Foto: BeeBright - shutterstock.com
Hinter dem Begriff Europäische Datenschutzgrundverordnung verbergen sich erhebliche Konsequenzen für deutsche Unternehmen. Ein Webinar der Computerwoche informiert über die schon jetzt nötigen Schritte. Im Mai 2018 tritt die Novelle in Kraft. Ziel der Reform ist es, europaweit einheitliche Rahmenbedingungen zu schaffen. Unternehmen, die sich nicht daran halten, sollen bis zu vier Prozent ihres globalen Jahresumsatzes Strafe zahlen müssen.
Thomas Hafen von der Computerwoche spricht mit Jan-Peter Ohrtmann, Leiter IP/IT Recht bei PwC Legal, über die Inhalte der Datenschutznovelle und deren Auswirkungen. Er führt aus, welche Risiken Entscheider eingehen, falls sie die Daten nicht effektiv schützen.
Zunächst einmal will Hafen aber von den Besuchern des Webinars wissen, inwieweit sie sich schon mit der Thematik auseinandergesetzt haben. Eine spontane Umfrage zeigt, dass 60 Prozent bisher "nur" die Berichterstattung verfolgt haben. Immerhin 17 Prozent diskutieren die neue Verordnung bereits mit der Rechtsabteilung, weitere sieben Prozent haben schon erste Maßnahmen definiert.
PwC-Manager Ohrtmann unterteilt das neue Regelwerk in zwei Komponenten. Da sind zum einen verfahrensspezifische Anforderungen, die sich beispielsweise auf Bewerbungsverfahren oder die Pay-Roll beziehen, und zum anderen übergreifende Anforderungen wie etwa den Umgang mit Datenschutzvorfällen.
"Wie identifiziere ich Minderjährige im Onlineumfeld?"
Eine der vielleicht prominentesten Neuregelungen betrifft den Umgang mit Daten von Minderjährigen. "Das heißt für Unternehmen: wie identifiziere ich Minderjährige im Fernabsatz- und Onlineumfeld?", erklärt Ohrtmann. Müssen Unternehmen bei jeglichen Daten identifizieren, ob sie es mit Erwachsenen zu tun haben?
Ein Punkt, der insbesondere IT-Chefs angeht, ist der Umgang mit IT-Dienstleistern. Bei der Einbindung von Dritten haben wir in Deutschland eine Privilegierung, die sogenannte Auftragsdatenverarbeitung, führt Ohrtmann aus. Nun sei fraglich, ob dieses Verständnis gleichermaßen fort gilt. Denn in der Datenschutzgrundverordnung sei das nicht explizit geregelt.
"Leider auch nicht klar geregelt ist der konzerninterne Datentransfer", so der Experte weiter. Nach der deutschen Auffassung gibt es kein Konzernprivileg. "Also die simple Tatsache, dass zwei Unternehmen zum selben Konzern gehören, berechtigt noch nicht, Daten auszutauschen", erklärt Ohrtmann, "da müssen wir leider nach wie vor mit einer gewissen Unschärfe leben."
PwC empfiehlt ein Vorgehen in vier Phasen
Doch das Webinar bleibt nicht in der Theorie und so hat Ohrtmann praktische Tipps für Entscheider parat. Er identifiziert vier Phasen, nach denen Unternehmen jetzt vorgehen müssen. In der ersten Phase müssen die Anforderungen der Verordnung für das eigene Unternehmen definiert und bewertet werden. In Phase zwei erfolgt die Bestandsaufnahme: Mittels strukturierter Fragebögen, Interviews oder Workshops werden alle Prozesse unter die Lupe genommen. In Phase drei erfolgen Gap-Analyse und die Planung der Maßnahmen, die in Phase vier umgesetzt werden.
Aufgabe des Projekt-Managements ist es, im Kick-Off den Projektplan zu erstellen und Rollen sowie Aufgaben festzulegen. Außerdem halten die Projektmanager die Kommunikation am Laufen und dokumentieren das Vorhaben.
Moderator Hafen fragt die Webcast-Nutzer nach ihrer Einschätzung der Kosten für das Ganze. Fazit: eine Mehrheit von rund zwei Dritteln hat sich über diesen Punkt noch gar nicht den Kopf zerbrochen. Weitere 23 Prozent erwarten nicht, dass die Kosten die Hunderttausend-Euro-Grenze sprengen.
Das Webinar bildet den Auftakt zu einer dreiteiligen Reihe über die Datenschutzgrundverordnung, der nächste Teil wird am 15. März ausgestrahlt. Weitere Gesprächspartner werden Experten von Hewlett Packard Enterprise (HPE) sein.