Da sich die Industrieländer allmählich von der Pandemie erholen, geben immer mehr Unternehmen bekannt, dass sie ihren Betrieb wieder aufnehmen. Das wirft folgende Fragen auf: Sind die Aufsichtsbehörden ebenfalls bereit für das Geschäft? Sind sie jemals verschwunden?
Nun, genau wie viele andere Unternehmen auch haben die Aufsichtsbehörden und Kontrollinstanzen auf Homeoffice umgestellt und ihre Vorgehensweisen angepasst, aber sie sind nicht verschwunden.
Angesichts der durch COVID-19 verursachten Umwälzungen und der damit verbundenen Herausforderungen für die Wirtschaft wäre vielleicht folgende Frage angebracht: Haben die Aufsichtsbehörden einige Vorschriften gelockert, um den Unternehmen in der Pandemie etwas Luft zu verschaffen?
Nehmen Sie beispielsweise die Datenschutz-Grundverordnung der Europäischen Union (), die vor drei Jahren in Kraft getreten ist. Das Gesetz, das darauf abzielt, die Übermittlung personenbezogener Daten außerhalb der EU und des Europäischen Wirtschaftsraums zu regeln und den Betroffenen die Kontrolle über ihre eigenen Daten zu gewähren, hat für jedes Unternehmen, das personenbezogene Daten verwaltet und mit den 27 Mitgliedstaaten der EU Geschäfte tätigt, eine tiefgreifende Veränderung mit sich gebracht.
Die Rechtsvorschrift ebnete den EU-Mitgliedstaaten den Weg, bei Datenschutzverletzungen Geldbußen in Höhe von bis zu 4 % des Jahresumsatzes gegen Unternehmen zu verhängen.
Angesichts der Gefahr enormer Strafen investierten Unternehmen im Vorfeld des Inkrafttretens der DSGVO unglaubliche Mengen an Ressourcen in die Einhaltung der Vorschriften. Fast acht von 10 US-Unternehmen ergriffen Maßnahmen, um sich auf die Vorschriften vorzubereiten, wobei 27 % mehr als eine halbe Million Dollar ausgaben, um die Anforderungen zu erfüllen, wie aus LegalJobs, , einer Rekrutierungsplattform für Juristen, hervorgeht.
Heißes Thema
Als sich die Pandemie im vergangenen Jahr ausbreitete, erkannten die Aufsichtsbehörden laut Omer Tene , Vizepräsident und Chief Knowledge Officer bei der International Association of Privacy Professionals (IAPP), wie auf beschrieben, die besonderen Umstände, mit denen Unternehmen konfrontiert waren, als Lieferketten unterbrochen wurden, Geschäftsbeziehungen auf den Kopf gestellt wurden und ganze Belegschaften auf Homeoffice umstellten. Doch da die Unternehmen nun wieder zum normalen Betrieb zurückkehren, ist zu erwarten, dass die Datenschutzbehörden „einen Gang höher schalten und die Durchsetzungsverfahren beschleunigen werden, auch in besonders brisanten Bereichen wie Ad-Tech und globalen Datenübermittlungen“, so Tene.
„Wir verfolgen die Höhe der Bußgelder und haben tatsächlich einen Trend zu höheren Strafen festgestellt.“Hilary Wandall, Senior Vice President für Datenschutzanalysen und Leiterin der Rechtsabteilung bei TrustArc
Selbstverständlich wird keine Aufsichtsbehörde zugeben, dass die Vorschriften und deren Einhaltung während der Pandemie gelockert wurden. Das britische Amt des Informationsbeauftragten (Information Commissioner’s Office, ) erklärte seinerseits, es werde in seinem Vorgehen „flexibel“ sein und sich in seinem unter 4. Juni 2021 veröffentlichten Regulierungsansatz auf „die schwerwiegendsten Risiken und größten Gefahren für die Öffentlichkeit“ konzentrieren. Im vergangenen Monat erklärte Dominic Cummings, der umstrittene ehemalige Chefberater von Premierminister Boris Johnson, in einer Anhörung des Ausschusses für die Aufdeckung von Unregelmäßigkeiten ( ) , er habe die Behörden angewiesen, die EU-Datenschutzgesetze zu ignorieren, um die Koordinierung der britischen Maßnahmen zur Bekämpfung der Pandemie zu unterstützen.pa
Hilary Wandall, Senior Vice President für Datenschutzanalysen und Leiterin der Rechtsabteilung bei TrustArc, einem Beratungsunternehmen für Informationsmanagement und Datensicherheit, erklärt, dass zwar der Eindruck bestehen mag, die Durchsetzung der DSGVO habe sich im Allgemeinen verlangsamt, tatsächlich jedoch mehr Bußgelder verhängt werden.
„Wir verfolgen die Höhe der Bußgelder und haben tatsächlich einen Trend zu höheren Strafen festgestellt“, sagt Wandall.
Sie verweist auf die Geldbuße in Höhe von 6 Millionen Euro , die die spanische Datenschutzbehörde (AEPD) Anfang dieses Jahres gegen die CaixaBank verhängt hat, da diese personenbezogene Daten nicht rechtmäßig verarbeitet und ihren Kunden keine angemessenen Informationen über ihre Datenschutzrichtlinien zur Verfügung gestellt hatte. Im Monat zuvor hatte die AEPD in der Rechtssache „ Dezember 2020“ gegen eine weitere spanische Bank, die BBVA, wegen Verstößen gegen die DSGVO eine Geldbuße in Höhe von 5 Millionen Euro verhängt.
Trotz der Pandemie sollten Unternehmen wachsam sein und sich auf eine strengere Überprüfung sowie möglicherweise hohe Strafen einstellen, sagt Rene Bentvelzen, globaler Datenschutzbeauftragter bei dem in den Niederlanden ansässigen Unternehmen Unit4, das Unternehmensanwendungen für professionelle Dienstleistungen anbietet und mit Inkrafttreten der DSGVO eine Initiative zur Einhaltung der Vorschriften und zur Sensibilisierung ins Leben gerufen hat.
Er erklärt zudem, dass es bei der DSGVO um mehr gehe als nur darum, erdrückende Geldbußen zu vermeiden, und dass die Einhaltung der Vorschriften „einfach gute Geschäftspraxis und gut für das Ansehen“ sei.
Der Zorn der Aufsichtsbehörde
Es gibt eine Reihe von Maßnahmen, die Unternehmen ergreifen können, um die Anforderungen der DSGVO zu erfüllen und so den Zorn der Aufsichtsbehörden zu vermeiden. Ein guter Anfang ist es, zu klären, welche Vorschriften gelten, sagt Wandall. Unternehmen müssen prüfen, in welchem Zusammenhang die Vorschriften zueinander stehen, und anschließend einen programmatischen Ansatz entwickeln.
Wandall empfiehlt die Verwendung einer Rahmenstruktur zur Untermauerung der Unternehmensführung. „Man braucht Fachleute, die die rechtlichen Anforderungen verstehen, aber auch die Ingenieure, die die Softwarelösungen entwickeln, müssen wissen, wie man Datenschutz von Anfang an einbaut“, sagt er. „Es kommt ganz darauf an, wie Sie Daten so verwalten, dass ein optimaler Nutzen erzielt wird, und wie Sie mit den Risiken umgehen.“
„Es kommt ganz darauf an, wie Sie Daten so verwalten, dass ein optimaler Nutzen erzielt wird, und wie Sie mit den Risiken umgehen.“
Brian Spanswick, Chief Information Security Officer und IT-Leiter bei Cohesity, einem Datenberatungsunternehmen, betont, dass es in Bezug auf die Einhaltung der DSGVO nichts Neues unter der Sonne gibt. Unternehmen können den Datenschutz und die Transparenz verbessern, indem sie vertrauliche Daten sowohl während der Übertragung als auch im Ruhezustand verschlüsseln, Möglichkeiten einschränken oder ganz unterbinden, die es Benutzern ermöglichen, vertrauliche Daten auf private Endgeräte herunterzuladen, und beim Zugriff auf vertrauliche Daten sichere Netzwerke mit virtuellen privaten Netzwerken (VPNs) nutzen.
„Die Menschen müssen sich bewusst machen, dass diese Datenschutzmaßnahmen aus gutem Grund an Bedeutung gewinnen, und zwar nicht nur, um die Vorschriften einzuhalten“, sagt Spanswick. „Es geht auch darum, verantwortungsvoll mit den Daten unserer Kunden und Partner umzugehen.“
Um dies zu erreichen, müssen Unternehmen den Angreifern immer einen Schritt voraus sein, die darauf aus sind, Schwachstellen und Fehlkonfigurationen an Endgeräten und in Netzwerken auszunutzen. Der Einsatz einer geeigneten Plattform für das Sicherheitskonfigurationsmanagement , die Echtzeitdaten und Tools zur Fehlerbehebung bereitstellt, kann CISOs und IT-Leitern dabei helfen, nicht nur die IT-Sicherheit zu verbessern, sondern auch nahezu sofortigen Überblick über Zehntausende von Endgeräten in ihren Netzwerken zu gewinnen.
„“ Es geht nicht nur um die Einhaltung der Vorschriften. Es geht auch darum, verantwortungsvoll mit den Daten unserer Kunden und Partner umzugehen.”Brian Spanswick, Chief Information Security Officer und Leiter der IT-Abteilung bei Cohesity
Diese Plattformen bieten zudem Kennzahlen für wichtige Berichte und Compliance-Prüfungen in Echtzeit, was die Sicherheit und Produktivität erhöht, da die Mitarbeiter Daten aus verschiedenen Tools nicht mehr manuell zusammenstellen müssen. Dies vereinfacht den Arbeitsablauf, verhindert eine unübersichtliche Vielzahl von „ “-Tools und bündelt die Compliance-Daten an einem Ort.
Viele Kommentatoren sind sich einig, dass Unternehmen nach dem Ende der COVID-19-Krise versucht sein werden, die DSGVO und andere Datenschutzvorschriften zu ignorieren, und dass es Aufgabe ihrer Rechts- und Sicherheitsberater ist, ihnen die damit verbundenen Gefahren deutlich zu machen.
„Es ist sehr gut möglich, dass die Einhaltung der DSGVO für einige Unternehmen an Bedeutung verloren hat“, sagt Oliver Cronk, Chefarchitekt für die EMEA-Region bei Tanium. „Ich gehe davon aus, dass es zu einigen Versäumnissen kommen könnte, die in den nächsten ein bis zwei Jahren zu hohen Bußgeldern gemäß der DSGVO führen werden.“
