Einheitliche Datenbasis
Um dies zu erreichen, mussten die Unternehmen den Überblick über die Vorhaltung von Datenbeständen erhalten, die oft über mehrere verschiedene Abteilungen verstreut aufbewahrt wurden. Nur auf einer einheitlichen Datenbasis - die oftmals als Data dictionary oder data repository bezeichnet wird - konnte festgestellt werden, ob die Erlaubnis zur Verwendung der personenbezogenen Daten tatsächlich vorliegt.
In vielen Fällen haben Firmen überreagiert und große Datenbestände gelöscht, die nicht dem Anspruch der Double Opt-In-Zustimmung entsprachen. Allzu oft geschah dies aufgrund mangelnder Kenntnisse über den richtigen Umgang mit den Datensätzen. Zahlreiche Initiativen zur Einholung der Zustimmung wurden zudem erst in letzter Minute gestartet. In den meisten Fällen zog das jedoch nicht die gewünschte Wirkung nach sich und führte in der Folge zu einer erheblichen Verkleinerung der Datenbanken.
Einführung neuer Technologien
Darüber hinaus mussten Unternehmen neue Technologien einführen, um digitale Assets kontrollieren und schützen zu können, sowie die oftmals zusammenhanglosen Vorgehensweisen zwischen den Abteilungen in Einklang zu bringen. Daraus abteilungsübergreifend Erkenntnisse abzuleiten, ist für die Aktualisierung des Sicherheitsstatus einer Organisation zwingend notwendig. Die eingeführten Prozesse zur effektiveren Verwaltung der Daten führten im ersten Jahr der Grundverordnung zu einem besseren Verständnis in Unternehmen, wo personenbezogene Daten eigentlich vorgehalten werden und wer darauf Zugang hat.
Die Mitarbeiter sind durch die Erklärungen und Kampagnen besser über die mit der Datenverarbeitung notwendigen Schutzziele und Maßnahmen vertraut, sodass davon ausgegangen werden kann das zukünftige Datenerhebungen bereits mit Privacy by Default erfolgen. Diese getroffenen Maßnahmen bilden nun die Voraussetzung, um im Falle eines Datenverlustes die gesetzlichen Meldepflichten erfüllen zu können, sorgte aber gleichzeitig für Ordnung.
Höhere Datenhygiene und Bürokratie
Während die DSGVO somit zu einer höheren Datenhygiene führte, steigerte sich damit einhergehend die Bürokratie. Um Compliance nachweisen zu können, sind eine Vielzahl von Vorlagen und Formularen erforderlich, die den Verantwortlichen dabei helfen sollen, den Überblick über die implementierten Prozesse zu belegen. Dokumente für das Datenmanagement und die Datenverarbeitung der gesamten Lieferkette erforderten vor der Umsetzung der Verordnung unzählige Interaktionen zwischen allen beteiligten Parteien und zogen haufenweise Papierstapel nach sich. Bisher gibt es noch keine Standardisierung dieser Arbeitsschritte der Dokumentationspflicht oder gar einheitliche Vorlagen. Die möglichen Zertifizierungen auf der Grundlage des Artikel 42 der DSGVO aber werden in der Folge wohl einen freiwilligen Gang zur Vereinfachung des Nachweises auslösen.
Fazit
Trotz aller Bemühungen bleibt die Unsicherheit jedoch aufgrund der Komplexität bestehen, ob Unternehmen sich nun konform zur Datenschutzrichtlinie verhalten oder nicht. Die DSGVO in ihrer anfänglichen Fassung lässt nämlich noch zu viel Raum für Interpretationen. Die ersten, verhängten Bußgelder durch die CNIL in Frankreich und das ICO im Vereinigten Königreich gegen Internet-Giganten wie Google und Facebook zeigen, dass der Datenschutz inzwischen aber von Kontrollgremien ernst genommen wird – besonders, wenn Unternehmen die Regeln zur geforderten Transparenz für den Anwender nicht einhalten.
Weiterführende Links:
100 Tage DSGVO - wo stehen wir? Eine Einordnung aus dem Blickwinkel der IT-Security
