Im digitalen Darwinismus, den wir gerade erleben, geht es darum, Entwicklungen frühzeitig zu antizipieren und sich rasch anzupassen. Das Datenmanagement beeinflusst dabei entscheidend, in welche Richtung ein Unternehmen steuert. Schließlich basieren strategische Geschäftsentscheidungen auf Daten, die eine Firma möglichst in Echtzeit analysiert.
Anpassungsdruck entsteht für die Wirtschaft aber auch noch aus einer anderen Richtung: Im Mai 2016 trat die EU-Datenschutz-Grundverordnung (EU-DSGVO), im Englischen “General Data Protection Regulation” (GDPR), in Kraft. Sie dient dazu, den Datenschutz in Europa zu modernisieren und zu vereinheitlichen. Unternehmen haben nun noch bis zum 25. Mai 2018 Zeit, alle EU-Datenschutzvorgaben, wie zum Beispiel zum “Recht auf Vergessenwerden”, umzusetzen und es Kunden zu ermöglichen, ihre Daten zu einem neuen Dienstleister mitzunehmen. Dann endet die Übergangsfrist.
Laut einer Umfrage von NetApp haben jedoch aktuell mehr als 70 Prozent der IT-Entscheider in Deutschland, Frankreich und UK Bedenken, ob ihre Organisation bis zum 25. Mai 2018 die einheitlichen EU-Datenschutz-Vorgaben erfüllen kann. Die NetApp-Umfrage unter jeweils 750 IT-Entscheidern in Deutschland, Frankreich und UK zeigt darüber hinaus, dass viele Wirtschaftsakteure den Handlungsdruck noch nicht erkennen: Nur 37 Prozent der Befragten haben zusätzlich investiert, um gesetzeskonforme Datenschutzprozesse zu realisieren. Dieser Wert sollte weit höher liegen, denn Unternehmen müssen ihr Geschäft auf eine datengetriebene Zukunft ausrichten und Maßnahmen ergreifen, um den drakonischen Geldstrafen vorbeugen, die bei Verstößen gegen die EU-DSGVO drohen.
Die Regulierung betrifft alle Unternehmen, die mit personenbezogenen Daten von EU-Bürgern arbeiten, unabhängig davon wo diese Unternehmen ihren Sitz haben. Sie müssen künftig in der Lage sein, schnell alle Daten mit Personenbezug zu löschen, wenn die betreffende Person das wünscht. Aus diesem “Recht auf Vergessenwerden” ergibt sich, dass die Komplexität für das Halten, Klassifizieren und Wiederauffinden von Daten steigt.
Unternehmen, die gegen die DSGVO verstoßen, drohen Strafen bis zu 20 Millionen Euro oder bis zu vier Prozent ihres weltweit erzielten Jahresumsatzes. Zur konkreten Sanktionshöhe führt die EU-Verordnung ein Stufensystem auf. Es hängt also ein Damoklesschwert über Unternehmen, die sich nicht auf die rechtlichen, technischen und organisatorischen Veränderungen vorbereiten. Die neue Dimension von Eintrittswahrscheinlichkeit und Umfang der potenziellen Belastungen bedeuten, dass dieses Risiko nun auch im Bilanzerstellungsprozess relevant sein kann.
Hinzu kommt, dass sich dieses Risiko euerdings in zwei Richtungen auswirkt: In Zukunft stehen sowohl Datenhalter also auch Datenverarbeiter in der Haftung. Demzufolge steigt für Anbieter von IT-Outsourcing und -Service-Bereitstellung das Risiko immens. Der Datenverarbeiter hat nicht nur den korrekten Datenumgang sicherzustellen, sondern auch auf Nachfrage der Aufsichtsbehörde den Nachweis dafür zu liefern.
Im neuen Gesetz stehen auch zwei Vorschriften für IT-Services, welche das bereits nach bisheriger Gesetzeslage bestehende Prinzip der Datensparsamkeit verbessern sollen. Zum einen handelt es sich um “Privacy by Design”. Hierbei sorgt die Technik für den Datenschutz: Jede Datenhaltungsapplikation, die mit personenbezogenen Daten umgeht, muss so konzipiert sein, dass sie den Datenschutz sicherstellt.
Als zweite zentrale Vorgabe ist “Privacy by Default” verankert. Diese schreibt für Anwendungen vor, im Grundzustand, also im Rahmen der Voreinstellungen, den Datenschutz zu gewährleisten. Unternehmen müssen folglich bereits beim Produktdesign den Datenschutz berücksichtigen.
Im Mai 2018 endet die Übergangsfrist für die neue EU-Datenschutzverordnung. Welche Neuerungen sie bringt, was passiert, wenn sich Firmen nicht daran halten und wie sich Unternehmen vorbereiten können, erfahren Sie im Special auf silicon.de.
Für Anwendungen im Bereich Big Data bedeutet das, ein Anonymisieren der Daten sozusagen ‚einzubauen‘. Niemandem darf es gelingen, chiffrierte Information einfach zu entschlüsseln – durchaus eine Herausforderung in der Praxis. Noch spannungsgeladener ist allerdings das Feld der personalisierten Werbung. Diese spielt einer Person aufgrund ihres Onlineverhaltens gezielt Angebote zu. Die DSGVO sieht ganz klar vor, dass dazu eine vollinformierte und verständig abgegebene Einwilligung der Person vorliegen muss. Ein Kunde muss also die Voreinstellungen selbst ändern, will er das dafür erforderliche, niedrigere Datenschutzniveau akzeptieren.
Der Aufwand für Unternehmen steigt, um zu einem gesetzeskonformen Datenmanagement zu gelangen. Ein Unternehmen muss wissen, welche personenbezogenen Daten es erhebt und wo dies passiert. Zum Überblick trägt vor allem eine Einordnung und Klassifizierung der vorhandenen Strukturen und Daten bei.
Die Datenklassifizierung erfolgt primär nach unterschiedlichen Sensitivitätsstufen: Angaben im Geschäftsverkehr zu Name, Berufsbezeichnung, Büroanschrift und Telefonnummer sind weniger “heiß” als darüber hinausgehende, persönliche Mitarbeiterinformationen. In den hochsensiblen Bereich fallen persönliche Angaben bei Versicherungen, Banken oder im Gesundheitswesen. Die IT-Umgebung muss auf diese Anforderungen abgestimmt sein. Aber allein die Bestandsaufnahme, wie eine IT aufgestellt ist und mit den ermittelnden Datenklassen umgeht, kostet immensen Aufwand und erfordert möglicherweise externe Unterstützung.
Es empfiehlt sich daher für Unternehmen, das Datenmanagement im Lichte der Anforderungen der DSGVO in einem Projekt zu priorisieren. Das bindet idealerweise die Verantwortlichen für IT, den Datenschutz und der Rechtsabteilung sowie auch die Fachbereiche ein. Denn es gilt, das Verständnis für die Datenklassifizierung aus technischer, juristischer und fachlicher Sicht zu entwickeln und das Wissen zusammenzuführen. Daraus ergibt sich in der Regel ein Team aus internen und spezialisierten externen Ressourcen.
Aus der technischen Perspektive betrachtet, müssen sich Unternehmen mit einer hybriden IT-Landschaft beschäftigen. Die Hybrid Cloud ist in aller Regel heute schon Realität: Laut einer Marktstudie von NetApp, durchgeführt im Dezember 2016, nutzen mehr als zwei Drittel (69 Prozent) der 750 befragten IT-Leiter in Deutschland eine Kombination aus Private Cloud und Public Cloud. Beim Hybrid-Cloud-Modell findet das Datenmanagement sowohl im eigenen Haus als auch in Private-Cloud- oder sogar Public-Cloud-Umgebungen statt.
Mitarbeiter sind heute mit Konnektivität, Mobilität und Video aufgewachsen oder vertraut. Sie nutzen die dazu erforderlichen Technologien privat und auch für die Arbeit bereits jetzt intensiv. Nun gilt es, diese Technologien und ihre Möglichkeiten in Unternehmen strategisch einzusetzen.
Das Hauptaugenmerk liegt in hybriden Landschaften auf der Datenkontrolle. Ein Unternehmen muss jederzeit wissen, wo seine Daten liegen. Und es muss diese schnell zurückholen und gegebenenfalls löschen können. Diesen Anspruch an die Architektur erfüllen zentrale Plattformen, die auf einheitliche Verwaltung von definierten Dateiformaten setzen. Technisch ist ein Unternehmen so in der Lage, schnell auf Gesetzesänderungen zu reagieren und notwendige Anpassungen vorzunehmen.
Beispielsweise für die “Cookie-Richtlinie” sind im Laufe der Zeit Präzisierungen oder Anpassungen zu erwarten. Die könnten notwendig werden, wenn der Gesetzgeber oder der Europäische Gerichtshof einzelne Aspekte neu interpretiert und zum Beispiel noch höheren Datenschutz fordert. Auch in der DSGVO gibt es einige Öffnungsklauseln, insbesondere beim Mitarbeiterdatenschutz, die der Gesetzgeber noch ausgestalten muss. Unternehmen sollten daher technisch in der Lage sein, etwaige Änderungen rasch und effizient umzusetzen.
In der Praxis heißt das, sogenannte “Vendor Lock-ins” zu vermeiden und bereits vor dem Upload der Daten in eine Cloud-basierte Lösung auch einen möglichen Rückzug aus der Cloud zu bedenken – und zwar nicht nur theoretisch und vertraglich abgesichert, sondern mit Blick auf die praktische Handhabung: Wie lassen sich Daten schnell und mit wenig technischem und kommerziellem Aufwand bewegen oder besser schützen, wenn neue Leitlinien dies erfordern – und wie kann das im laufenden Betrieb passieren?
Die Datenschutzbehörden wollen proaktiv Hilfestellung anbieten und geben in mehreren Bundesländern bereits Leitfäden oder Ratgeber heraus. Für Unternehmen, die eine Datenmanagementlösung implementieren, ist es ratsam, dass der Datenschutzbeauftragte diese Informationen nutzt und möglicherweise zu bestimmten Fragen proaktiv die zuständige Behörde kontaktiert und mit ihr zusammenarbeitet.
Die DSGVO sieht neben dem kollaborativen Ansatz zwischen Anwendern und Behörden auch datenschutzspezifische Zertifizierungen vor – insbesondere für Service- und Cloud-Provider sowie Cloud-basierte Dienste. Einen Rahmen gibt die Norm ISO 27001 vor. Eine Zertifizierung nach DSGVO existiert noch nicht, es gibt jedoch bereits Initiativen, die daran arbeiten. Bis zum nächsten Jahr ist hier also viel Bewegung zu erwarten.
Beispielsweise können IT-Dienstleister branchenspezifische “Codes of Conduct” erarbeiten und auf Basis dieser Vorschläge dann die Datenschutzbehörden einbeziehen, um die vorgelegten Datenschutzrichtlinien überprüfen zu lassen. Ein solches Vorgehen ist auch in anderen Branchen vorstellbar. Krankenhäuser könnten sich zum Beispiel auf Standards verständigen, wie sie mit Patientendaten umgehen, wenn sie Röntgenaufnahmen machen.
Das Gesetz begegnet hier auf sehr moderne Art und Weise der IT-Realität und gibt nicht mehr jedem Einzelnen Nutzer vor, “seine” cloudbasierten Services zu zertifizieren. Vielmehr können und sollen die Datenverarbeiter, die Massenservices anbieten und ja auch für den Datenschutz mithaften, die Steilvorlage der DSGVO nutzen und ihr Angebot durch Zertifizierung absichern. Sie können damit gleichzeitig eine Chance nutzen und das Angebot aufwerten. Denn es ist ganz eindeutig davon auszugehen, dass Anwender bei Cloud-basierten Lösungen stärker auf überprüfbare Standards zum Datenschutz achten werden.
Das Gebot der Stunde für Unternehmen ist es, ein IT-Transformations-Projekt zu starten: Eine veränderte Datenhaltung aufzusetzen, ist sehr komplex. Die Klärung der grundsätzlichen Fragen zu Outsourcing oder Nutzung von Public, Private oder Hybrid Cloud benötigt Vorlauf. Ein Jahr vergeht schnell und das Gesetz greift dann mit härteren Vorgaben und höheren Haftungsrisiken. Bestehende IT-Landschaft, Geschäftsfeld, Risikobewertung und Investitionsbereitschaft stecken den Spielraum ab, wie eine Hybrid-Cloud-Lösung mit einheitlichem Datenmanagement für eine Anwenderfirma aussehen kann. Diese steht im nächsten Schritt vor der Frage, wo kauft sie die Lösung(en) ein und welchen Dienstleister holt sie an Bord, um ihre IT-Infrastruktur anpassungsfähig aufzustellen.
Bau- und Fertigungsspezialist investiert in die S/4HANA-Migration und geht mit RISE WITH SAP in die…
Trends 2025: Rasante Entwicklungen bei Automatisierung, KI und in vielen anderen Bereichen lassen Unternehmen nicht…
DHL Supply Chain nutzt generative KI-Anwendungen für Datenbereinigung und präzisere Beantwortung von Angebotsanforderungen (RFQ).
Marke mtu will globale Serviceabläufe optimieren und strategische Ziele hinsichtlich Effizienz, Nachhaltigkeit und Wachstum unterstützen.
IT-Infrastruktur-Trends 2025: Open-Source-Projekte sowie aufwändige regulatorische und Pflichtaufgaben werden das Jahr prägen.
IT-Systeme werden vor Ort in einem hochsicheren IT-Safe betrieben, ohne auf bauliche Maßnahmen wie die…
View Comments
Herzlichen Dank für diesen wertvollen Beitrag. In der Tat bleibt Unternehmen nur noch wenig Zeit die Anforderungen an die Datenschutz-Grundverordnung in ihr Datenschutzkonzept zu integrieren. Nach einer Umfrage der Bitkom hat sich jedes fünfte IT-Unternehmen noch gar nicht mit diesem Thema beschäftigt. Dies ist aufgrund der hohen Strafandrohung durchaus besorgniserregend.
Nicht nur die verschärfte Haftung der Outsourcing-Dienstleister, sondern auch die gestiegenen Transparenzanforderungen stellen eine neue Herausforderung an auslagernde Unternehmen sowie IT-Dienstleister dar. Gerade in Zeiten der wachsenden Bedeutung des Outsourcings an traditionelle IT-Dienstleister und Cloud-Anbieter, muss der Datenschutz eine hohe Priorität im Management haben. Dies gilt in verstärktem Maße im Banken und Versicherungsumfeld, wo noch der Aspekt der besonderen Kategorien von personenbezogenen Daten (wie Finanzdaten und Gesundheitsdaten) hinzukommt. Wir beobachten häufig, dass die auslagernden Unternehmen oftmals personell nicht stark genug aufgestellt sind, um sämtliche regulatorischen Vorhaben zu beobachten und entsprechend zu bewerten. Damit gehen diese Unternehmen ein großes Risiko ein, wichtige Regularien zu übersehen, die im schlimmsten Fall mit einem hohen Bußgeld strafbewehrt sind. Zu diesem Zweck bieten wir ein Seminar zum Thema Datenschutz-Grundverordnung im Outsourcing an, das gerade die Fragen im Bereich Outsourcing und Big Data beantwortet.
Die Zeit schreitet schnell voran. Wir sind gespannt, wie sich die Datenschutz-Grundverordnung in der Praxis umsetzen lässt und wie sich die Datenschutzaufsichtsbehörden verhalten werden.