Zwei Jahre DatenschutzgrundverordnungKlare Ansagen der Datenschützer gefordert
2. Juni 2020
Am 25. Mai 2020 hat die Datenschutzgrundverordnung (DSGVO) ihren zweiten Geburtstag gefeiert. Doch leider fehlen – so Experten – immer noch klare Ansagen der obersten Datenschützer.
„Die Einführung der DSGVO hat die Verantwortlichen zweifellos viele Nerven gekostet. Aber sie hat auch etwas äußerst Erfreuliches bewirkt: nämlich das allgemeine Problembewusstsein für den Datenschutz geschärft“, erklärt ownCloud-CEO Tobias Gerlinger. „Und dass sie grundsätzlich ein Erfolgsmodell ist, zeigt nicht zuletzt die Tatsache, dass sie inzwischen weltweit viele Nachahmer gefunden hat. Australien, Brasilien, Südkorea, Thailand und sogar US-Staaten wie Kalifornien nehmen sich bei ihren Datenschutzgesetzen die DSGVO zum Vorbild.“
In der Praxis sieht Gerlinger allerdings noch einige große Herausforderungen und ungelöste Probleme. So sind insbesondere viele beliebte und gängige SaaS-Plattformen nicht „by default“, also in ihrem Auslieferungszustand, mit der DSGVO konform. Dazu müssen sie erst aufwändig umkonfiguriert werden.
So hat etwa der hessische Beauftragte für Datenschutz und Informationsfreiheit erklärt, dass Office 365 in hessischen Schulen nur eingesetzt werden darf, wenn die Übermittlung jedweder Art von Diagnosedaten an Microsoft unterbunden wird. Das führe, so Gerlinger, nicht nur zu einem enormen Aufwand, denn im Prinzip müsse jedes Update neu auf DSGVO-Konformität geprüft und gegebenenfalls neu konfiguriert werden. Das Ergebnis bringe auch eine große Rechtsunsicherheit, weil die Unternehmen oder Behörden ständig Gefahr laufen, gegen die DSGVO zu verstoßen.
Konflikt mit ausländischen Regelungen
Nach wie vor ungelöst ist auch der Konflikt zwischen der DSGVO und dem US Cloud Act, dem die Cloud-Dienste von amerikanischen Anbietern unterliegen. Viele Experten sind der Meinung, dass bei solchen Diensten wegen der Zugriffsmöglichkeiten der US-Regierung nur bestimmte Daten gespeichert werden dürfen; andere gehen noch einen Schritt weiter und vertreten die Ansicht, dass sich DSGVO und US Cloud Act ganz grundsätzlich gegenseitig ausschließen.
Nutzen Unternehmen amerikanische Cloud-Dienste, bewegen sie sich permanent in einem Graubereich. Deshalb fordert Gerlinger: „Wir brauche endlich klare Ansagen von unseren obersten Datenschützern, welche Plattformen für welche Daten genutzt werden dürfen und welche eben nicht – ganz so, wie es der Bundesbeauftragte für Datenschutz und Informationsfreiheit getan hat, als er den Einsatz von WhatsApp in Bundesbehörden untersagte. Ohne eindeutige Leitlinien ist es für Unternehmen schwierig, die DSGVO konsequent einzuhalten.“
Eine weitere große Herausforderung stellt laut Gerlinger weiterhin die fristgerechte Löschung personenbezogener Daten dar. Sie findet seiner Erfahrung nach in der Praxis immer noch viel zu selten statt. Das liegt zum einen daran, dass es oft an einer entsprechenden Kategorisierung der Daten fehlt. Zum anderen mangele es aber auch häufig an einer geeigneten Software-Unterstützung für das automatisierte Löschen.
„Unternehmen benötigen hierfür Tools wie ein File Lifecycle Management, mit denen sich Archivierung und Löschung jeder einzelnen Datei mit Hilfe von Richtlinien automatisieren lässt“, fasst Gerlinger die Situation zusammen. „Eine solche Lösung ermöglicht es Unternehmen, die DSGVO-Regelungen zur Aufbewahrung von Dateien mit personenbezogenen Daten unkompliziert und zuverlässig umzusetzen und empfindliche Strafen zu vermeiden.“ (rhh)
