Datenschutz und Compliance Unternehmen sind schlecht auf EU-DSGVO vorbereitet

Viele deutsche, europäische und US-amerikanische Unternehmen sind schlecht auf die neuen EU-Datenschutzregeln (EU-DSGVO oder EU General Data Protection Regulation, GDPR) vorbereitet. Aber wenn Unternehmen die Vorgaben nicht einhalten, gehen sie ein großes Risiko ein. Das geht auf eine Studie des IT-Experten Compuware zurück.

Anbieter zum Thema

Vogel IT-Medien GmbH

Insider Research

Schwarz IT KG

Compuware Software Group GmbH

Viele Unternehmen haben Schwierigkeiten, die EU-DSGVO einzuhalten. Dies liegt an verschiedenen Ursachen wie IT-Komplexität, Agile und DevOps-basierende Konzepte zur Bereitstellung neuer Anwendungen, die zunehmende Sammlung von Daten und IT-Outsourcing.

Fast drei Viertel (73 Prozent) der deutschen Unternehmen und 63 Prozent weltweit geben zu, dass die Datenkomplexität, eines der größten Hindernisse für die Compliance darstellt. 41 Prozent der deutschen und 53 Prozent der weltweiten Unternehmen sagen, dass das Einholen der Zustimmung der Kunden für die Nutzung ihrer Daten eine weitere erhebliche Hürde bildet.

72 Prozent der Unternehmen in Deutschland und 55 Prozent der Unternehmen in Europa sind der Meinung, dass sie gut über die EU-DSGVO und deren Auswirkungen auf den Umgang mit Kundendaten informiert sind. Trotz der guten Informationslage und der der rechtlichen Risiken besitzen aber 68 Prozent der Unternehmen keinen umfassenden Plan zur Umsetzung von EU-DSGVO, in Deutschland sind es 53 Prozent.

Noch schwieriger wird es für Unternehmen aus den USA. Mehr als die Hälfte der US-Unternehmen (52 Prozent) nutzt europäische Kundendaten, so dass sie die neuen Regeln einhalten müssen. Aber nur 43 Prozent der Unternehmen fühlen sich gut über EU-DSGVO und seine Auswirkungen informiert.

„Recht auf Vergessen" kaum kontrollierbar

Gemäß der Studie kämpfen Unternehmen auch mit der Kontrolle ihrer Daten. Dies erschwert die Einhaltung des „Rechts auf Vergessen“ gemäß EU-DSGVO. Demnach sagen 76 Prozent der deutschen und 68 Prozent der weltweiten Unternehmen, dass die Komplexität moderner IT-Services dazu führt, dass sie nicht immer wissen, wo sich ihre Kundendaten genau befinden. Dabei gibt mehr als die Hälfte der Unternehmen in Deutschland (56 Prozent) und weltweit (53 Prozent) an, dass dies insbesondere für Testdaten gilt.

In Deutschland denken immerhin 69 Prozent der CIOs, dass sie schnell sämtliche Daten über eine bestimmte Person lokalisieren könnten. Weltweit sind es nur 51 Prozent. Allerdings benötigen 36 Prozent der deutschen und 45 Prozent der weltweiten Unternehmen viel Zeit und erhebliche Ressourcen, um jemandem alle seine persönlichen Daten zu zeigen, die in den Systemen gespeichert sind. Wünscht eine Person gemäß „EU-Recht auf Vergessen“, dass alle über sie gespeicherten Daten gelöscht werden, wären dazu nach eigenen Angaben 69 Prozent der deutschen und nur 52 Prozent der weltweiten Unternehmen in der Lage.

„Um die EU-DSGVO einzuhalten, müssen Unternehmen strenger kontrollieren, wo sich ihre Kundendaten befinden“, sagt Dr. Elizabeth Maxwell, Technical Director EMEA bei Compuware. „Wenn sie nicht auf all ihren Systemen den jeweiligen Speicherort jeder Kopie von Kundendaten fest im Griff haben, können Unternehmen unzählige Stunden dabei verlieren, manuell nach den entsprechenden Daten zu suchen, falls jemand sein Recht auf Vergessen einfordert. Auch finden sie dann möglicherweise nicht jede Kopie und riskieren eine Missachtung der Vorschriften.“

Umgang mit Testdaten prüfen

Die Studie hat auch ermittelt, dass die überwiegende Mehrheit der Unternehmen in Deutschland (91 Prozent) und weltweit (86 Prozent) echte Kundendaten zum Testen von Anwendungen während der Softwareentwicklung einsetzt. Doch nur einer von fünf Befragten holt dafür das Einverständnis seiner Kunden ein. Damit missachten die meisten Teilnehmer die Datenschutzregeln gemäß EU-DSGVO. 31 Prozent der deutschen und 43 Prozent der weltweiten Unternehmen, die Anwendungen mit realen Daten testen, riskieren den Datenschutz der Kunden sogar noch stärker, da sie die Daten vor der Nutzung nicht anonymisieren.

„Die Verwendung von Kundendaten für Anwendungstests ist eine Standard-Praxis. Es gibt aber keinen Grund dafür, diese nicht zu anonymisieren“, so Dr. Elizabeth Maxwell weiter. „Wer die Daten nicht vorher verfremdet, muss mit einer empfindlichen Strafe durch die EU-Regulierungsbehörden rechnen. Die Anonymisierung von Testdaten verbessert nicht nur den Datenschutz, sondern vermeidet auch die Einholung der ausdrücklichen Zustimmung der Kunden dafür. Genau dies sehen allerdings 41 Prozent der deutschen und 53 Prozent der weltweiten CIOs als eine der größten Hürden für die EU-DSGVO Compliance.“

EU-Datenschutz-Grundverordnung

Fünf Schritte zur Einhaltung der EU-DSGVO-Gesetzesvorgaben

(ID:44294083)