DS-GVO als notwendiges Übel?

Die europäische Datenschutz-Grundverordnung ist von ihrem Ziel, einheitliche Datenschutzregeln in Europa zu schaffen, noch ein gutes Stück entfernt. Und das, obwohl die große Mehrheit der Unternehmen die Vorgaben der DS-GVO inzwischen umgesetzt hat. So fasste Bitkom-Geschäftsführer Dr. Bernhard Rohleder die Ergebnisse einer repräsentativen Umfrage im Auftrag des Branchenverbandes unter 503 Unternehmen ab 20 Beschäftigten in Deutschland zusammen.

Demnach loben 67 Prozent, dass die DS-GVO weltweit Maßstäbe für den Umgang mit personenbezogenen Daten setzt. Und jedes zweite Unternehmen (50 Prozent) glaubt, dass die DS-GVO zu einheitlichen Wettbewerbsbedingungen innerhalb der EU führt. Aber 70 Prozent sehen aufgrund der unterschiedlichen Auslegung der DS-GVO in den Mitgliedsstaaten – und selbst in den deutschen Bundesländern – noch keinen EU-weiten einheitlichen Datenschutz.

Auch die Bewertung mit Blick auf das eigene Unternehmen fällt überwiegend kritisch aus. So können 40 Prozent keinen Wettbewerbsvorteil durch die DS-GVO auf dem internationalen Markt für das eigene Unternehmen erkennen – und 30 Prozent sehen sogar Wettbewerbsnachteile. Dem stehen 16 bzw. 13 Prozent gegenüber, die die DS-GVO als geringen oder großen Wettbewerbsvorteil bezeichnen „Die Idee der DS-GVO, einen einheitlichen Datenschutzrahmen mit hohen Standards für Europa zu schaffen, war und ist richtig“, konstatiert Rohleder. „Bislang ist aber nicht gelungen, daraus den oft behaupteten Wettbewerbsvorteil zu ziehen.“

Datenschutz-Aufwand hochgefahren

Dabei hat die große Mehrheit die DS-GVO inzwischen umgesetzt, entweder vollständig (22 Prozent) oder größtenteils (40 Prozent). Ein Drittel (33 Prozent) sieht sich erst teilweise am Ziel, nur 2 Prozent haben erst mit der Umsetzung begonnen – und kein Unternehmen hat bisher nichts getan. Praktisch alle Unternehmen haben ihren Aufwand für Datenschutz hochgefahren. 16 Prozent stellen fest, dass dieser langsam wieder abnimmt, aber 47 Prozent gehen von einem gleichbleibend höheren Aufwand aus, 30 Prozent erwarten sogar, dass der bereits gestiegene Aufwand noch weiter zunimmt. Nur 6 Prozent sehen keinen Mehraufwand, für kein Unternehmen ist der Aufwand gesunken.

„Die DS-GVO ist kein Punkteplan, den man sich vornimmt und dann einmalig umsetzt“, so Rohleder. „Sie erfordert dauerhafte Anstrengungen, insbesondere bei der Einführung neuer Geschäftsprozesse und digitaler Technologien, und die ständige Reaktion auf neue Auslegungen, etwa durch Gerichtsurteile oder Hinweise der zahlreichen Aufsichtsbehörden“, so Rohleder.

Vor allem externe Faktoren bremsen

Dass die Umsetzung der DS-GVO noch nicht weiter ist, liegt nach Ansicht der Unternehmen überwiegend an Gründen, die sie nicht selbst zu verantworten haben. Sie sehen sich vor allem mit Rechtsunsicherheit und einer widersprüchlichen Auslegung der Datenschutzvorgaben innerhalb Europas und zwischen den Bundesländern konfrontiert. So geben 88 Prozent an, die Umsetzung der DS-GVO sei nie vollständig abgeschlossen, etwa weil es neue Guidelines gibt. 78 Prozent sehen bestehende Rechtsunsicherheiten zu den Vorgaben der DS-GVO als Hemmnis. 77 Prozent haben festgestellt, dass durch das Ausrollen neuer Tools immer wieder eine neue Prüfung in Gang gesetzt wird. 57 Prozent sehen in der uneinheitlichen Auslegung der DS-GVO innerhalb der EU ein Hemmnis, 40 Prozent in der uneinheitlichen Auslegung in Deutschland. Und 52 Prozent beklagen eine mangelnde Beratung durch Aufsichtsbehörden.

Aber auch unternehmensinterne Gründe bremsen die DS-GVO-Umsetzung. 45 Prozent sagen, die erforderliche IT- und Systemumstellungen kosten viel Zeit, 32 Prozent fehlt es an finanziellen Mitteln, 24 Prozent an qualifizierten Beschäftigten. Rund jedes vierte Unternehmen (23 Prozent) bindet die Datenschutzbeauftragten nur mangelhaft ein, 15 Prozent sehen ganz allgemein eine mangelnde Unterstützung im Unternehmen.

Häufiger als noch im Vorjahr berichten die Unternehmen davon, dass mindestens ein Innovationsprojekt in den vergangenen zwölf Monaten aufgrund des Datenschutzes gescheitert ist oder gar nicht in Angriff genommen wurde. In 82 Prozent der Unternehmen lag das an konkreten DS-GVO-Vorgaben (2021: 75 Prozent), in 93 Prozent an Unklarheiten im Umgang mit den Vorgaben (2021: 86 Prozent).

Konkret betrifft das in jedem zweiten Unternehmen den Aufbau von Datenpools (52 Prozent), bei 45 Prozent die Prozessoptimierung im Bereich der Kundenbetreuung, in 38 Prozent den Einsatz neuer Datenanalyse-Tools und in 37 Prozent den Einsatz von Cloud-Diensten. „Digitale Technologien sind die wichtigsten Innovationstreiber für alle Branchen“, so Rohleder. „Wir brauchen eine Balance zwischen Datennutzung und Datenschutz. Datenschutz darf nicht regelmäßig dazu führen, dass Dinge nicht gemacht werden, Datenschutz muss vielmehr unterstützen, dass sie richtig gemacht werden und letztlich den Menschen dienen.“

Internationale Datentransfers unverzichtbar

Von unverändert hoher Bedeutung für die deutsche Wirtschaft sind Datentransfers in das Nicht-EU-Ausland. So geben nur 40 Prozent (2021: 44 Prozent) an, keine personenbezogenen Daten in Länder außerhalb der EU zu übermitteln. 47 Prozent transferieren solche Daten an externe Dienstleister, 22 Prozent an Geschäftspartner zu gemeinsamen Zwecken und 16 Prozent an andere Konzerneinheiten oder Töchter.

Für die Unternehmen, die internationale Datentransfers ins Nicht-EU-Ausland nutzen, sind die USA das wichtigste Zielland (59 Prozent) vor Großbritannien (32 Prozent), Indien (13 Prozent), Japan (9 Prozent) und Südkorea (5 Prozent). 4 Prozent transferieren Daten nach China, ebenso viele in die Ukraine. Bedeutungslos ist dagegen Russland geworden, in das praktisch kein Unternehmen (0 Prozent) mehr personenbezogene Daten übermittelt. Vor dem Angriffskrieg auf die Ukraine lag der Anteil im Jahr 2021 noch bei 18 Prozent.

Der Wegfall des Privacy Shields hat viele Unternehmen, die Daten mit den USA austauschen, vor massive Probleme gestellt. 59 Prozent von ihnen haben in der Vergangenheit auf Basis des Privacy Shields Daten in die USA transferiert. Heute greift die große Mehrheit auf Standardvertragsklauseln zurück (91 Prozent). Jeweils ein Viertel verwendet Einwilligungen (27 Prozent) oder sogenannte Binding Corporate Rules (26 Prozent).

Die Gründe für internationale Datentransfers sind vielfältig. Am häufigsten wird die Nutzung von Cloud-Angeboten (89 Prozent) genannt, dahinter folgen die Nutzung von Kommunikationssystemen, die Daten dorthin übermitteln (67 Prozent), sowie der Einsatz von weltweiten Dienstleistern, etwa für 24/7-Support (61 Prozent). Mit deutlichem Abstand folgen die Nutzung von Services wie Abrechnung oder Datenbankmanagement (29 Prozent), eigene Unternehmensstandorte außerhalb der EU (25 Prozent) oder die Zusammenarbeit mit Partnern außerhalb der EU (16 Prozent). „Weil die Gründe für Datentransfers in Länder so vielfältig sind, lassen sie sich nicht einfach durch die Nutzung alternativer Dienste abstellen, wie häufig in der Debatte suggeriert wird“, sagt Susanne Dehmel, Mitglied der Geschäftsleitung Recht & Sicherheit des Bitkom.

Für die deutsche Wirtschaft wären die Folgen bei einem Wegfall des internationalen Datenaustauschs mit Ländern außerhalb der EU gravierend. 60 Prozent der Unternehmen, die aktuell Daten außerhalb der EU verarbeiten, könnten dann keinen globalen Security-Support mehr aufrecht erhalten, 57 Prozent könnten bestimmte Produkte und Dienstleistungen nicht mehr anbieten und 55 Prozent hätten Wettbewerbsnachteile gegenüber Unternehmen aus Nicht-EU-Ländern.

Rund jedes zweite Unternehmen erwartet, dass dann globale Lieferketten nicht mehr funktionieren (48 Prozent) und höhere Kosten entstehen (47 Prozent). 37 Prozent müssten ihre Konzernstruktur komplett verändern, 30 Prozent befürchten eine schlechtere Qualität ihrer Produkte und Dienstleistungen und 20 Prozent würden im Innovationswettbewerb zurückfallen. „Datentransfers in Nicht-EU-Länder haben für die Unternehmen dieselbe Bedeutung wie der internationale Warenaustausch und globale Lieferketten“, so Dehmel. „Die Politik muss zügig einen Rahmen schaffen, der zugleich Rechtssicherheit für die Unternehmen schafft und wirklich praxistauglich ist.“

Bildquelle: Bitkom