Noch ein Jahr bis zur Datenschutz-Grundverordnung

In einem Jahr, am 25. Mai 2018, wird die vieldiskutierte Datenschutz-Grundverordnung (DSGVO) nationales Recht in den europäischen Mitgliedsländern. „Für Unternehmen empfiehlt es sich, die neuen Regeln zeitnah anzugehen“, sagt Markus Mergle, IT-Consultant bei msg.

Markus Mergle, IT-Consultant bei msg (Foto: msg)

Rechte der betroffenen Personen werden gestärkt 

Ein Bestandteil der Datenschutz-Grundverordnung ist das „Recht auf Vergessenwerden“. Darauf beziehen können sich alle Personen, die von der Datenverarbeitung betroffen sind. Für die Unternehmen erweitern sich damit ihre Löschverpflichtungen. Darüber hinaus wurde ein neues Recht auf Daten-Portabilität geschaffen. Dieses betrifft zum Beispiel die Mitnahme der Daten zu einem neuen Provider. Ebenfalls neu ist die Datenschutz-Folgenabschätzung. Hier muss in Hinblick auf personenbezogene Daten das Risiko bei der Verarbeitung ermittelt werden, von der Eintrittswahrscheinlichkeit bis hin zur potenziellen Schwere eines Schadens für die Rechte und Freiheiten natürlicher Personen.

Maßnahmen müssen den „Stand der Technik“ erfüllen

Um die neuen Regelungen umzusetzen, haben die Unternehmen eine Reihe technischer und organisatorischer Maßnahmen zu treffen. Diese haben den „Stand der Technik“ zu erfüllen. Aufsichtsbehörden verweisen hierbei meist auf anerkannte Standards wie die des BSI oder die „Top 10 Privacy Risks“ des Open Web Application Security Projects (OWASP). „Grundsätzlich gilt, dass der Aufwand bei der Umsetzung der Maßnahmen in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck stehen sollte“, so Markus Mergle. Gemäß der neuen Verordnung ist die Wirksamkeit der ausgewählten Maßnahmen regelmäßig zu bewerten und zu evaluieren. Umsetzen lässt sich das durch Penetrationstests und Datenschutzaudits. „Unternehmen, die über ein Informationsmanagementsystem, zum Beispiel nach ISO 27001, verfügen, haben bei den Vorbereitungen auf den EU-gerechten Datenschutz deutlich weniger Aufwand“, sagt der Datenschutzexperte.

Bußgeldrahmen erhöht sich deutlich

Dass es der EU mit der Neuordnung des Datenschutzes ernst ist, zeigt sich am Bußgeldrahmen: Wo den Unternehmen im BDSG schlimmstenfalls 300.000 Euro Strafe drohten, können die Aufsichtsbehörden ab dem 25. Mai 2018 vier Prozent des gesamten weltweit erzielten Jahresumsatzes einfordern. Angesichts dessen und der zeitlichen Brisanz bei der Umgestaltung des Datenschutzrechts, rät Markus Mergle Unternehmen dazu, die neuen Regelungen schon jetzt in Angriff zu nehmen: „Egal ob Start-Up, mittelständisches Unternehmen oder multinationaler Großkonzern, die Uhr tickt für alle – und der Aufwand zur Umsetzung der neuen Anforderungen wird oftmals unterschätzt.“