[TinyTimm]

Lascher Umgang mit Daten soll enden

Ab dem 28. Mai wird die EU-Datenschutzgrundverordnung (EU-DSGVO) durchgesetzt. Sie will eines der großen Themen des digitalen Zeitalters anpacken und Verbrauchern wieder mehr Schutz über ihre eigenen Daten geben. Unternehmer müssen künftig wesentlich behutsamer mit Informationen über Kunden umgehen - das führt zu Handlungsbedarf.

Vor allem in größeren Firmen sorgt die EU-DSGVO seit Monaten für rege Betriebsamkeit. Aber nicht nur sie sind betroffen. An die Verordnung müssen sich in Zukunft ausnahmslos alle halten, die Daten von EU-Bürgern speichern oder Zugang dazu haben. Sprich: So gut wie alle Firmen und Institutionen.

Drakonische Strafen sollen dabei verhindern, dass die EU-DSGVO zum zahnlosen Papiertiger wird. Bei Brüchen drohen Bußgelder, die bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes hoch sind. Es gilt der höhere Wert. Damit könnten die Strafen bei Schwergewichten wie Google, Microsoft und Facebook in die Millionen gehen, aber auch für Kleinere erhebliche Ausmaße annehmen.

„Kontrolle über die digitale Identität wiedergeben“

Für den Verbraucher soll die EU-DSGVO die teilweise 20 Jahre alten EU-Vorschriften zum Schutz persönlicher Daten ins digitale Zeitalter verfrachten. Es gelte, den Menschen „die Kontrolle über die digitale Identität“ wiederzugeben, so der Wiener IT-Consultant Sebastian Herget von Data Traction, der Firmen zur Umsetzung der EU-DSGVO berät und sie als Unternehmer auch selbst durchsetzen muss. Er halte die Verordnung deswegen für „ein wichtiges Gesetz und einen Schritt in die richtige Richtung“, so Herget gegenüber ORF.at.

Und tatsächlich verspricht die EU-DSGVO Verbrauchern breite Kontrolle über die eigenen Datenspuren, die tagtäglich online und im echten Leben hinterlassen werden. So soll jeder EU-Bürger von jeder Firma (vom Apotheker um die Ecke bis hin zu Tech-Giganten wie Facebook) die Herausgabe der eigenen Daten verlangen können. Dazu gilt das Recht auf Korrektur und „Vergessenwerden“.

„Terms & Conditions“: Kein schnelles Hakerl mehr

Daten, die nicht mehr für einen konkreten Zweck benötigt werden, müssen künftig automatisch gelöscht werden. Zudem müssen Unternehmer ihre Kunden genau und in klaren Worten darüber informieren, was sie mit den gesammelten Informationen anstellen. Ein schnell gesetztes Hakerl bei den „Terms & Conditions“ soll in Zukunft nicht mehr reichen. Der Kunde muss jeder Datenverwendung explizit zustimmen, wenn sie über die eigentliche Vertragserfüllung hinausgeht.

Auch das Prinzip „Privacy by Design and Default“ soll in Zukunft gelten. Das bedeutet, dass Anwendung automatisch so gestaltet werden müssen, dass sie bereits aus technischer Sicht Rücksichtnahme auf die Privatsphäre der Nutzer nehmen. Damit dürften unter anderem auch versteckt laufende Anwendungen wie Tracker illegal werden, die etwa für genaues Werbeprofiling Daten zum Nutzerverhalten sammeln.

Viele nicht vorbereitet

Auf der anderen Seite der EU-DSGVO stehen Unternehmen, die das neue Regelwerk umsetzen müssen. Viele von ihnen sind nicht darauf vorbereitet - oder wissen nicht einmal davon. Laut einer Umfrage der Allianz Versicherung von November haben 59 Prozent der Befragten noch nichts von der EU-DSGVO gehört. Ein optimistischeres Bild zeichnet eine aktuelle Befragung von Deloitte. Ihr zufolge wissen zwar die meisten befragten Firmen von der EU-DSGVO, allerdings fühlt sich nur die Hälfe gut vorbereitet.

Wenig verwunderlich also, dass sich rund um die EU-DSGVO ein regelrechter Beratungsboom durch Unternehmer und Verbände wie die Wirtschaftskammer Österreich (WKO) entwickelt hat. Denn bei vielen Firmen sorgt die Verordnung sowohl wegen ihrer Komplexität als auch der Strafen für Unruhe.

Ein Hemmnis ist auch die fehlende Basis - bis jetzt mussten sich Unternehmer hierzulande nur wenig Gedanken zum Thema Datenschutz machen. Bei zahlreichen Firmen gelte es laut Herget nun, chaotische Datensammlungen aufzuarbeiten. Das sei zeitintensiv, teuer, aber auch eine Chance. Das sieht auch der Datenschutzjurist Michael M. Pachinger von SCWP Schindhelm so: Die neue Dokumentation ermögliche unglaublich tiefe Einblicke in Unternehmen, wie er in einem Symposium der Plattform Digital Business Trends (DBT) zur EU-DSGVO im September sagte.

Die Devisen für Firmen

IT-Consultant Ines Janusch von Data Traction sieht nun vor allem drei Devisen: Dokumentation, Information und Vorbeugung. So müssen Firmen künftig nicht nur abwägen, wann Datensammeln angemessen ist. Sie müssen genau schriftlich festhalten, was sie mit den Daten ihrer Kunden tun. Diese Aufzeichnungen müssen immer aktuell und der Datenschutzbehörde zugänglich sein. Besonders große Firmen sowie jene, die sensible Daten verarbeiten, brauchen einen eigenen Datenschutzbeauftragten.

Zudem müssen Firmen künftig beweisen müssen, dass sie organisatorisch und technisch Vorkehrungen für die Datensicherheit schaffen. Gerade das dürfte sich im Alltag wohl vielerorts als gar nicht so einfach gestalten. Immer noch sind „123456“ oder „hallo“ beliebte Passwörter. Komplexeres findet sich nach wie vor auf Post-its, die auf Monitoren kleben. Auch Anhänge werden immer noch sorglos geöffnet. Das Bewusstsein für digitale Sicherheit wächst zwar, im Gros ist es aber nach wie vor gering.

Auch bei dem falschen Raketenalarm in Hawaii vor einigen Wochen fand sich ein Passwort im Netz

Jeder einzelner Mitarbeiter verantwortlich

Genau deswegen sei die Sensibilisierung und Schulung von Mitarbeitern mindestens so wichtig wie die Dokumentation, so Janusch - denn jede einzelne Person in der gesamten Firmenhierarchie kann die Datensicherheit brechen und für einen potenziell teuren Verstoß der EU-DSGVO sorgen.

Die Bedrohungen sind im Übrigen keinesfalls nur digital. Sei es ein im Taxi vergessener Laptop mit Kundendaten, sei es das verlorene Klemmbrett eines Unterschriftensammlers mit E-Mail-Adressen von Unterzeichnern: In allen Fällen handelt es sich um Verletzungen des Datenschutzrechts. Diese müssen künftig binnen 72 Stunden der Datenschutzbehörde gemeldet werden, wenn ein Risiko für jene Personen besteht, deren Daten offengelegt wurden. „Bei Datenvorfällen geht es ja nicht nur um die Strafen, damit ist auch ein Reputationsverlust verbunden. Deshalb muss man rechtzeitig vorsorgen“, so Judith Leschanz von A1 bei dem DBT-Symposium.

Alles noch offen

Wie drakonisch die Bestrafungen bei Brüchen der EU-DSGVO tatsächlich ausfallen wird und wie der Modus Operandi bei Prüfungen sei, können Experten derzeit noch nicht einschätzen. Das werde man erst erfahren, sobald die ersten Fälle bei der Datenschutzbehörde und vor den Gerichten landen. Herget rechnet damit, dass Ersteres frühesten 2019 der Fall sein wird.

Fakt ist aber: Die Strafhöhe wurde so angesetzt, dass sie auch große Konzerne empfindlich treffen würde. Es gehe dabei laut Herget vor allem um eine „schmerzhafte Bewusstseinsschaffung“. Er hofft, dass der Umgang mit Daten durch die EU-DSGVO auf lange Sicht wesentlich sensibler wird. Es brauche „das Bewusstsein, dass alles, was digital ist, auch schützenswert ist“.

NGO schielt auf EU-DSGVO

Dieser Meinung ist wohl auch der Jurist Max Schrems. Seine Datenschutz-NGO noyb („none of your business“) erreichte vor Kurzem die Mindestfinanzierung und will nun das „beste Datenschutzgesetz der Welt“ verwirklichen. Konkret will noyb Nutzern dabei helfen, ihre Rechte bei Verstößen gegen die EU-DSGVO durch Unternehmen durchzusetzen - auch vor Gericht, und das vor allem auf europäischer Ebene.
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

Wie groß der Einfluss der EU-DSGVO auf Datensammler wie Google, Facebook, Amazon und Apple tatsächlich sein wird, ist derzeit nicht abzuschätzen. Theoretisch sind die Firmen künftig zu weitreichender Transparenz bei dem Umgang mit Daten verpflichtet - auch, was die plattformübergreifende Nutzung (beispielsweise im Dreieck Facebook, Instagram und WhatsApp) angeht. Ein wenig Bewegung ist aber schon sichtbar: Facebook kündigte zuletzt eine Datenschutzinitiative, unter anderem mit einem „Privatsphäre-Center“ an - mehr dazu in help.ORF.at.
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

„Größter Fallstrick, nichts zu tun“

Auch im kleineren Rahmen gibt es für die praktische Anwendung des Gesetzes noch viele offene Fragen. Der Text lässt zahlreiche Interpretationsspielräum offen, zudem dürfte die Umsetzung im Alltag weitere Graubereiche zutage treten lassen. Die Unsicherheiten reichen dabei von Kategorisierungsfragen bis hin zu praktisch-technischen Aspekten. Ungeachtet dessen gelte es laut Herget und Janusch derzeit, sich vorzubereiten. Für Unternehmen sei derzeit der größte „Fallstrick, nichts zu tun“.

Quelle: [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

[ZeroXG]

Ja klasse...

kennt jemand von euch ein tool welches die den FB conversion pixel erst aktiviert, nachdem der nutzer dies aktiv bestätigt hat? Die Chance für jeden der einigermaßen programmieren kann

[DJKuhpisse]

Mal sehen was draus wird.
Ich vermute dass sich an der Datensammelei nichts ändern wird.