Datenschutz – Gut gemeint statt gut gemacht

Der Datenschutz soll als Teilbereich des allgemeiner gefassten Bereichs der Datensicherheit personenbezogene Daten vor Missbrauch und unbefugtem Zugriff bewahren. Personenbezogen sind grundsätzlich alle Daten, die sich einer bestimmten oder bestimmbaren natürlichen Person zuordnen lassen. Die DSGVO erweitert diese allgemeine Definition noch ein wenig: Personenbezogene Daten sind hiernach Angaben, die bei Zuordnung zu einer natürlichen Person Einblicke ermöglichen in deren physische, physiologische, genetische, psychische, wirtschaftliche, kulturelle oder soziale Identität (Artikel 4 Ziffer 1 DSGVO).

Personenbezogene Daten werden tagtäglich generiert und verarbeitet – am Arbeitsplatz, beim Kontakt mit Behörden, im Gesundheitswesen, beim Erwerb von Waren oder beim Gebrauch von Dienstleistungen, auf Reisen oder beim Surfen im Internet. Viele Menschen kennen die Risiken im Zusammenhang mit ihren personenbezogenen Daten und ihre diesbezüglichen Rechte in der Regel nicht – und auch Unternehmen, die persönliche Kundendaten erfassen und verwalten, sind sich der aus den gesetzlichen Datenschutzvorschriften erwachsenen Auswirkungen oft nicht bewusst.

Laut aktuellen Zahlen der Wirtschaftskanzlei DLA Piper wurden seit dem Inkrafttreten der DSGVO am 25. Mai 2018 von den deutschen Aufsichtsbehörden bis Ende Januar 2021 rund 78.000 Verstöße registriert und Bußgelder in Höhe von ca. 70 Mio. Euro verhängt. Die Anforderungen der Datenschutz-Grundverordnung einzuhalten, ist komplexer denn je, denn die Daten in Unternehmen nehmen nicht nur massenhaft zu, sondern die Daten liegen auch fragmentiert vor und oft wissen die Firmen nicht genau, welche Art von Daten bei ihnen schlummert.

„Dark Data“ werden zur dunklen Gefahr

Aufgrund historisch gewachsener Infrastrukturen und Anwendungen haben sich in den meisten Unternehmen verschiedene siloartige Daten-Pools entwickelt. Obwohl die Virtualisierung den Betrieb komplexer IT-Umgebungen stark vereinfacht hat, ist dies noch nicht bis in die Anwendungsebene durchgedrungen. So verwenden Backend-Systeme wie Datenbanken über Middleware bis zu Frontend-Systemen wie Webserver häufig ihre eigenen Datensilos. Diese werden bei der Migration in die Cloud meist übernommen.

„Aufgrund des exponentiellen Datenwachstums der letzten Jahre fällt es Unternehmen immer schwerer, den Überblick über ihre Daten zu behalten. Es ist oft nicht mehr klar, welche Inhalte die Daten umfassen, ob es sich um sensible Informationen handelt oder wo die Daten liegen. Das kann fatale Auswirkungen haben, gerade mit Blick auf die DSGVO. Um millionenschwere Bußgelder zu vermeiden, sollten die Unternehmen ihren Datenwust in den Griff bekommen“, warnt Pascal Brunner, Field Technical Director, EMEA bei Cohesity.

Unwissenheit schützt nicht vor Strafzahlungen

Auf dünnes Eis begeben sich auch Unternehmen, die – beabsichtigt oder unbeabsichtigt – persönliche Daten auf standardisierten Cloud-Services von US-Konzernen wie Microsoft, Amazon oder Google ablegen. Dass die Auftraggeber damit in vielen Fällen europäisches Datenschutzrecht unterlaufen, ist ein offenes Geheimnis. Zur Erinnerung: Im Juli des vergangenen Jahres hat der Europäische Gerichtshof das Datenschutzabkommen Privacy Shield, das als Basis für den Austausch personenbezogener Daten zwischen Europa und den USA galt, gekippt. Die Nutzung von US-Cloud-Diensten für die sogenannte Auftragsverarbeitung (AV) ist für deutsche Unternehmen seitdem risikobehaftet, da damit unter Umständen europäische Schutzstandards wie die DSGVO unterlaufen werden. Grund ist der mögliche Datenzugriff durch US-amerikanische Sicherheitsbehörden, die auf Basis des Patriot Acts bei „begründetem Verdacht“ auf die Server US-amerikanischer Hyperscaler zugreifen dürfen. Dabei macht es keinen Unterschied, ob sich der Server in den USA oder in Europa befindet.

Datenrechtlich unbedenklich ist der Rückgriff auf die Cloud-Services US-amerikanischer Anbieter nur dann, wenn die beteiligten Unternehmen „alternative Lösungen zur Aufrechterhaltung eines angemessenen Datenschutzniveaus verwenden, beispielsweise EU-Standardklauseln nebst zusätzlicher Garantien. Diese müssen – im Gegensatz zu einem Transferabkommen – für jeden Verarbeitungsvertrag separat ausgehandelt werden“ – Vorgaben, die in der IT-Praxis eher selten Beachtung finden.

Gegen das bisher weitgehend unbeachtete Treiben selbst großer deutscher Konzerne wollen die Aufsichtsbehörden hierzulande jetzt verschärft vorgehen. Sie haben eine länderübergreifende Taskforce eingerichtet, die stichprobenartig die Auftragsverarbeitung, die deutsche Unternehmen über Dienstleister aus Drittstaaten abwickeln, untersuchen soll. Das Spektrum der angekündigten Strafmaßnahmen reicht von bindenden Vorgaben, wie dem unverzüglichen Wechsel des Anbieters, bis zur Verhängung von massiven Bußgeldern.

Fortschritt im Schritttempo

Die sich abzeichnenden verstärkten Kontrollen zeigen offensichtlich Wirkung. Anfang Mai hat Microsoft in einem Blog-Beitrag angekündigt, eine EU-Datengrenze für seine zentralen Cloud-Lösungen einzuführen. Unternehmenskunden sowie Kunden aus dem öffentlichen Sektor sollen damit die Möglichkeit erhalten, dass ihre Daten ausschließlich in der EU gespeichert und verarbeitet und dass personenbezogene Daten nicht aus der EU heraus transferiert werden. Das gilt laut dem US-Konzern auch für personenbezogene Daten, die beispielsweise in Diagnose- bzw. Telemetriedaten integriert sind.

Microsoft hat nach eigenen Angaben bereits mit den entsprechenden technischen Vorbereitungen begonnen, bis Ende kommenden Jahres sollen die Anpassungen abgeschlossen sein. Um dem umfassenden Schutz persönlicher Daten gerecht zu werden, plant Microsoft dem Vernehmen nach, in einen engen Austausch mit Kunden und Aufsichtsbehörden zu treten. Die neue Funktion soll für Microsofts wichtigste Cloud-Dienste Azure, Microsoft 365 und Dynamics 365 verfügbar sein.

Bis dahin obliegt es den Cloud-Nutzern, geeignete Maßnahmen zum rechtskonformen Schutz ihrer ausgelagerten Datenbestände zu treffen. Eine Option, um den unzulässigen Zugriff durch US-Behörden zu vermeiden, besteht beispielsweise darin, mittels nutzerverwalteter Schlüssel die Verschlüsselung der Daten eigenständig zu konfigurieren und zu kon-trollieren. Derweil machen führende Industrieverbände wie der Bundesverband der Deutschen Industrie (BDI) oder der Bundesverband Großhandel, Außenhandel, Dienstleistungen (BGA) Druck auf die EU-Kommission. Sie wird aufgefordert, umgehend ein Nachfolgeabkommen zum Privacy Shield mit der neuen US-Regierung auszuhandeln.

Vorgaben bleiben unklar

Privacy by Design ist ein Schlagwort, das bereits in den 1990er-Jahren im Zusammenhang mit Datenschutzrichtlinien verwendet und mit der Einführung der DSGVO neu diskutiert wurde. Der Gedanke, Datenschutz von vornherein in der technologischen Gestaltung eines Produkts zu verankern, ist nach Ansicht von Andrea Wörrlein, Geschäftsführerin bei VNC, ebenso sinnvoll wie effektiv.
„Souveränität und Kontrolle gehören zusammen. Nur wenn ich selbst die Kontrolle darüber habe, was mit meinen Daten passiert, kann ich auch souverän darüber verfügen. Deshalb ist Privacy by Design so wichtig. Sie verlagert die Datensouveränität und Entscheidungsgewalt vom Software-Anbieter zum Nutzer und macht ihn damit zum Herrn seiner eigenen Daten“, erklärt Wörrlein.

Privacy by Design ist ein Prinzip, das Datenschutz schon auf der technischen Ebene bei der Produktentwicklung mitdenkt und implementiert. Konsequent umgesetzt, lässt es nach Ansicht von Andrea Wörrlein viele Zugriffs- und Manipulationsversuche ins Leere laufen, macht eine Reihe aufwendiger Schutz- und Prüfmaßnahmen überflüssig und vereinfacht die Kontrolle der eigenen Datensouveränität. Als besonders geeignet für die Umsetzung derartiger Konzepte betrachtet sie Open-Source-Lösungen, da sie quelloffen und unabhängig auditierbar sind.

„Leider bleibt die DSGVO bei der Konkretisierung dessen, was Privacy by Design genau ist, sehr vage. Immerhin tauchen in diesem Kontext Begriffe wie Pseudonymisierung, Authentifizierung und Anonymisierung von Daten auf. Wie diese jedoch umgesetzt und deren Einhaltung kontrolliert werden sollen, bleibt offen. Gleiches gilt für den Geltungsbereich“, kritisiert Wörrlein.
Nach einer im September letzten Jahres durchgeführten repräsentativen Bitkom-Studie ist der Status der DSGVO-Umsetzung ernüchternd. Von den mehr als 500 in Deutschland befragten Unternehmen hat nur jedes fünfte Unternehmen die DSGVO nach eigenen Angaben vollständig umgesetzt und auch Prüfprozesse für die Weiterentwicklung etabliert. Mehr als ein Drittel (37 Prozent) hat die Regeln größtenteils umgesetzt, ähnlich viele (35 Prozent) teilweise. Und sechs Prozent haben gerade erst mit der Umsetzung begonnen.

DSGVO behindert Innovation

Mit Blick auf den eigenen Betrieb sieht die Mehrheit der Befragten die DSGVO weiterhin kritisch: 71 Prozent sagen, dass sie ihre Geschäftsprozesse komplizierter macht und sie zudem zukunftsorientierte Entwicklungen behindert. Bei mehr als jedem zweiten Unternehmen (56 Prozent) sind neue, innovative Projekte aufgrund der Datenschutzrichtlinien gescheitert – entweder wegen direkter Vorgaben oder wegen Unklarheiten in der Auslegung der Vorschriften. Das gilt einmal mehr in Zeiten der Pandemie. Viele Hilfsmittel, die etwa das Arbeiten aus dem Homeoffice erleichtern, können aus Datenschutzgründen nur eingeschränkt oder gar nicht genutzt werden.

„Die Datenschutz-Grundverordnung lässt sich nun einmal nicht wie ein Pflichtenheft abarbeiten. Im Gegenteil: Durch unklare Vorschriften und zusätzliche Anforderungen der Datenschutzbehörden ist aus der DSGVO ein Fass ohne Boden geworden“, resümiert Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung. Nahezu alle befragten Unternehmen fordern daher Nachbesserungen. So sollten etwa die Informationspflichten praxisnäher gestaltet sein, die Regeln verständlicher gemacht werden und die Beratung und Hilfe von den Datenschutzaufsichtsbehörden bei der Umsetzung verbessert werden. „Persönliche Daten müssen geschützt werden, das ist unstrittig. Datenschutz darf aber nicht zur Innovationsbremse werden. Wenn wir es ernst meinen mit dem Digitalstandort Europa, müssen Datenschutzregeln die datenbasierten Geschäftsmodelle flankieren, anstatt sie auszuhebeln“, so Dehme.

Bildquelle: Getty Images/iStock/Getty Images Plus