- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Und dann noch die DSGVO


Ungleiche Voraussetzungen: Datensicherheit größte Herausforderung für den Mittelstand
Im BDSG gibt es genau drei Fälle in denen das Gesetz vorschreibt einen Datenschutzbeauftragten zu benennen


- Anzeigen -





Von Manuel Bohé, Geschäftsführer Concepture

Auch wenn es darum geht die im Mai kommenden Jahres in Kraft tretende Datenschutz-Grundverordnung umzusetzen, spielt der kaum abzuschätzende Aufwand gerade für mittelständische Unternehmen eine wichtige Rolle. Laut einer repräsentativen Umfrage des Branchenverbandes Bitkom haben erst 13 Prozent der befragten deutschen Unternehmen damit begonnen erste Maßnahmen umzusetzen. Jedes dritte Unternehmen hat sich noch gar nicht mit der anstehenden DSGVO beschäftigt. Neben der real bestehenden Rechtsunsicherheit ist es vor allem der unwägbare Aufwand bei der Umsetzung, der die befragten Firmen offensichtlich zurückschrecken lässt.

Lesen Sie zum Thema "Datenschutz" auch: Compliance-Magazin.de (www.compliancemagazin.de)

Susanne Dehmel, Geschäftsleiterin Recht & Sicherheit beim Bitkom, warnt: "Wer den Kopf in den Sand steckt, verstößt demnächst gegen geltendes Recht und riskiert empfindliche Bußgelder zu Lasten seines Unternehmens." Den schwer abzuschätzenden Aufwand bewerten mehr als die Hälfte (52 Prozent) der Befragten als größte Hürde bei der Umsetzung der DSGVO. Ohne Mehraufwand wird es nicht gehen, davon gehen 35 Prozent aus, 20 Prozent sogar von einem erheblichen Mehraufwand. Dazu bemängeln die Teilnehmer an der repräsentativen Umfrage, dass es an praktischen Umsetzungshilfen fehlt bis hin zu Praxisleitfäden oder Handreichungen.

Kritische Töne betreffen noch einen anderen Bereich: Etliche Firmen gehen davon aus, dass die Geschäftsprozesse nun deutlich komplizierter werden, 14 Prozent sehen in der DSGVO sogar eine Gefahr für ihre Geschäftstätigkeit, 23 Prozent fürchten Wettbewerbsnachteile für europäische Firmen und stolze 36 Prozent sehen in ihr sogar eine Innovationsbremse.

Klärungsbedarf auch beim Thema Datenschutzbeauftragter
Im Rahmen der neuen Verordnung gibt es in vielerlei Hinsicht Klärungsbedarf. Dazu gehört auch die Frage wann genau Unternehmen einen Datenschutzbeauftragten benennen müssen.

In Artikel 37 sind prinzipiell drei Szenarien festgeschrieben: wenn die Kerntätigkeit
a) die Verarbeitung personenbezogener Daten durch eine Behörde oder öffentliche Stelle umfasst,
b) sie eine "umfangreiche regelmäßige und systematische Überwachung von betroffenen Personen" beinhaltet oder
c) die umfangreiche Verarbeitung besonderer Kategorien von Daten erforderlich macht, darunter biometrische, genetische und standortbezogene Daten.

Man darf getrost davon ausgehen, dass die meisten Firmen unter die zweite der genannten Kategorien fallen. Insbesondere die beiden Formulierungen "regelmäßige und systematische Überwachung" und "umfangreich" sind schon auf den ersten Blick mehrdeutig. Das sehen auch Juristen und DSGVO-Experten so.

Der Datenschutzbeauftragte in der DSGVO im Unterschied zum BDSG
Aber zunächst einen Schritt zurück. Denn das bestehende Bundesdatenschutzgesetz enthält bereits Vorgaben zur Rolle eines Datenschutzbeauftragten im Unternehmen.

Im BDSG gibt es genau drei Fälle in denen das Gesetz vorschreibt einen Datenschutzbeauftragten zu benennen:

>> Das Unternehmen beschäftigt mindestens neun Mitarbeiter, die personenbezogene Daten automatisiert verarbeiten – ob fest, frei oder nur aushilfsweise beschäftigt, das spielt dabei keine Rolle; sobald die Daten am Computer verarbeitet werden, geht das Gesetz von der automatisierten Verarbeitung aus.

>> Das Unternehmen übermittelt personenbezogene Daten geschäftsmäßig, erhebt oder verarbeitet diese – die Zahl der Beschäftigten spielt dann keine Rolle.

>> Das Unternehmen verarbeitet besonders sensible Daten – auch in diesem Fall ist die Zahl der Mitarbeiter unerheblich. Unter diese Klausel fallen zum Beispiel Gesundheitsdaten oder Daten zur Bonität (jüngstes Beispiel, welches Ausmaß und welche Eskalationsstufen ein Datenschutzvorfall in diesem Bereich annehmen kann: der Vorfall beim Credit Bureau Equifax)

>> Nach § 4g I 1 BDSG wirkt der Datenschutzbeauftragte darauf hin, dass das BDSG und andere Datenschutzvereinbarungen eingehalten werden. Die Umsetzung nimmt er aber nicht selbst vor, sondern er ist organisatorisch der Geschäftsleitung unterstellt. Genau das ändert sich mit der DSGVO und nach Art. 39 Abs. 1b). Demnach muss der Datenschutzbeauftragte nicht nur auf die Einhaltung hinwirken, sondern ihm obliegt eine umfassende Überwachungspflicht.

Die Artikel-29-Datenschutzgruppe
Unter der Artikel-29-Datenschutzgruppe versteht man den Zusammenschluss der nationalen Datenschutzbehörden in Europa. Ihnen ist nicht entgangenen, dass die nicht immer eindeutigen DSGVO-Vorgaben konkretisiert werden müssen. Die Gruppe fungiert dabei als eine Art übergeordnete Datenschutzbehörde, die Empfehlungen im Sinne der DSGVO abgeben und ganz nebenbei die nationalen Datenschutzbehörden einheitlich ausrichten soll. Dazu wurden erstmals Ende letzten Jahres Leitfäden veröffentlicht:

>> Guidelines on the right to "data portability", wp242rev.01

>> Guidelines on Data Protection Officers ('DPOs'), wp243rev.01

>>Guidelines on The Lead Supervisory Authority, wp244rev.01

Zuletzt wurden diese Leitlinien im April dieses Jahres überarbeitet. Wer die Entstehungsgeschichte der Datenschutzgrundverordnung mitverfolgt hat, der weiß, dass gerade die Bestimmungen zum Datenschutzbeauftragten zu den nicht unumstrittenen Klauseln gehörten. Fraglich war etwa, ob es für ein Unternehmen obligatorisch oder optional sein sollte, einen Datenschutzbeauftragten zu benennen. Und auch über die Grundvoraussetzungen war man sich uneins. So wurde beispielsweise diskutiert, ob die Mitarbeiterzahl eines Unternehmens ausschlaggebend sein sollte (mindestens 250 MA) oder die Anzahl der von einer Firma verarbeiteten personenbezogenen Datensätze (500). Die Beteiligten einigten sich zwar auf den obligatorischen Datenschutzbeauftragten, einen Schwellenwert wollte man aber nicht festlegen. Die Formulierung blieb mehrdeutig.

Für die Art.-29-Gruppe bedeutet "regelmäßig und systematisch", dass eine vorab geplante Tätigkeit im Laufe der Zeit wiederholt durchgeführt wird. Bleibt noch die zweite wenig eindeutige Formulierung "umfangreich". Laut der Artikel-29-Gruppe in den Leitlinien sind vier verschiedene Faktoren zu berücksichtigen:

>> die Datenmenge

>> und/oder die Bandbreite der verarbeiteten Datenelemente

>> die Dauer oder Konstanz der Datenverarbeitungsvorgänge

>> die räumliche Ausdehnung der Verarbeitungsvorgänge

Man beginnt zu ahnen, wo der Gesetzgeber mit dieser Formulierung hin wollte. Alle diejenigen, die große Mengen personenbezogener Daten verarbeiten, sind in der Pflicht, einen Datenschutzbeauftragten zu benennen. Versicherungen und Banken sowie große Handelsketten beispielsweise.

Wenn man die Perspektive wechselt, ist heutzutage allerdings auch ein kleines Unternehmen mit wenigen Mitarbeitern in der Lage Überwachungsaktivitäten durchzuführen. Und man könnte zu dem Schluss kommen, dass jedes Unternehmen mit einer nur halbwegs gut besuchten Webseite zukünftig einen Datenschutzbeauftragten beschäftigen muss. Das können etwa Nachrichtenseiten und Portale sein, die ihren Nutzern kostenlos Informationen zur Verfügung stellen. Über die Webseite werden keine oder nur wenige personenbezogenen Daten erfasst. Die Browseraktivitäten werden in erster Linie über Cookies und andere Methoden getrackt. Trotzdem ist anhand der eingeblendeten Werbung gut zu erkennen wie "vertraut" die Seite mit den Surf- und Suchgewohnheiten des betreffenden Nutzers ist. Folgt man den in den Leitlinien gegebenen Empfehlungen zur DSGVO, ist eine derartige Online-Überwachung eine, die auch in den Bestimmungen zum Datenschutzbeauftragten vorkommt. Mit dieser und anderen Fragestellungen werden Juristen und Experten vermutlich noch eine Weile tu tun haben.

Trotz der einigermaßen erschreckenden Ergebnisse der Bitkom-Umfrage, bemühen sich Beratungsunternehmen, Juristen und DSGVO-Experten inzwischen gleichermaßen deutlich konkretere Hilfen zur praktischen Umsetzung der DSGVO-Anforderungen zur Verfügung zu stellen. Das gilt auch für das Anforderungsprofil eines Datenschutzbeauftragten. (Concepture: ra)

eingetragen: 04.10.17
Home & Newsletterlauf: 02.11.17


Concepture: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Wie ODNS Surfgewohnheiten geheim hält

    DNS ordnet menschenlesbare Namen für Computer und Dienste, wie etwa nakedsecurity.sophos.com, den numerischen IP-Adressen zu, die Computer benötigen, um miteinander zu kommunizieren. Leider hat DNS ein Datenschutzproblem: DNS-Abfragen können gelesen werden und man sieht genau, wer wo surft, selbst wenn diese Personen darauf achten, die genauen Details ihres Surfens mit HTTPS zu verschlüsseln. Es gibt bereits viele Ansätze um dieses Problem zu lösen. Eine junge und sehr vielversprechende Technologie ist ODNS (Oblivious DNS). Sophos erklärt, wie sie funktioniert.

  • WAF-Funktionen in der Cloud und On-Premise

    Die Entscheidung für die optimale Web Application Firewall (WAF) basiert heute nicht mehr nur auf den integrierten Sicherheitstechnologien und dem gebotenen Schutzniveau. Eine weitgehende Erkennung auch aktueller und unbekannter Gefahren ist schon fast selbstverständlich. Immer wichtiger werden flexible Nutzungsmöglichkeiten. Denn schließlich können IT-Entscheider heute nicht wissen, welche Modelle für welche Einsatzszenarien sie morgen benötigen. Daher sollten sie auf folgende Punkte achten.

  • Gezielte Manipulation der Daten ist denkbar

    Einige populäre Dating-Apps übertragen persönliche Nutzerdaten unverschlüsselt mittels unsicheren HTTP-Protokolls, so das Ergebnis einer Untersuchung, die die Experten von Kaspersky Lab um die Jahreswende veröffentlicht haben. Der Grund für den unsicheren Datentransfer ist der Einsatz sogenannter Advertising-SDKs. Diese einfach anwendbaren Software Development Kits (SDKs) sind Teil beliebter Werbenetzwerke und werden von App-Entwicklern gerne eingesetzt, um sich auf die Kernaufgaben ihrer Anwendung konzentrieren zu können. Offenbar werden unsichere SDKs bei inzwischen weltweit milliardenfach installierter Apps eingesetzt. Sie stellen eine ernste Gefahr da, weil damit persönliche Daten abgefangen, verändert und wehrlose App-Nutzer angegriffen werden können. Diese Ergebnisse gehen aus einer aktuellen Analyse von Kaspersky Lab über SDKs von Drittanbietern hervor.

  • KI & maschinelles Lernen: Zwei neue Trends

    Cyberkriminelle sind schlauer als je zuvor und für 2018 werden einige der fortschrittlichsten Angriffe erwartet, die die Welt je gesehen hat. So schätzt beispielsweise Forbes die Kosten in Höhe von etwa 6 Billionen US-Dollar pro Jahr ein. Dabei gibt es gute Möglichkeiten, um den Angriffen vorzubeugen. Darunter fällt neben der klassischen Security auch eine ausgefeilte Backup- beziehungsweise Disaster Recovery-Strategie, um Daten nach einem Angriff möglichst verlustfrei wiederherzustellen.

  • Die sieben Todsünden der digitalen Kommunikation

    Die Brabbler AG beleuchtet die häufigsten Fehler von Unternehmen bei der digitalen Kommunikation. Viele Unternehmen gehen zu sorglos mit ihrer digitalen Kommunikation um. Damit riskieren sie den Verlust von Betriebsgeheimnissen und laufen Gefahr, gegen gesetzliche Vorgaben wie die Datenschutzgrundverordnung (DSGVO) der Europäischen Union zu verstoßen. Das kann in beiden Fällen große Schäden verursachen und extrem teuer werden. Die Brabbler AG, Spezialist für sichere digitale Kommunikation, erläutert die sieben gängigsten Fehler.