EU-Datenschutz-Grundverordnung

Wie Unternehmen personenbezogene Daten schützen können

| Autor / Redakteur: Fabian Sander / Florian Karlstetter

EU-Datenschutz-Grundverordnung: Unternehmen sollten ganz genau prüfen, wie sie persönliche Daten von Kunden nutzen und diese entsprechend schützen. Bei Nichteinhaltung drohen empfindliche Geldbußen.
EU-Datenschutz-Grundverordnung: Unternehmen sollten ganz genau prüfen, wie sie persönliche Daten von Kunden nutzen und diese entsprechend schützen. Bei Nichteinhaltung drohen empfindliche Geldbußen. (© Maksim Kabakou - Fotolia.com)

Vor dem Hintergrund der neuen EU-Datenschutz-Grundverordnung (GDPR) sollten Unternehmen dringend prüfen, wie mit personenbezogenen Daten umgegangen wird. Dies gilt insbesondere auch für den Datenaustausch mit Cloud-Anwendungen.

Mit Einführung der neuen EU-Datenschutz-Grundverordnung (GDPR) können Unternehmen personenbezogene Daten nur noch unter strengen Regelungen für legitime Zwecke sammeln. Unternehmen, die solche Daten sammeln und verwalten, müssen diese dann vor Missbrauch schützen und bestimmte Rechte der Eigentümer berücksichtigen.

Die derzeitige Datenschutzrichtlinie (95/46/EG) führte zu einer Vielfalt von nationalen Datenschutzgesetzen innerhalb der EU, die sich nicht in angemessenem Spektrum mit der Entwicklung der Informationstechniken, wie beispielsweise Social Media oder Cloud Computing, befassen. Das hat auf dem digitalen Markt in Europa für Barrieren gesorgt, da in jedem Land andere Bestimmungen gelten. Dabei steigt die Anzahl der gesammelten Daten stetig – und das oft ohne die Zustimmung der Bürger. Ziel der neuen EU-Datenschutz-Grundverordnung ist es, personenbezogene Daten besser zu schützen und den Unternehmen mehr Verantwortung zu übertragen.

Vor diesem Hintergrund sprach die Redaktion mit Fabian Sander, Director CEUR bei Netskope.

CloudComputing-Insider: Herr Sander, was kommt mit der neuen EU-Datenschutz-Grundverordnung auf Unternehmen zu?

Fabian Sander: Durch das EU-Datenschutzgesetz sind Unternehmen dazu angehalten, angemessene Maßnahmen zu ergreifen, um die Sicherheit von personenbezogenen Daten zu gewährleisten. Das gilt ganz unabhängig davon, zu welchem Zweck die Daten gesammelt und verarbeitet werden. Zudem umfasst die Sicherheitspflicht nicht bloß interne Informationssysteme, sondern auch Cloud-Services, mit denen personenbezogene Daten verarbeitet werden. Kommt es bei der Verarbeitung von Daten zu einer Panne, besteht eine Meldepflicht. Das Nicht-Einhalten der neuen Verordnung kann eine Geldstrafe von bis zu 4 Prozent des Jahresumsatzes eines Unternehmens sowie erhöhte öffentliche Kontrollen darüber, wie ein Unternehmen Daten nutzt und schützt, mit sich bringen.

Was beinhaltet der Begriff „personenbezogene Daten“ alles?

Sander: Personenbezogene Daten sind Informationen, die im Zusammenhang mit einer Person stehen – ganz egal, ob dass das private, berufliche oder öffentliche Leben betrifft. Das kann also alles mögliche sein: ein Name, Ethnie, politische und religiöse Überzeugungen, Benutzername, Passwort, ein Foto, eine E-Mail-Adresse, eine IP-Adresse, Beiträge in sozialen Netzwerken, Einkäufe, die Bankverbindung, medizinische Informationen, sexuelle Ausrichtung, genetische Daten, Daten, die zur Diskriminierung eines Einzelnen oder Identitätsbetrug führen könnten, Daten von Kindern und so weiter. Die neue EU-Datenschutz-Grundverordnung gilt immer dann, wenn eine Person direkt oder indirekt durch diese Daten identifiziert oder eindeutig aus einer Gruppe als Individuum herauskristallisiert werden kann.

Gibt es neben dem bereits genannten noch etwas zu beachten?

Sander: Eines der zentralen Prinzipien der neuen Datenschutz-Grundverordnung ist das Prinzip der Verantwortlichkeit: Unternehmen müssen zeigen, dass sie geeignete Maßnahmen ergriffen haben, um die Einhaltung der Verordnung zu gewährleisten. Hinzu kommt außerdem das neue „Recht auf Vergessen“ und die beiden Datenschutzprinzipien „Data Protection by Design“ sowie „Date Protection bei Default“.

Wo sehen Sie die größte Herausforderung für Unternehmen?

Sander: Die wohl am meisten unterschätzte Herausforderung für Unternehmen ist, dass viele – wenn nicht sogar die meisten – persönliche Daten, für die die Organisationen rechtlich verantwortlich ist, unstrukturiert verarbeiten. Das bedeutet, dass diese Daten nicht mit vordefinierten Datensystemen oder bereits genehmigten Cloud-Services des Unternehmens verarbeitet werden, die die Sicherheitsrichtlinien der Organisation entsprechen, um die gesetzlichen Verpflichtungen einhalten zu können. Dabei sollten solche Systeme regelmäßig überprüft und gegeben falls aktualisiert werden. Zudem führt das unbeaufsichtigte Nutzen von Apps, die die Zusammenarbeit vereinfachen und Produktivität erhöhen sollen, zu weiteren unstrukturierten, personenbezogenen Daten: Die Daten werden auf mobilen Geräten oder in der Cloud gespeichert und mit anderen geteilt – außerhalb des Kontrollbereichs des Unternehmens. Der Trend, Smartphones, Tablets und Laptops von zu Hause mit zur Arbeit zu nehmen, hat dieses Problem noch verstärkt. Doch bei der neue EU-Datenschutz-Grundverordnung liegt es immer in der Hand der Unternehmen, die unstrukturierten Daten vor Verlust, Veränderung und unbefugter Verarbeitung zu schützen – auch dann, wenn das Unternehmen gar nichts von der Nutzung nicht zugelassener Cloud-Apps weiß.

Inhalt des Artikels:

Kommentare werden geladen....

Kommentar zu diesem Artikel abgeben

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 43739654 / Compliance)