Am 25. Mai 2018 trat die EU-DSGVO in Kraft und zwang zahlreiche Unternehmen und Organisationen dazu ihre bürokratischen Prozesse zur Bearbeitung und Speicherung von personenbezogenen Daten auf die neuen Anforderungen anzupassen. Gleichzeitig gab es zahlreiche Bedenken bezüglich Abmahnwellen und Strafverfahren wegen fahrlässiger Behandlung von Kundendaten, vor allem bei großen Internet-Service-Anbietern und Online-Shops. Nach einem Jahr lässt sich für beides konstatieren, dass es relativ ruhig geblieben ist. Weder gab es die befürchteten Abmahnwellen noch gab es viele publikumswirksame Anzeigen und Strafverfahren. Für die meisten Schlagzeilen hat bislang die Klage der französischen Datenschutzagentur gegen Google gesorgt.
Doch was heißt das nun für Unternehmen und Organisationen, die sich mit den Themen wie Einverständnis, Auskunftsrecht, Dokumentation, Recht auf Vergessenwerden oder Recht auf Datenübertragbarkeit beschäftigt haben? Die angestoßenen Prozesse sollten nicht einfach einschlafen, nur weil die öffentliche Wahrnehmung für das Thema nachgelassen hat. Es ist nach wie vor wichtig, dass Unternehmen ihre Bemühungen personenbezogene Daten vor fremden Zugriffen zu schützen, intensivieren und an die Änderungen der Bedrohungslandschaft anpassen.
Wir hatten zur Einführung der EU-DSGVO eine Checkliste für Unternehmen erstellt, die auch heute noch gilt:
- Welche Kategorien von personenbezogenen Daten will Ihr Unternehmen verarbeiten?
- Ist Ihr Unternehmen verantwortlich für diese Daten oder als Verarbeiter tätig?
- Verfügt Ihr Unternehmen über die nötigen Rechtsgrundlagen, um personenbezogene Daten zu verarbeiten?
- Hat die Verarbeitung einen legitimen Grund?
- Kann Ihr Unternehmen die Informationen auf eine weniger aufdringliche Art behandeln und immer noch das gleiche Ziel erreichen?
- Respektiert Ihr Unternehmen die Rechte betroffener Personen, wenn personenbezogene Daten verarbeitet werden?
- Kann Ihr Unternehmen belegen und mit der nötigen Dokumentation nachweisen, dass es die personenbezogenen Daten im Sinne des Gesetzes verarbeitet hat?
Vor allem bei der Dokumentation von Sicherheitsvorfällen und Datenschutzverstößen können technische Lösungen wie ein SIEM (Security-Information & Event-Management) ein wertvolles Tool sein. Mit der Analyse der Log-Daten aus der gesamten IT-Infrastruktur lassen sich die Vorfälle revisionssicher dokumentieren.
Jüngste Zahlen, die vor dem Jubiläum veröffentlicht wurden, lassen darauf schließen, dass immer mehr Datenschutzverstöße gemeldet werden, bis Mitte Mai waren es nach Angaben der EU-Kommission 150.000. Die Zahl zeigt, dass das Problem die Unternehmen noch weiter beschäftigen wird und es kann nur dringend dazu geraten werden, sich mit den oben beschriebenen Maßnahmen darauf vorzubereiten.
#Netzpalaver #LogPoint
