Blindes Vertrauen in Microsoft und Co.? – Warum viele deutsche Unternehmen mehr Wert auf DSGVO-Konformität legen sollten
Datensicherheit in der amerikanischen Wolke
Laut einer Studie von Capgemini glaubten ein Jahr nach Inkrafttreten der Datenschutz-Grundverordnung nur 28 Prozent der Unternehmen DSGVO-konform zu sein – im Jahr zuvor waren es noch rund 78 Prozent. Firmen vertrauen trotz zahlreicher Warnungen auf Anbieter aus dem US-amerikanischen Raum. Im Jahr 2016 wurde das sogenannte Privacy Shield Abkommen zwischen EU und USA geschlossen, welches den Datentransfer eines europäischen Unternehmens in die USA erlaubte. Im Juni 2020 wurde dieses Abkommen jedoch vom europäischen Gerichtshof gekippt und für nichtig erklärt. Ein Grund: Die amerikanischen Behörden haben durch den dort geltenden Patriot Act jederzeit das Recht, alle Daten einzusehen – egal wie sensibel diese sind – und selbst dann, wenn die Server in der EU stehen. Daraufhin ging ein lauter Aufschrei durch die europäische Unternehmerwelt und zwang viele zum Umdenken – und das musste schnell gehen.
Wenn Daten zum Verhängnis werden
Im Jahr 2019 sah sich die britische Fluggesellschaft British Airways mit einer Bußgeldstrafe von 22 Millionen Euro konfrontiert, nachdem im Jahr zuvor Hacker an unzählige personenbezogene Daten wie Kreditkartennummern, Adressen oder Namen gekommen waren. Die Kundendaten von British Airways waren laut den Behörden nicht ausreichend geschützt, weshalb eine Geldstrafe verhängt wurde.
Das Beispiel zeigt, wie wichtig es für Unternehmen ist, langfristig in eigene Sicherheitssysteme zu investieren. Denn jede noch so kleine Sicherheitslücke im Unternehmen kann bereits erheblichen Schaden anrichten, doch das beschränkt sich nicht nur auf die technische Seite. So ging es 1&1 – denn gegen das Telekommunikationsunternehmen aus Deutschland wurde eine Geldstrafe von rund 900.000 Euro verhängt. Der Grund: Nicht ausreichend geschützte Daten, denn Mitarbeiter des Unternehmens hatten sensible und persönliche Daten an unbefugte Dritte weitergegeben. Daraufhin legte der Betroffene Einspruch und zog gegen 1&1 und deren Datenschutzbeauftrage vor Gericht – mit Erfolg.
Doch Hacker und Einzelbeschwerden sind nicht die einzigen Gefahren. Das Beispiel des Einsatzes von Mircosoft Teams an Schulen im Zuge des Homeschoolings zeigt sehr greifbar, wie einschneidend mangelnder Datenschutz sein kann. Sind personenbezogene Daten einmal von Dritten verarbeitet worden, sind sie permanent in deren Händen. Junge Schülerinnen und Schüler, können nicht absehen, ob sie in ihrem Leben politische, wirtschaftliche oder private Person von Interesse sein werden und erfasste Daten ihnen zukünftig schaden könnten. Es ist eine Black Box, die analog auf Kundinnen und Kunden, Geschäftspartnerinnen und Geschäftspartner sowie Mitarbeiterinnen und Mitarbeiter eines jeden Unternehmens anzuwenden ist.
Tipps für die eigene DSGVO-Konformität
Dass das Thema DSGVO auch die Innovationskraft eines Unternehmens einbremsen kann, zeigt eine Umfrage von Bitkom. Laut Bitkom, dem Verband für Informationswirtschaft, Telekommunikation und neue Medien, verzichtet jedes zweite Unternehmen auf neue Projekte im Bereich der Entwicklung und Innovation im eigenen Unternehmen, aus Angst, Fehler bei der DSGVO-konformen Einhaltung des Datenschutzes zu machen.
Doch Verstöße gegen die DSGVO lassen sich gut vermeiden, denn oftmals braucht es nur einen guten Cloud-Anbieter aus dem europäischen Raum – und davon gibt es einige. Ebenfalls zahlt sich die Einstellung eines oder einer Datenschutzbeauftragten aus. Ab einer Unternehmensgröße von 20 Mitarbeitenden ist dies sogar Pflicht. Dieser überwacht Vorgänge im Unternehmen und prüft die Einhaltung der DSGVO-Richtlinien. Dabei muss die oder der Datenschutzbeauftragte keineswegs einer der eigenen Mitarbeitenden sein, viele Firmen wählen hierfür eine externe Person. Ebenso bieten mittlerweile viele Unternehmen DSGVO-konforme Beratungen an. Außerdem lohnt es sich bei eigenen Cloud-, Server- oder Rechenzentrums-Anbieter etwas genauer nachzuhaken und sich über die Datenschutz-Konformität zu informieren.
Egal ob großer Konzern oder kleines mittelständisches Unternehmen: Es lohnt sich gesamtwirtschaftlich, für das eigene Unternehmens-Konto und vor allem für den Schutz des Einzelnen, die eigene Datenschutz-Sensibilität zu schärfen und die DSGVO umzusetzen. Die Herausforderung, ohne US-Anbieter zu bestehen ist kleiner als man denkt – europäische Anbieter machen ihren Job nämlich ebenfalls sehr gut.
