EU-Datenschutzgrundverordnung

Jetzt wird’s teuer: Hier kommt die EU-DSGVO

Datenschutz ist wichtig, das Bundesdatenschutzgesetzt ist etabliert und eigentlich müssten deutsche Unternehmen inzwischen alle lückenlose Musterdatenschutzprofis sein. Doch die Praxis zeigt immer wieder, dass es mit dem Datenschutz meist nicht weit her ist, entweder aus purer Unkenntnis oder weil es eben doch praktischer (und lukrativer) ist, mit den vorhandenen persönlichen Daten der Kunden zu handeln. Als kleiner Trost bleibt, dass Deutschland noch der Einäugige unter den Blinden ist, im Rest der Welt ist Datenschutz oder „Privacy“ vielerorts noch nicht mal auf dem Radar der Verantwortlichen.

In Deutschland war es bisher zwar durchaus strafbar, den Datenschutz zu verletzen, doch die Bußgelder schreckten gerade große Unternehmen nur minimal. Nach § 43 Abs. 3 S. 1 BDSG sind aktuell Bußgelder in Höhe von € 50.000 für Verstöße gemäß § 43 Abs. 1 S. 1 BDSG vorgesehen und € 300.000 für Verstöße gemäß § 43 Abs. 2 BDSG. Höhere Bußen waren nur möglich, wenn der Verursacher einen wirtschaftlichen Vorteil aus dem Verstoß zog. Davon gab es nur eine Handvoll, eine der höchsten Strafen zahlten 35 Lidl Vertriebsgesellschaften mit € 1,46 Mio. im Jahr 2010.

Doch nun gibt es ein EU-Datenschutzgesetz, die EU-Datenschutzgrundverordnung (EU-DSGVO). Sie ist bereits in Kraft, Organisationen haben aber noch eine Gnadenfrist bei Mai 2018. Nach der sogenannten Umsetzungsfrist gelten Bundesdatenschutzgesetz, Landesdatenschutzgesetze sowie die EU-Datenschutzrichtlinie 95/46 nicht mehr oder sind aufgehoben. Damit ist es auch vorbei mit der bisherigen regulären Obergrenze von € 300.000. In Art. 83 Abs. 4 DSGVO ist jetzt ein Bußgeldrahmen von bis zu € 10 Mio. vorgesehen; gemäß Art. 83 Abs. 5 und 6 sind sogar bis zu € 20 Mio. oder 4% des weltweiten Jahresumsatzes möglich.

Die bisher relativ zahnlosen Raubkatzen „Datenschutzbeauftrage der Länder“ erhalten damit bald das Gebiss eines ausgewachsenen Säbelzahntigers. Die Berechnung des Jahresumsatzes lässt zwar einige Schlupflöcher offen, doch klar ist: Datenschutzverstöße werden viel, viel teurer als bisher. Inzwischen sind die Konsumenten sensibilisiert. Eine aktuelle Studie des Marktforschungsinstituts Kantar Emnid zeigt, dass beispielsweise bei Shopping-Apps der Datenschutz an erster Stelle steht: Für 85 Prozent hat der vertrauenswürdige Umgang mit ihren Daten die oberste Priorität. Wenn nun noch die Behörden personell aufgerüstet werden, wird sich der Datenschutz vom Compliance-Feigenblättchen zu einer gleichberechtigten Disziplin der Informationssicherheit wandeln.

Datenschutz braucht Informationssicherheit und Informationssicherheit ist ohnehin seit einigen Jahren das Fokusthema jeder Organisation. Wer Informationssicherheit im Unternehmen ernst nimmt, kann auch Datenschutz gewähren. Das fängt bei korrekt definierten Prozessen an, geht mit der Bewertung und Kategorisierung der Assets weiter und führt über technische und organisatorische Abwehrmaßnahmen bis hin zur Awareness-Schulung der Mitarbeiter. Dass ein Virtual Private Network als Grundvoraussetzung zur Absicherung von Remote-Zugängen dazugehört und den Datenschutz bei der Kommunikation mit mobilen Endgeräten gewährleistet, versteht sich von selbst.