daten im Auftrag kommt in nahezu jedem Unternehmen vor. Angefangen von der Nutzung eines externen Rechenzentrums über as-a-Service-Modelle bis hin zu Cloud Computing. In allen Fällen liegt in der Regel eine sogenannte Auftragsverarbeitung (AV) vor, für die Unternehmen im Rahmen der DSGVO besondere Maßnahmen treffen müssen. Pflicht ist ein entsprechender AV-Vertrag, dessen Inhalt überwiegend vorgegeben ist. Fehlt er, sieht die DSGVO bei Verletzungen der Datenschutzbestimmungen eine gemeinsame Haftung von Auftraggeber und Auftragnehmer vor.
   
4. Design und Implementierung von TOMs
   Technische und organisatorische Maßnahmen (TOM) umfassen alle in der Praxis getroffenen Vorkehrungen zur Gewährleistung der Sicherheit personenbezogener Daten. Neben dem Datenschutz, der die rechtlichen Voraussetzungen für die Erhebung und Verarbeitung personenbezogener Daten regelt, kommt hier das Thema Datensicherheit ins Spiel. Darunter fallen technische Vorkehrungen wie die Verwendung einer Firewall, die Protokollierung des Zugriffs auf Datenbanken oder die Verschlüsselung bei der Datenübertragung, aber auch organisatorische Maßnahmen wie Mitarbeiterschulungen und die Vereinbarung zur Geheimhaltungspflicht.
   
   Die Implementierung angemessener TOMs stellt eine gesetzliche Anforderung dar und ist dokumentationspflichtig. Bei der Auswahl angemessener Schutzmaßnahmen bildet eine Risikoanalyse die Grundlage. Eine große Rolle spielen „Privacy by design“ und „Privacy by default“. Die DSGVO verlangt, dass das Thema Datenschutz bereits bei der technischen Umsetzung beachtet wird und dass datenschutzfreundliche Voreinstellungen implementiert werden. Nicht vergessen werden darf beim Einsatz von neuer Technik oder einem neuen System für die Datenverarbeitung auch die Datenschutz-Folgeabschätzung. Mit ihr werden Risiken für betroffene Personen erkannt und bewertet.
    
5. Rechtliche Unklarheiten und fehlende Unterstützung
   Erschwerend kommen für Unternehmen rechtliche Unklarheiten durch Änderungen seitens der Gesetzgebung und eine mangelnde Umsetzungshilfe durch die Aufsichtsbehörden hinzu. Andererseits gilt es für Unternehmen, die Meldepflicht bei Verstößen einzuhalten. Sicherheitsverstöße, etwa wenn ein Mitarbeiter versehentlich Daten veröffentlicht, ein Notebook abhandenkommt oder Hacker das Unternehmen angreifen, sind nicht gerade selten und müssen umgehend gemeldet werden. Bei der Entscheidung, in welchen Fällen eine Meldepflicht begründet ist, sollten sich Firmen professionell beraten lassen.

Was tun, wenn ein Bußgeld droht? Ruhe bewahren und Kooperation sind angesagt, wenn Ärger mit Datenschutzbehörden droht, meint Marcus Beckmann. Er ist Rechtsanwalt und Mitbegründer der Kanzlei Beckmann und Norda in Bielefeld. Schlussendlich entscheiden ohnehin erst die Gerichte über etwaige Bußgelder.