Drei häufige Fehleinschätzungen bei der DSGVO

Die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union ist seit Mai 2018 in Kraft und noch immer gibt es Unternehmen, die die Vorgaben nicht vollständig umgesetzt haben. Zu den häufigsten Fehleinschätzungen zählen die im Folgenden aufgeführten Punkte:

1. Das Auskunftsrecht ist die Achillesverse vieler Unternehmen

Da DGSVO-Verstöße mit hohen Geldbußen belegt werden, könnte man annehmen, dass verantwortliche Manager sich alle Mühe geben, die Einhaltung der Vorschriften zu gewährleisten. Jedoch ist dies nicht immer der Fall. Zwar haben die Unternehmen ihre Rechenschaftspflicht durch die Ernennung eines Datenschutzbeauftragten verbessert und einen Rechtsrahmen für den Datenschutz erstellt oder überarbeitet. Auch wurden Schutzmaßnahmen gegen Datenschutzverletzungen verbessert und Identitäten sowie Zugänge zu IT-Systemen werden konsequenter kontrolliert. Und dennoch zeigen Untersuchungen von Talend, dass im Rahmen der DSGVO noch immer Fehler gemacht werden: rund 70 Prozent der in Deutschland in einer Stichprobe befragten Unternehmen reagieren nicht auf Anfragen von Verbrauchern zu ihren personenbezogenen Daten innerhalb der vorgeschriebenen Frist von einem Monat.

Tatsächlich ist das Auskunftsrecht der betroffenen Personen die Achillesverse von Unternehmen. Und obwohl es für Verbraucher einfacher geworden ist, ihre Daten abzufragen, haben die meisten Organisationen immer noch Schwierigkeiten, die Informationen innerhalb der vorgeschriebenen Zeit bereitzustellen. Eines ist sicher: wenn Aufsichtsbehörden den Schwerpunkt auf die Ahndung von Verstößen in diesem Bereich legen, dann dürften in Zukunft deutlich mehr Unternehmen für das Nichteinhalten des Auskunftsrechts der betroffenen Person zur Verantwortung gezogen werden.

2. Datensicherheit ist nicht Cybersecurity

Viele Menschen denken bei dem Begriff Datensicherheit oder Datenschutz an eine Cybersicherheitsbedrohung. Dies ist ein weitverbreitetes Missverständnis. Vor diesem Hintergrund implementieren Unternehmen auch eher neue Systeme für die IT-Sicherheit, anstatt neue Prozesse zu definieren, um datenschutzrechtliche Vorgaben effizient umsetzen zu können. Cybersicherheit ist ohnehin nur ein Aspekt der Einhaltung der DSGVO. Die bisher größte Geldstrafe wurde aufgrund eines Verstoßes gegen die Einwilligung für die Verarbeitung von Daten verhängt, während sich die größten Sammelklagen auf Anträge zum Datenzugriff konzentrieren. Organisationen sollten die DSGVO dafür nutzen, die Verbindungen von Geschäftsprozessen, Datentransparenz und Kundendatenschutz zu überdenken.

3. Die DSGVO ist mehr als eine gesetzliche Anforderung

Die meisten Manager betrachten die DSGVO vor dem Hintergrund, dass sie gesetzliche Vorgaben einhalten müssen. Dies ist ein sehr defensiver Ansatz, bei dem ausschließlich die rechtlichen und sicherheitsrelevanten Auswirkungen der Verordnung auf das eigene Unternehmen betrachtet werden. Darin liegt eine weitere Fehleinschätzung, nämlich, dass die DSGVO nicht mehr ist als eine Frage der Gesetzmäßigkeit.

Die DSGVO ist vielmehr ein Vertrag zwischen dem Unternehmen und seinen Kunden, in dem festgelegt ist, wie die personenbezogenen Kundendaten verarbeitet und geschützt werden. Jeder Vertrag hat eine rechtliche Dimension, aber die Auswirkung der DSGVO reicht darüber hinaus, denn es geht auch darum, durch Vertrauen eine engere Kundenbeziehung aufzubauen. Dies ist eine wichtige Unterscheidung, denn Vertrauen ist heute ein zentrales Gut für Marken. Wenn diese einen Vertrag bieten, den die Kunden nicht mögen oder dem sie nicht vertrauen, werden sie anfangen, ihre Daten zurückzuhalten oder die Beziehung zu einer Marke ganz aufgeben.

Verstöße gegen die DSGVO haben in den letzten Monaten das Vertrauen der Verbraucher stark beschädigt. Organisationen sollten daher die Belange des Verbraucherschutzes in den Mittelpunkt stellen und das Kundenerlebnis priorisieren – zum Beispiel durch die Einrichtung von Datenschutzportalen, auf denen Kunden auf ihre Daten zugreifen und ihre Zustimmung zu den personalisierten Dienstleistungen geben können, die sie für nützlich halten.
Mit dem stetigen Wachstum der Datenmengen ist es für Unternehmen wichtig, dass sie die Kontrolle über die Daten übernehmen. Wenn autonome Entscheidungen basierend auf Künstlicher Intelligenz und maschinellem Lernen erst im Massenmarkt angekommen sind, wird der Schwerpunkt der Rechenschaftspflicht immer mehr bei den Unternehmen liegen.

Fazit

Regulierungen sind immer ein Mindeststandard. Verbraucherfreundliche Marken sollten daher nicht nur den Standard erfüllen, sondern auch über die Vorgaben hinaus gehen. Die Umsetzung der DSGVO ist ohnehin ein laufender Prozess, da immer wieder neue Vorgaben und Daten hinzukommen, deren korrekter Einsatz geprüft werden muss. Unternehmen sollten ihre Aufgabe als vertrauenswürdiger Verwalter der Kundendaten definieren, der sicherstellt, dass persönliche Informationen nicht durch Dritte missbraucht werden können. Dadurch gewinnen Kunden mehr Vertrauen in eine Marke und sind eher bereit, ihre Kundendaten weiterzugeben.