Wie gehen Unternehmen mit unseren Daten um?

Zum heutigen Europäischen Datenschutztag legt der Eco – Verband der Internetwirtschaft eine repräsentative Umfrage zum Auskunftsrecht vor, das in der europäischen Datenschutzgrundverordnung festgelegt ist.

Am 28 Januar 1981 legte der Europarat den Vertrag 108 „zum Schutz der Menschen bei der automatischen Verarbeitung personenbezogener Daten“ auf. Dieses in der Folgezeit von vielen Staaten unterschriebene Übereinkommen gilt seitdem als wichtiger völkerrechtlich verbindlicher Vertrag zum Schutz eines jeden Einzelnen vor Missbrauch bei der elektronischen Verarbeitung personenbezogener Daten. Insbesondere verbietet es die Verarbeitung sensibler Daten wie der politischen Anschauung, Gesundheit, Religion, Sexualleben, Vorstrafen usw., sofern das innerstaatliche Recht keinen geeigneten Schutz gewährleistet. In dem Übereinkommen wird auch die grenzüberschreitende Übermittlung personenbezogener Daten geregelt.

Der 28. Januar ist also ein wichtiges Datum, wenn es um Fragen des Datenschutzes geht. Deswegen hat der Europarat 2006 den 28. Januar zum europäischen Tag des Datenschutzes ausgerufen; seit 2007 wird er jährlich begangen. Ein Beispiel, das auch international Schule machte, denn am 26. Januar 2009 wurde in den USA vom Repräsentantenhaus der 28. Januar als „Data Privacy Day“ ausgerufen, der seitdem in den USA und Kanada parallel zum Europäischen Datenschutztag gilt.

Umfrage zum Auskunftsrecht laut DSGVO

Heute nun findet dieser Tag erstmals im neuen Jahrzehnt statt und im Jahr zwei nach Einführung der europäischen Datenschutzgrundverordnung (DSGVO), die gleichfalls eine gewisse internationale Strahlkraft für sich beanspruchen kann. Aus Anlass des heutigen Datums hat der Eco – Verband der Internetwirtschaft gemeinsam mit dem Meinungsforschungsinstitut Civey in der vergangenen Woche eine repräsentative Umfrage in Deutschland durchgeführt, die sich vor allem mit dem in der DSGVO festgeschriebenen Auskunftsrecht der Bürgerinnen und Bürger beschäftigt.

„Welche Daten haben Unternehmen und Behörden eigentlich über mich gespeichert?“ Diese Frage stellen sich viele und in Artikel 15, Abs. 1 der DSGVO gibt es seit Mai 2018 ein verbrieftes Recht, ein entsprechendes Auskunftsersuchen zu stellen. Gemäß der Umfrage hat rund jeder fünfte Deutsche (21,2 %) bereits ein solches Ersuchen gestellt. Mit der Antwort zufrieden war jedoch nur rund jeder Dritte (35 %). Kritisiert wird vor allem, dass die Verantwortlichen in Unternehmen und Behörden die Auskünfte zu spät (28,3 %), unvollständig (17 %), unverständlich (15,6 %) oder gleich gar nicht abgaben, was bei immerhin gut 8 % der Befragten der Fall war.

Auskunftsersuchen standardisiert bearbeiten

Es sind genau jene Kritikpunkte, auf die der Eco in seinen Empfehlungen hinwiest: Die Beantwortung von Datenauskunftsanfragen müsse pünktlich, vollständig und verständlich sein. Laut Clarissa Benner, Syndikusanwältin und Datenschutzexpertin im Eco, muss die Antwort in transparenter, verständlicher und leicht zugänglicher Form sowie in einer klaren und einfachen Sprache verfasst sein. Dieses regelt Artikel 12 der DSGVO. Sie rät Unternehmen, sich entsprechend vorzubereiten, um entsprechende Anfragen spätestens im Laufe eines Monats zu beantworten.

Benner: „Unternehmen sollten ihre Prozesse darauf abstimmen, entsprechende Auskunftsersuchen schnell, umfassend und verständlich zu beantworten. Damit das gelingt, müssen sich die Unternehmen darüber im Klaren sein, wo welche Daten verarbeitet werden.“ Diese wichtige Vorarbeit zu leisten, lohne sich schon alleine deswegen, weil sie andere Anforderungen der DSGVO ergänzen, beispielsweise ein Verzeichnis der Datenverarbeitungstätigkeiten zu führen. Solche Anfragen „auszusitzen“ kann laut Eco eine empfindliche Geldbuße zur Folge haben. Verstreicht die Monatsfrist, so können die Auskunftssuchenden nämlich die zuständigen Datenschutzbehörden einschalten oder zivilrechtlich gegen bockige Unternehmen oder Behörden vorgehen.

Datenschutz keine Eintagsfliege

Dass Datenschutz eine umfassende Herausforderung an jedem einzelnen Tag ist, darauf weist Sascha Oehl, Director Technical Sales beim IT-Sicherheitsspezialisten Veritas Technologies, hin: „Der Europäische Datenschutztag ruft Unternehmen ins Gedächtnis, dass sie von Regulierungsbehörden und Kunden beim Thema Datenschutz immer mehr in die Pflicht genommen werden.“ Diesen Anlass könnten IT-Chefs und Datenschutzbeauftragte nutzen und ihre Führungsetage darauf aufmerksam machen, wie wichtig Datensicherheit heutzutage ist. In diesem Zuge ließen sich z. B. interne Fortbildungen wie Phishing-Tests oder Mitarbeiterschulungen anstoßen. Oehl: „So erkennt die Belegschaft, was für eine wichtige Rolle sie selbst in diesem Kontext spielt.“

IT-Führungskräfte sollten den Datenschutztag aber auch zum Anlass nehmen, ihre aktuellen Sicherheitsstrategien zu überprüfen. Hilfreich für Unternehmen sei Software, die Sichtbarkeit in die Datenlandschaft bringe und mögliche Risiken identifiziere. Oehl: „Nur wer also nicht allein am 28. Januar, sondern über das gesamte Jahr hinweg für die Sicherheit seiner Informationen sorgt, ist beim Thema Datenschutz gut aufgestellt.“