Die ersten Monate des Jahres 2018 waren vielerorts von hektischer Betriebsamkeit geprägt. Obwohl die DSGVO bereits seit zwei Jahren in Kraft war, setzten zahlreiche Unternehmen die Anforderungen erst kurz vor dem Stichtag am 25. Mai 2018 um. Währenddessen war oft von den großen Herausforderungen, rechtlichen Unsicherheiten bei der Umsetzung und drohenden Strafen für Unternehmen die Rede. Häufig geriet dabei aus dem Fokus, dass es sich bei der DSGVO um einen Meilenstein in der europäischen Gesetzgebung handelt. Sie gibt den Menschen die Hoheit über ihre Daten zurück, die mittlerweile zu einem wertvollen Wirtschaftsgut geworden sind.
Foto: sdecoret - shutterstock.com
Die Vorteile der DSGVO
In der Vergangenheit gingen einige Unternehmen leichtfertig mit den ihnen anvertrauten Informationen um. So erbeuteten Hacker beim Internetriesen Yahoo unter anderem Namen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und Passwörter von fast einer Milliarde Nutzern. Ebay verlor die persönlichen Daten von bis zu 145 Millionen Kunden und Adobe ließ sich Nutzernamen und Passwörter von 38 Millionen Anwendern stehlen. Die meisten dieser Datendiebstähle verbindet, dass die angegriffenen Unternehmen betroffene Nutzer und Kunden nicht sofort informierten. Das volle Schadensausmaß kam nur langsam ans Licht.
Zukünftig kann so eine Taktik teuer werden. Nach Artikel 33 der DSGVO sind Datenschutzverletzungen innerhalb von 72 Stunden an die Aufsichtsbehörden zu melden. Anderenfalls drohen Bußgelder von bis zu vier Prozent des weltweiten Jahresumsatzes. Privatpersonen können sich also in Zukunft sicher sein, dass Unternehmen schon aus rein wirtschaftlichen Gründen besser auf ihre Daten achten. Sie werden die notwendigen Schutzmaßnahmen einsetzen und bei Vorfällen die Betroffenen schneller informieren.
Durch die Höhe der Strafen bewirkte die DSGVO selbst in Deutschland Einiges. Das bisher geltende Bundesdatenschutzgesetz galt zwar bereits als streng und diente in vielen Bereichen als Vorbild für die europäische Verordnung, das Strafmaß war aber viel niedriger. Zudem war es im Wesentlichen den Datenschutzbehörden überlassen, ob sie Zuwiderhandlungen überhaupt verfolgten.
Das hat sich mit der DSGVO geändert. Bei groben Verstößen müssen Sanktionen verhängt werden. Ermahnungen reichen nicht mehr aus. Für Behörden ist es außerdem leichter, ihre Forderungen durchzusetzen. Standen sie bisher in der Nachweispflicht, hat sich die Beweislast nun umgekehrt. Laut Artikel 5, Absatz 2 der DSGVO müssen die Unternehmen nun nachweisen können, dass sie die Vorschriften einhalten.
Mehr als Datenschutz
Ein anderer Vorteil der DSGVO hat nichts mit Datenschutz zu tun. Er liegt im Artikel 32 der Verordnung begründet. Unternehmen müssen demnach geeignete technische und organisatorische Maßnahmen ergreifen, um ein dem Risiko angemessenes Schutzniveau zu erreichen. Damit erhalten die Daten endlich den hohen Stellenwert, der ihnen zusteht.
Zuvor wurde IT-Security oft mit der Absicherung von Systemen und Applikationen gleichgesetzt, die Datensicherheit aber vernachlässigt. Die DSGVO zwang die Unternehmen, sich mit diesem Thema auseinanderzusetzen. In Audits und Gap-Analysen galt es, zahlreiche Prozesse zu prüfen. Darunter fallen beispielsweise die Backupstrategie, die Absicherung von Zugängen oder Verfahren, um die geforderten Lösch- und Dokumentationspflichten umzusetzen.
Auch in neuen Projekten, beispielsweise der Entwicklung einer Business-Anwendung, haben Datenschutz und Sicherheit durch die DSGVO einen neuen Stellenwert erhalten. Bisher waren diese Aspekte sogenannte nicht-funktionale Anforderungen. Sie wurden häufig nicht spezifiziert und damit auch nicht weiter betrachtet. Heute sind sie dagegen funktionale Anforderungen, die nicht einfach ignoriert werden können. Dienstleister können sich nicht mehr darauf zurückziehen, dass ein Kunde diese Punkte nicht spezifiziert habe, sondern müssen sie explizit einfordern.
Fazit und Ausblick
Die DSGVO ist der Beginn einer neuen Ära. Zukünftig sind alle neuen Prozesse und Applikationen auf Compliance und Sicherheit zu prüfen. Privacy by Design und Privacy by Default müssen in jedem Projekt berücksichtigt werden.
In den kommenden Jahren wird die Rechtsprechung strittige Aspekte in der Umsetzung klären und damit sicher auch neue Herausforderungen schaffen. Der Aufwand, den Unternehmen in die Einhaltung der Rechtsvorschriften investieren müssen, wird jedoch langfristig eher sinken. Immer mehr Softwareanbieter werden Schnittstellen zur Verfügung stellen, die es ermöglichen, Daten rechtlich einwandfrei zu verarbeiten und zu löschen sowie beides zu dokumentieren und nachzuverfolgen. Die Automatisierung DSGVO-relevanter Prozesse wird es zudem erleichtern, die Vorgaben umzusetzen.