DSGVO noch immer eine Herausforderung So übernehmen Unternehmen die Kontrolle über ihre Daten

Anbieter zum Thema

netfiles GmbH

Hyland Software Germany GmbH

Cloudgermany.de GmbH

Auch zwei Jahre nach Inkrafttreten der Europäischen Datenschutzgrundverordnung (DSGVO) haben viele Unternehmen Schwierigkeiten mit der angemessenen Implementierung von Schutzmechanismen innerhalb ihrer Systeme und Prozesse.

Wie eine repräsentative Umfrage des IT-Branchenverbandes Bitkom im vergangenen Jahr aufzeigte, hatte bislang nur ein Viertel der Unternehmen die Bestimmungen der DSGVO vollständig umgesetzt, bei zwei Dritteln wiederum war dies zum größten Teil der Fall. Rechtliche Unsicherheit und ein nur schwer abschätzbarer Aufwand für die Umsetzung sah die Mehrheit der Unternehmen als größte Herausforderungen an.

Dies erscheint durchaus verständlich, wenn man bedenkt, dass Unternehmen auf dem Weg zur DSGVO-Compliance verschiedene Ebenen miteinander in Einklang bringen müssen: Etablierte Geschäfts- und IT-Prozesse müssen so arrangiert werden, dass ein nachvollziehbarer, kohärenter Datenverarbeitungsprozess entsteht, der einer externen Prüfung standhält. Dabei bieten moderne Datenbankmanagementsysteme Funktionen, um Zugriffe auf Daten zu kontrollieren, Daten und Kommunikationswege zu verschlüsseln und die Verfügbarkeit zu garantieren. Und mit einer effizient organisierten Datenverwaltung lässt sich dieser Prozess vereinfachen.

Privatpersonen haben im Rahmen der DSGVO das Recht auf Auskunft über die Daten, die Unternehmen über sie erheben. Zu diesen personenbezogenen Daten zählen persönliche Daten wie Name, Titel, Adresse und E-Mail-Adresse. Außerdem gehören dazu Daten, die eine Person eindeutig identifizierbar machen, beispielsweise eine IP-Adresse, die zu einer spezifischen Person zurückverfolgt werden kann. Ebenso fallen so genannte sensible Daten, wie zum Beispiel Angaben zur politischen Gesinnung, Vorstrafen oder Erkrankungen, in die Kategorie der personenbezogenen Daten. Ferner haben die anfragenden Personen das Recht, die Daten in maschinenlesbarer Form ausgehändigt zu bekommen. Auf ihren Wunsch hin müssen Unternehmen fehlerhafte Daten entsprechend korrigieren oder vollständig löschen.

Personenbezogene Daten und ihre Verarbeitung

Damit Unternehmen für eine DSGVO-Anfrage gerüstet sind, müssen sie Kontrolle über die von ihnen verarbeiteten personenbezogenen Daten erlangen. Um die notwendigen Prozesse dafür zu schaffen, müssen sie zunächst zusammentragen,
• welche Daten sie erheben,
• weshalb sie diese Daten erheben,
• in welchen Systemen sie Daten sammeln,
• wie sie diese Daten verwenden.

Somit steht für Verantwortliche das Verstehen ihres Datenökosystem an erster Stelle. Hilfreich kann dabei der Einsatz einer Datenplattform sein. Mit ihr lässt sich ermitteln, wo personenbezogene Daten verarbeitet und gespeichert werden, wer für sie zuständig ist und innerhalb welcher Systeme sie genutzt werden. Um Fragen zum Umgang mit personenbezogenen Daten beantworten zu können, sollte eine effiziente Dokumentation aufgebaut werden, die sich aus den folgenden drei Bestandteilen zusammensetzt:

1. Welche Daten werden verarbeitet? Aufbau eines Daten-Wörterbuchs
Die verschiedenen Dateneinheiten einer Organisation können mit Metadaten, wie beispielsweise dem Sensibilitätsniveau, der Klassifizierung, den zugehörigen Nutzungsbedingungen und weiteren Informationen versehen werden. Damit lässt sich einfacher und schneller nachvollziehen, warum bestimmte Daten erhoben wurden, wie sie behandelt werden sollten und in wessen Zuständigkeit diese fallen.

2. Wo und wie werden Daten genutzt? Dokumentation aller Systeme
Aus einer systemweiten Dokumentation geht hervor, welche Datenbanken und Systeme Daten nutzen. In Kombination mit einem effektiven Datenwörterbuch lässt sich so schnell erfassen, wo bestimmte Daten gespeichert werden, wer für sie zuständig ist und welchen Systemen auf Grund der Datensensibilität eine höhere Priorität zukommt.

3. Welche Verarbeitungswege durchlaufen Daten? Dokumentation der Datenherkunft
Zusätzlich müssen Datenexperten verstehen, wie Daten durch ihre Datenplattform fließen. Darüber gibt eine Datenherkunftsanalyse (Data Lineage Analysis) Aufschluss. Sie zeigt, ob sich sensible Daten in Systemen befinden, in die sie nicht gehören oder welche systemweiten Auswirkungen die Veränderung an einem Datensatz auf andere, abhängige Systeme, nach sich ziehen kann.

Checkliste zur Vorbereitung auf DSGVO-Anfragen

Mit dem Aufbau dieser Dokumentation verschaffen sich Unternehmen einen vollständigen Überblick über ihr Datenökosystem. Die Verantwortlichen können nachvollziehen, in welchen Systemen welche Daten gespeichert werden, in welchem Format sie vorhanden sind und durch welche Suchprozesse einzelne Datensätze ermittelt werden können.

Um eine DSGVO-Anfrage reibungslos abwickeln zu können, sollten Unternehmen außerdem die folgenden Punkte beachten:

Den gesamten Daten-Lebenszyklus im Blick behalten
Auch der Umgang mit Daten muss dokumentiert werden. Wenn beispielsweise personenbezogene Daten in einem Kundenaccount geändert werden, muss nachvollziehbar bleiben, welche Änderung wann vorgenommen worden ist. So können die Datenverantwortlichen überprüfen, ob ein geänderter Datensatz auch in den entsprechenden Backups verzeichnet ist oder nach einer Systemwiederherstellung wieder auf aktuellem Stand eingespielt wird.

Ein formales Prozedere ausarbeiten
Unternehmen müssen definieren, wie eine Anfrage und schließlich die Beantwortung zu protokollieren sind. Nur, wenn der Prozess einheitlich ist, hält er einer Überprüfung durch Behörden stand. Sie sollten nachverfolgen können, wann eine Anfrage eingegangen ist und wie mit dieser verfahren wurde. Unternehmen können bei der Bearbeitung ein wenig Zeit sparen, wenn sie ihre Prozesse von vornherein so gestalten, dass eine entsprechende Auskunftsdatei in einem portablen Format - wie CSV, XML oder JSON – ohne Mehraufwand generiert werden kann.

Pläne für den Ernstfall schmieden
Neben der Bearbeitung einer formellen DSGVO-Anfrage muss auch das Szenario einer Datenschutzverletzung durchgespielt werden. Geraten zum Beispiel bei einem Hackerangriff personenbezogene Daten in die falschen Hände, müssen Unternehmen die Betroffenen und darüber hinaus auch die zuständige Aufsichtsbehörde umgehend über den Vorfall in Kenntnis setzen. Um dies fristgerecht abwickeln zu können, müssen für diesen Fall zuständige Personen ernannt, sowie die erforderlichen Abläufe und ein Kommunikationsplan entwickelt werden. Darüber hinaus ist es sinnvoll, einen Notfallfonds einzurichten, um einen forensischen Prüfer bestellen zu können, für den Fall, dass es Schwierigkeiten bei der Überprüfung des Datenbestandes gibt. Um intern etwas Trittsicherheit für den Ernstfall aufzubauen, sollten Unternehmen derartige Prozesse vorab testen.

Dynamik berücksichtigen
Mit einer effizienten Datendokumentation, von der alle weiteren Prozesse abgeleitet werden, können Unternehmen die Kontrolle über ihre Daten gewinnen und die Bestimmungen der DSGVO zuverlässig erfüllen. Dennoch muss die etablierte Vorgehensweise flexibel sein.

Es ist nämlich davon auszugehen, dass die DSGVO nach Abschluss laufender Gerichtsverfahren künftig um weitere Anforderungen ergänzt werden wird. Um dieser Dynamik Rechnung tragen zu können, sollten in regelmäßigen Abständen die gültige Rechtsprechung überprüft und die Datenverarbeitungsprozesse entsprechend aktualisiert werden.

* Der Autor Douglas McDowell ist Chief Strategy Officer bei SentryOne, Lösungsanbieter im Bereich Datenbank Performance, Überwachungs- und DataOps-Lösungen auf SQL Servern, Azure SQL Databases und der Microsoft Daten-Plattform.

(ID:46687763)