Ist die DSGVO eine Erfolgsgeschichte?
Die DSGVO war ihrer Intention nach nie dazu gedacht, Datenschutzvorfälle zu verhindern
Unterm Strich war die DSGVO effektiv bei ihrem Kernauftrag, die versteckte Nutzung personenbezogener Daten einzuschränken - Was sie allerdings nicht geschafft hat, ist, das Verständnis der EU-Bevölkerung dafür zu erhöhen, wie Daten gehandhabt werden
Seit dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung (DSGVO). Tim Mackey, Principal Security Strategist bei Synopsys, beantwortet die Fragen, ob und unter welcher Betrachtungsweise die DSGVO eine Erfolgsgeschichte ist.
Der Jahre EU-Datenschutz-Grundverordnung (DSGVO/GDPR). Wie bewerten Sie die Auswirkungen des Gesetzes? Ist die DSGVO bislang eine Erfolgsgeschichte?
Tim Mackey: Die Datenschutz-Grundverordnung hat die Diskussion um Data Governance auf globaler Ebene angeheizt. Es gibt zahllose gesetzgeberische Maßnahmen, die in Singapur, Brasilien, Kanada und dem Bundesstaat Kalifornien auf den Weg gebracht wurden. Sie alle haben ihre Wurzeln in den Grundsätzen der DSGVO. Ein Beispiel ist die Verankerung des Datenschutzes als Recht. Man begegnet immer wieder dem Argument, dass trotz DSGVO Cybersicherheitsvorfälle so verbreitet sind wie eh und je.
Allerdings war die DSGVO ihrer Intention nach nie dazu gedacht, Datenschutzvorfälle zu verhindern. Vielmehr soll sie Transparenz über die Praktiken der Datenerhebung schaffen und dazu wie die Daten verwendet werden. Wenn man wissen will, welche Auswirkungen die DSGVO hat, muss man sich nur einige der Gerichtsurteile ansehen, die in ihrem Geltungszeitraum gefällt wurden. Nicht zuletzt Schrems II. Der Europäische Gerichtshof (EuGH) hat am 16. Juli 2020 mit Urteil in der Rechtssache "Schrems II" (C-311/18) den EU-US-Privacy-Shield-Beschluss für ungültig erklärt.
Standardvertragsklauseln (SCCs) können zwar weiter für Datenübertragungen genutzt werden, der bloße Vertragsschluss reicht hierfür aber nicht aus. Das gleiche gilt für verbindliche interne Datenschutzvorschriften (BCRs). Der konkrete Übertragungsweg und die Datenverarbeitung beim Empfänger müssen einem angemessenen Datenschutzniveau entsprechen. Bei einer Übermittlung von personenbezogenen Daten mittels SCCs muss der Datenexporteur zukünftig bewerten, ob für die von Transfer betroffenen Daten ein angemessenes Datenschutzniveau im Empfängerland gewährleistet ist. Und maßgebend ist das konkrete Schutzniveau für die übertragenen Daten.
Ist die Datenschutz-Grundverordnung mehr als zahnloser Papiertiger?
Tim Mackey: Das hängt wirklich von der Betrachtungsweise ab und davon, ob man die Höhe der verhängten Bußgelder als Messlatte nehmen will. Wir erinnern uns alle an die Welle von Cookie-Enthüllungen nach dem Inkrafttreten der DSGVO und an die Ermittlungen der irischen Datenschutzbehörde gegen "Big Tech"-Unternehmen. Geprüft wurde beispielsweise, ob Twitter entsprechend der Vorschriften des Artikels 33 DSGVO innerhalb der vorgesehenen Frist von 72 Stunden eine entsprechende "Datenpanne" gemeldet hatte.
Hier war die Frage, ob die erforderlichen Maßnahmen zeitnah ergriffen wurden, gegebenenfalls mit Hilfe des Datenschutzbeauftragten. Die irische Datenschutzbehörde hatte bereits einen Entwurf einer Entscheidung an die Europäischen Datenschutzausschuss (EDSA) weitergeleitet, um eine entsprechende Abstimmung auch unter den anderen EU-Mitgliedsstaaten zu erwirken. Vorläufige Entscheidungsentwurfe gingen auch an andere große soziale Netzwerke wie den Messenger-Dienst WhatsApp. Bei letzterem ging es um mögliche Verstöße gegen die Informationspflichten gemäß Artikel 12 ff DSGVO.
Unterm Strich war die DSGVO effektiv bei ihrem Kernauftrag, die versteckte Nutzung personenbezogener Daten einzuschränken. Was sie allerdings nicht geschafft hat, ist, das Verständnis der EU-Bevölkerung dafür zu erhöhen, wie Daten gehandhabt werden, und zwar so weit, dass sie wirklich eine informierte Einwilligung in die Verarbeitung personenbezogener Daten geben können. Beispielsweise weiß jeder Durchschnittsbürger wahrscheinlich, dass Cookies dazu dienen, Online-Aktivitäten nachzuverfolgen. Aber er würde vermutlich nicht hinreichend erklären können wie Daten mit Cookies in Verbindung gebracht werden.
Dem Datenschutzbeauftragten/DPO kommen nach DSGVO wichtige Aufgaben zu. Ist es den DPOs tatsächlich gelungen, die Unternehmenskultur rund um den Datenschutz zu verändern?
Tim Mackey: Die DSGVO hat Unternehmen in die Pflicht genommen, sich genau anzusehen, wie sie ihre Daten managen - unabhängig davon, in welchem Land es ansässig sind. Für einige Unternehmen mit Sitz außerhalb des EWR wurde etwa entschieden, den Zugang zu ihren Produkten oder Dienstleistungen für EWR-Bürger zu verhindern. Grundlage der Entscheidung ist die Ansicht, dass man die DSGVO am besten einhält, indem man einfach keine Geschäfte mit EWR-Bürgern macht.
Viele Firmen mussten unter dem Druck der DSGVO überprüfen, wie sie die von Nutzern und Kunden erhobenen Daten unabhängig von deren Herkunfts- oder Wohnsitz verarbeiten. Dies ist das heute vorherrschende Modell und zumindest teilweise durch die Ernennung eines Datenschutzbeauftragten geprägt. Und der wiederum stimmt sich mit dem CISO des Unternehmens ab. In der Tat sind Datenschutz und Cybersicherheit zwei Seiten derselben Medaille: Cybersicherheitsteams sind mit dem Schutz der Daten beauftragt, die von einem Datenschutzbeauftragten zur Verarbeitung freigegeben wurden.
Wie wird es weitergehen?
Tim Mackey: Jede Gesetzgebung hat ihren Ursprung in den Problemen, die beim Erlass vorherrschend waren. Die DSGVO wurde erlassen, um Probleme bei der Verarbeitung personenbezogener Daten zu lösen. Für Cyberkriminelle vielleicht zweitrangig, wenn sie ein größeres Ziel erreichen wollen, wie z. B. Lösegeld von einem Unternehmen zu erpressen. Für einen Cyberkriminellen sind die Nutzerdaten vielleicht zweitrangig. In der Tat kann eine Lösegeldzahlung lukrativer sein, als zu versuchen, Benutzerdaten im Dark Web zu verkaufen. Die Art und Weise wie Cybersicherheitsbedrohungen und Datenschutzvorfälle sich weiterentwickeln, bestätigt eine wichtige Grundlage der DSGVO: Nämlich nur das Minimum an Daten zu erstellen und zu erheben, das notwendig ist, um eine bestimmte Aufgabe zu erfüllen. Zudem sollten Daten immer nur so lange aufbewahrt werden wie nötig und es den gesetzlichen Anforderungen entspricht. (Synopsys: ra)
eingetragen: 31.05.21
Newsletterlauf: 13.08.21
Synopsys: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.