DSGVO-Bilanz: KMUs im Nachteil?

Zwei Jahre ist die DSGVO jetzt schon in Kraft, weswegen die EU-Kommission jetzt Bilanz zieht. Ein Kommentar dazu von Volker Sommer, Area Vice President DACH and Eastern Europe bei SailPoint. [...]

Gut zwei Jahre nach Inkrafttreten der DSGVO zieht die EU-Kommission Bilanz. Eine Erkenntnis: Die Compliance für kleine und mittlere Unternehmen stellt sich häufig noch als schwierig dar. So haben KMUs vor allem steigende Kosten im Rahmen von Mitarbeiterschulungen und externen Beratungsleistungen zu beklagen. Laut der Kommission ist dies für viele von ihnen eine Belastung. Die Möglichkeit, diese kleineren und mittleren Firmen von der DSGVO auszunehmen, bestehe nicht, denn auch diese verarbeiten teilweise personenbezogene Daten in großem Umfang.  

Trotz dieser Probleme wurden auch die Erfolge der Datenschutzgrundverordnung insgesamt betont, denn es seien neue globale Grundsätze geschaffen worden, die neue Möglichkeiten für einen sicheren Datenverkehr ermöglichen. Dies komme sowohl Einzelpersonen als auch Unternehmen zugute. So trage die DSGVO dazu bei, dass sich globale Datenschutzstandards ihr anpassen – sie werde oftmals als Bezugspunkt genutzt, etwa in Ländern wie Chile, Südkorea, Brasilien oder Japan. Bezogen auf Betriebe und im speziellen KMUs hält die Kommission fest, dass die Verordnung für gleiche Bedingungen im Wettbewerb mit anderen Firmen sorge – auch solche, die ihren Sitz außerhalb der EU haben, aber hier tätig sind. Weiterhin trage das vermehrte Bestreben um mehr Datenschutz dem Wunsch der Kunden Rechnung, die diesen Punkt heute immer häufiger in ihre Kaufentscheidung mit einbeziehen. Wenn die DSGVO-Compliance auf transparente Weise erreicht werde, stärke dies das Vertrauen zwischen Betrieben und Endkunden. 

Dass auch Großkonzerne Probleme bei der Einhaltung der Richtlinie haben, zeigte kürzlich eine Nachricht aus Frankreich. So muss Google in Frankreich wegen undurchsichtiger Privatsphäre-Einstellungen und der fehlenden rechtlichen Grundlage für personalisierte Werbung die höchste Strafe zahlen, die europäische Aufsichtsbehörden im Rahmen der Verordnung bisher verhängten. Konkret geht es um eine Summe von 50 Millionen Dollar. 

Zunächst einmal ist die Tatsache, dass Unternehmen jeglicher Größe – vor allem aber kleinere und mittelständische Betriebe – noch Probleme bei der Compliance haben, nicht überraschend. Schließlich erfordert die Verordnung eine umfassende Überprüfung, wer Zugriff auf welche Daten hat, wo sich die regulierten Daten befinden sowie die Fähigkeit, erforderliche Sicherheitsaudits und kontinuierliche Kontrollen durchzuführen. Eine lückenlose Compliance ist hier essentiell, denn die DSGVO sieht für gravierende Verstöße ein Mindestbußgeld von 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor. 

Gerade weil die Nicht-Einhaltung für viele Betriebe geschäftskritisch sein kann, sollten diese neben organisatorischen Maßnahmen auch die Nutzung technischer Lösungen in Erwägung ziehen. Denn: Die DSGVO erfordert nicht nur, dass Organisationen Least-Privilege-Rechte für PII-Daten (Persönlich identifizierende Informationen) von EU-Bürgern integrieren – sondern auch, dass sie in der Lage sind, Verstöße gegen die Richtlinie sofort zu erkennen und zu beheben. Firmen haben maximal 72 Stunden Zeit, um eine Datenpanne im Zusammenhang mit Kundendaten zu melden – nachdem sie selbst von der Verletzung Kenntnis erlangt haben – und müssen Einzelpersonen benachrichtigen, wenn nachteilige Auswirkungen festgestellt werden. 

Darüber hinaus muss die Person im Unternehmen, die für die Datenverarbeitung verantwortlich ist, den betrieblichen Kontrolleur sofort benachrichtigen, wenn er von einem Datenabfluss der personenbezogenen Informationen erfahren hat. Deshalb ist es unerlässlich, firmeninterne Sicherheitslücken umgehend zu erkennen und zu schließen.

Automatisierung unerlässlich

Die Komplexität, die mit Unternehmens-Identity, der DSGVO-Compliance und dem Datenschutz verbunden ist, bedeutet: Der effektivste und sicherste Weg besteht darin, so viele Identity- und Access-Management-Tools sowie Sicherheitsauditprozesse wie möglich zu automatisieren. Schließlich ist Automatisierung unerlässlich, wenn Prozesse regelmäßig wiederholt werden müssen und Reaktionen in Echtzeit erfolgen sollen. Durch die Automatisierung der Zugriffsbereitstellung und -entfernung können Unternehmen die Sicherheitskontrollen verschärfen und gleichzeitig ihre Geschäftseffizienz steigern. So geschützt können Betriebe jeglicher Größe ein neues Zeitalter des Datenschutzes beginnen und empfindliche Geldbußen im Rahmen der Verordnung verhindern, die gerade für kleinere Betriebe nicht selten geschäftskritisch sein können. 

*Volker Sommer ist Area Vice President DACH and Eastern Europe bei SailPoint.