War das Geschrei davor gerechtfertigt? Zwischen 25. Mai und 31. Dezember 2018 wurden 59 Verfahren eingeleitet. © Jason Rosewell - Unsplash
Eine Bestandsaufnahme nach Inkrafttreten der EU-DSGVO
Trotz des großen Rummels im Vorfeld ist es in Österreich in Sachen Datenschutz bislang relativ „windstill“ geblieben. Ist das die Ruhe vor dem Sturm?
Die Europäische Datenschutzgrundverordnung (EU-DSGVO) hat ihren – kräftigen – Beitrag zum Rauschen im Blätterwald der Medienlandschaft geleistet. Besonders in den Monaten vor ihrem Inkrafttreten im Mai 2018, aber auch danach. Zur Illustration: Laut der Europäischen Kommission war die Medienpräsenz der EU-DSGVO im Jahr 2018 dreimal so hoch wie jene von Facebook-Gründer Mark Zuckerberg. So mancher B-Promi würde dafür morden – oder zumindest einen Känguru-Hoden verspeisen.
Mittlerweile ist es medial etwas ruhiger in dieser Angelegenheit – der DSGVO wohlgemerkt – geworden. In Österreich fiel der befürchtete ganz große Run auf die Datenschutzbehörde bisher aus. Seit dem 25. Mai 2018 sind laut dem Newsletter 1/2019 der Datenschutzbehörde insgesamt 59 neue Verwaltungsstrafverfahren eingeleitet worden (Stichtag: 31.12.2018). Der Großteil beschäftigt sich jedoch mit Videoüberwachungsanlagen. Es gab 721 Beschwerden, signifikant mehr als 2017 mit 489, sowie 252 Meldungen zur Verletzung des Schutzes personenbezogener Daten. Im Vergleich dazu Deutschland: Eine Umfrage der „Welt am Sonntag“ ergab bereits im Juni 2018, dass die dortigen Datenschutzbeauftragten nach der DSGVO-Einführung bis zu zehnmal mehr Hinweise auf Datenschutzverstöße in Unternehmen erhielten als zuvor.
Aufregung weicht Pragmatismus
Seit ihrem Inkrafttreten hat sich in heimischen Unternehmen aber auf jeden Fall einiges getan. Deloitte hat zum Jahreswechsel den Status quo der Umsetzung erfragt und dabei festgestellt: Nach der anfänglichen Aufregung überwiegt nun der Pragmatismus. Die Umsetzung ist bei den meisten Unternehmen zwar bereits fortgeschritten, vollständig abgeschlossen haben sie aber nur die wenigsten. 2019 stehen vor allem Prävention und Weiterbildung im Fokus.
„Die Umsetzung der EU-DSGVO gestaltet sich für die heimischen Unternehmen anstrengend und komplex, aber die Mehrheit hat die Anfangsschwierigkeiten gut gemeistert. Zwar hat nur ein Viertel die Verordnung bereits vollständig umgesetzt, fast zwei Drittel befinden sich aber auf einem guten Weg“, berichtet Andreas Niederbacher, Senior Manager bei Deloitte Österreich. Zwölf Prozent der Umfrageteilnehmer stehen jedoch selbst nach mehr als einem halben Jahr noch am Anfang.
Gerade den kleineren Betrieben fällt die Umstellung schwerer. Benigna Prochaska, die als Geschäftsführerin die gerade für Klein- und Mittelbetriebe entwickelte Datenschutzmanagement-Software Intervalid auf den Markt gebracht hat, hat beobachtet: „Je weniger Mitarbeiter in einem Unternehmen tätig sind, desto geringer ist der Erfüllungsgrad der DSGVO-Anforderungen. Aktuell werden technische und organisatorische Maßnahmen umgesetzt, um die geforderte Datensicherheit zu gewährleisten. Dazu müssen mögliche Risiken identifiziert und unternehmensweite Prozesse für die Behebung von Schwachstellen eingeführt werden. So können Unternehmen gegenüber Ihren Kunden, Partnern und Mitarbeitern eine datenschutzkonforme Umsetzung darstellen – ein Faktor, der immer wichtiger wird und einen klaren Marktvorteil bietet.“
Der Anfang ist geschafft
Die EU-DSGVO brachte etliche Herausforderungen mit sich. So beschreiben Deloitte zufolge die Befragten vor allem die rechtliche Auslegung und die Umsetzung von Löschfristen als sehr herausfordernd. Die Einführung einer Datenschutzorganisation sorgte hingegen für weniger Probleme, und auch die Einhaltung des Budgets fiel der großen Mehrheit leicht.
„Die Umfrageergebnisse zeigen, wie flexibel die heimischen Unternehmen mittlerweile sind. Die Anpassung an neue rechtliche Anforderungen, das Einführen neuer Rollen und Prozesse sowie die Kalkulation stellen keine großen Hürden dar. In erster Linie sind es rechtliche Unklarheiten bei der EU-DSGVO, die bei vielen zu Verunsicherung führen“, erklärt Niederbacher.
Nachdem die ersten Anstrengungen geschafft sind, fokussieren sich die meisten befragten Unternehmen laut der Umfrage jetzt auf Prozessoptimierungen und Prävention. Dabei steht die Verbesserung des Löschkonzepts mit 51 Prozent auf Platz eins der Neujahrsvorsätze zum Thema Datenschutz. Der verstärkte Einsatz von entsprechenden Awareness-Maßnahmen sowie die Evaluierung des Verzeichnisses von Verarbeitungstätigkeiten liegen gemeinsam auf Platz zwei. Gezielte Mitarbeiterschulungen befinden sich auf Platz drei der Datenschutzvorhaben für 2019.
„Viele haben das Verzeichnis von Verarbeitungstätigkeiten mittels Excel oder einer vergleichbaren Lösung angelegt, um zum Stichtag rechtzeitig fertig zu sein. Heute stoßen Unternehmen damit an ihre Grenzen, da es schwierig ist, so die Aktualität und laufende Pflege dezentral, standort- und länderübergreifend effizient zu bewältigen. Die Nachfrage nach einer strukturierten Softwarelösung, mit der der komplette DSGVO-Prozess schrittweise abgearbeitet und Mitarbeiter standortunabhängig aktiv eingebunden werden können, ist gerade in diesem Bereich in letzter Zeit stark gestiegen“, berichtet Intervalid-Chefin Prochaska in diesem Zusammenhang.
Nicht auf Lorbeeren ausruhen
Laut Deloitte-Umfrage verzeichneten die Unternehmen vor der Einführung der EU-DSGVO nur sehr selten Anfragen in Bezug auf Auskunft und Löschung. Daran hat sich nach dem 25. Mai 2018 nur wenig geändert. In Zukunft sind jedoch den Analytikern zufolge nicht nur zusätzliche Anfragen, sondern auch zunehmende Kontrollen sowie eine intensivere Kommunikation mit den zuständigen Behörden zu erwarten.
Zu diesem Zweck ist bei fast drei Viertel der Studienteilnehmer ein Datenschutzbeauftragter im Einsatz. Gerade bei rechtlichen oder technischen Fragen empfiehlt es sich, externe Experten miteinzubeziehen. 60 Prozent der Befragten haben sich bereits Unterstützung von außen geholt. „Das neue Jahr bringt auch neue Herausforderungen mit sich. Durch fehlende Rechtsprechungen und damit verbundene Unsicherheiten ist in Zukunft mit zusätzlichen Maßnahmen und Adaptierungen zu rechnen. Durch eine umfassende Absicherung können die österreichischen Unternehmen den guten Weg beim Thema Datenschutz weitergehen“, so Andreas Niederbacher. Auf ihren Lorbeeren ausruhen dürfen sie sich aber trotzdem nicht, so die Datenschutzexpertin Prochaska: „Datenschutz ist kein einmaliges Projekt, sondern vielmehr ein Prozess, der ständig überprüft, angepasst und gelebt werden muss.“ Damit muss man sich leider anfreunden. (RF)
www.intervalid.com
www.deloitte.com