1½ Jahre nach Einführung der DSGVO
Nach einer zweijährigen Übergangsfrist ist die Datenschutz-Grundverordnung (DSGVO) seit über einem Jahr in Kraft. Sie regelt auf EU-Ebene die Verarbeitung, Speicherung und Weitergabe personenbezogener Daten durch öffentliche Stellen und private Unternehmen. Auf EU-Ebene gibt es hierzu bereits repräsentative Umfragewerte zum Umgang mit der DSGVO seitens der Unternehmen. Verbindliche deutschlandweite Daten zur Umsetzung liegen bislang nicht vor.
EU-weite Umfragewerte zur DSGVO-Konformität ergeben ein gemischtes Bild zum Stand der Umsetzung
Laut einer Umfrage* vom Juli 2019 geben rund 30% der befragten Unternehmen an, die DSGVO noch nicht umgesetzt zu haben. 38 % der immer noch gegen die DSGVO verstoßenden Unternehmen geben an, nicht zu verstehen, unter welchen Gegebenheiten die Zustimmung zur Aufbewahrung und Verarbeitung von Daten einzuholen ist. Nur 57% der Unternehmen halten die DSGVO nach eigenen Angaben ein, etwa 13% sind unsicher, ob sie einer Prüfung durch die Aufsichtsbehörden standhalten würden. Laut RSM Umfrage sind sich 35 % der Unternehmen unklar darüber, wie sie die Verwendung personenbezogener Daten durch ihre Mitarbeiter überwachen sollen.
Fehlende Konformität mit DSGVO vor allem bei KMU mit vielfältigen Gründen
Die Gründe dafür, dass Unternehmen (noch) nicht DSGVO-konform agieren sind unterschiedlich. Gerade in kleineren und mittelständischen Unternehmen (KMU) herrschen häufig Verständnisschwierigkeiten. Diese hätten sich auch transparente Informationen seitens der Aufsichtsbehörden gewünscht bspw. Unterlagen wie Leitlinien, Musterdokumente oder Checklisten, die zugleich auch mehr „gefühlte“ Rechtssicherheit in den Unternehmen hätte schaffen können.
Die DSGVO jedoch unterscheidet in ihren Vorgaben kaum zwischen großem Konzern und kleinem Handwerksbetrieb. In kleineren Firmen gibt es weniger Ressourcen, um sich in dieses komplexe Thema einzuarbeiten, das zum Teil mit hohen Kosten und Verwaltungsaufwand verbunden ist. Ggf. müssten Änderungen der internen IT-Struktur und anderer Unternehmensprozesse sowie die Einführung eines Datenschutzmanagementsystems vorgenommen werden, um Daten im Sinne der DSGVO konform zu erheben und zu verarbeiten. Dazu gehört auch die Erstellung eines Verzeichnisses der Verarbeitungstätigkeiten und einer Übersicht der umgesetzten technisch-organisatorischen Maßnahmen (TOM).
Zusätzlich muss das Personal in entsprechenden Schulungen weitergebildet und die Einhaltung der neuen Vorgaben kontrolliert werden. Zahlreiche Unternehmen müssen zudem einen Datenschutzbeauftragten bestellen. Seit kurzem gilt die Pflicht, einen Datenschutzbeauftragten (DSB) zu berufen, erst ab einer Mitarbeiterzahl von 20 Personen. Für Unternehmen, die formal keinen DSB berufen müssen, hebt sich das „Problem Datenschutz“ damit jedoch nicht auf. Die Umsetzungsverantwortung der DSGVO verlagert sich nur gänzlich zurück auf die Führungsebene.
DSGVO grundsätzlich richtungsweisend für umfassenden Datenschutz und bessere Cybersicherheit
Dennoch hat sich das Bewusstsein für Cybersicherheit erhöht. Laut RSM-Umfrage geben 73% der Unternehmen an, durch die Novellierung der DSGVO die Verwaltung ihrer Kundendaten gesetzeskonform zu gestalten und 62% bestätigen ihre Investitionen in Cybersicherheit verstärkt zu haben. Auch die neue Meldepflicht von „Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde“ (Artikel 33 der DSGVO) wird intensiv genutzt, wahrscheinlich auch wegen der Neueinführung einer 72-Stunden-Frist. In diesem Zeitraum muss bei Verdacht auf einen datenschutztechnischen Verstoß das Unternehmen diesen bei der zuständigen Behörde selbst melden. Bis Ende 2018 gab es ca. 12.000 solcher Meldungen deutschlandweit. Wahrscheinlich vor allem wegen der Befürchtung scharfer Sanktionen, die sonst drohen.
Laut Aussage der Behörden werden die Prüfungen zukünftig zunehmen, womit auch das Risiko hoher Bußgelder bei DSGVO-Verstößen realer wird. Ein vollständiger Datenschutz ist somit ein wichtiges Thema im Bereich GRC.
In unserem Seminar Datenschutz und Datensicherheit bekommen Sie einen Einblick in die wichtigsten Asprekte zum Thema DSGVO.
* Die Umfrage wurde vom Wirtschaftsprüfungsunternehmen RSM im Auftrag des European Business Awards im Juli 2019 durchgeführt.