Sie sind hier: Home » Markt » Hinweise & Tipps

Tipps zur Umsetzung der DSGVO-Vorgaben


Trotz steigender Bußgelder und des vom EuGH gekippten "Privacy Shield" setzt erst jedes fünfte Unternehmen die strengen EU-Datenschutzrichtlinien vollständig um
Nicht zuletzt trägt auch das Urteil des Europäischen Gerichtshofs (EuGH) zum "Privacy Shield" zur Verwirrung bei




Es ist höchste Zeit, dass international tätige Unternehmen ihren Status quo in Sachen Datenschutz überprüfen und im Rahmen der Digitalisierung ihrer Kommunikationsprozesse auch die Umsetzung der DSGVO sicherstellen. Der Cloud-Anbieter Retarus unterstützt Unternehmen seit Jahrzehnten darin, Ihre Kommunikationsdaten rechtskonform zu verarbeiten und zeigt, welche Faktoren dabei zu berücksichtigen sind.

Laut einer aktuellen Studie der internationalen Anwaltskanzlei DLA Piper ist die Summe der verhängten Bußgelder für Verstöße gegen die EU-Datenschutzgrundverordnung (DSGVO) im letzten Jahr europaweit um 40 Prozent gestiegen. Seit dem Inkrafttreten der DSGVO im Mai 2018 wurden in der EU rund 281.000 Verstöße zur Anzeige gebracht.

Die Strafen bei Verstößen betragen bis zu 20 Millionen Euro bzw. vier Prozent des weltweiten Umsatzes. Allein in Deutschland wurden bisher Bußgelder in Höhe von 69,1 Millionen Euro verhängt. Dennoch setzen laut Branchenverband Bitkom erst 20 Prozent der befragten Unternehmen in Deutschland die DSGVO vollständig um. Grund dafür ist unter anderem eine anhaltende Rechtsunsicherheit. Nicht zuletzt trägt auch das Urteil des Europäischen Gerichtshofs (EuGH) zum "Privacy Shield" zur Verwirrung bei.

Retarus hat deshalb DSGVO-Tipps speziell für Unternehmen zusammengestellt, die personenbezogene Daten über EU-Grenzen hinweg übertragen. Dazu zählen unter anderem:

1. Klären, welche personenbezogener Daten übertragen werden
Personenbezogene Daten sind jegliche Informationen in Bezug auf eine identifizierte oder identifizierbare natürliche Person: Name, Standort, Online-Identifikatoren wie etwa IP-Adressen sowie Fakten über physische, psychische, ökonomische oder soziale Identität – auch Faxnummern und E-Mail-Adressen zählen dazu. Ein Transfer personenbezogener Daten findet zum Beispiel bei der Korrespondenz via E-Mail, Fax oder SMS statt. Unternehmen müssen folglich klären, welche Daten sie besitzen oder sammeln, wo diese gespeichert sind, wer sie bearbeitet, wohin sie transferiert werden und ob diese entsprechend der neuen Rechtsgrundlage verarbeitet werden.

2. Werden IT-Dienstleistungen US-amerikanischer Firmen genutzt?
Falls Unternehmen IT-Dienstleistungen von US-Unternehmen – etwa großen Hyperscalern – nutzen, sollten sie genau prüfen, ob ihr Datenexport den DSGVO-Anforderungen gerecht wird, zum Beispiel im Bereich E-Mail-Security und -Archivierung.

3. Früher vom Privacy Shield geschützte Partner überprüfen
Im Juli 2020 hat der EuGH die Datenschutzvereinbarung zwischen der EU und den USA "Privacy Shield" mit sofortiger Wirkung für ungültig erklärt. Die Begründung: EU-Bürger und -Unternehmen sind nicht ausreichend gegen Datenzugriffe amerikanischer Behörden geschützt. Unternehmen sind daher gut beraten, zum Beispiel auf der Website zum Privacy Shield Framework zu prüfen, ob sie mit Unternehmen zusammenarbeiten, die bislang unter den "Privacy Shield" fielen. Falls ja, sollten sie umgehend klären, ob die Firmen die DSGVO-Anforderungen einhalten. Im Zweifel können sie sich eine Bestätigung ausstellen lassen, dass an keinem Punkt der Verarbeitung Daten in die USA beziehungsweise an Dienstleister in den USA übertragen werden und alle Daten ausschließlich in der EU verarbeitet werden.

4. SCCs und BCR genau prüfen, gegebenenfalls ergänzen
Laut dem europäischen Datenschutzausschuss EDPB können auch Standardvertragsklauseln (SCCs) und verbindliche Unternehmensregeln (BCRs) nicht ohne Weiteres als Grundlage für einen Datenexport in die USA verwendet werden. Diese Einschätzung gilt auch für entsprechende Vereinbarungen mit Ländern wie China oder Russland. Gemäß EDBP sind deshalb "zusätzliche Maßnahmen" notwendig, um die vom EuGH kritisierten Zugriffsrechte von US-Nachrichtendiensten komplett auszuschließen. Hierzu gibt es jedoch derzeit nur vorläufige Umsetzungs-Empfehlungen des EDPB. Des Weiteren dürfen Unternehmen gemäß den Sonderregeln aus Artikel 49 DSGVO weiterhin Daten in die USA transferieren, sofern die Bedingungen der Norm erfüllt sind. So ist beispielsweise eine ausdrückliche Einwilligungserklärung der betroffenen Person erforderlich.

5. Geeigneten Cloud-Dienstleister wählen
Mit dem richtigen Cloud-Dienstleister an ihrer Seite profitieren Unternehmen standortübergreifend von sicheren, performanten und flexiblen Kommunikationsprozessen. Dabei muss der Datenschutz gemäß DSGVO kein Hindernis sein, wenn bereits bei der Auswahl darauf geachtet wird, dass potenziell geeignete Cloud-Dienste strengsten Ansprüchen an Datenschutz und Datensicherheit genügen. Im Idealfall garantieren Dienstleister eine lokale Datenverarbeitung innerhalb der EU, stellen die Verarbeitung in eigenen Rechenzentren auch während Failover oder Wartung sicher und nutzen keine US-Hyperscaler.

Für Unternehmen, die schnell überprüfen möchten, ob sie in Sachen Datenschutz auf der sicheren Seite sind, hat Retarus "7 Fragen, die Sie jetzt stellen sollten" zusammengestellt. Außerdem steht ebenfalls frei verfügbar ein Fragenbogen zum Download bereit, mit dem sich leicht überprüfen lässt, ob ein IT-Dienstleister Datenschutz gemäß DSGVO gewährleistet. (Retarus: ra)

eingetragen: 13.03.21
Newsletterlauf: 14.05.21

retarus: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Markt / Hinweise & Tipps

  • Cyber-Resilienz stärken

    Verlust sensibler Daten, enormer finanzieller Schaden oder die Störung der öffentlichen Ordnung - Cyberangriffe auf Kritische Infrastrukturen und Finanzinstitute können erhebliche gesellschaftliche Auswirkungen haben. Die Europäische Union hat deshalb die NIS2-Richtlinie und den Digital Operational Resilience Act (DORA) eingeführt, um diese zu minimieren.

  • KI im Arbeitsalltag: Werkzeug, kein Wundermittel

    Knapp 60 Prozent der deutschen Unternehmen mit mehr als 500 Mitarbeitenden nutzen laut einer Studie des Branchenverbands Bitkom inzwischen KI-basierte Chatbots. Wie gut die Ergebnisse ausfallen, die diese Bots und andere KI-Tools liefern, hängt allerdings wesentlich von der verwendeten Datengrundlage und einem wirklich sinnvollen Einsatzszenario ab.

  • Generationenkonflikt der IT-Security

    Unternehmen sind auf die Dynamik und frischen Ideen der jungen Generation angewiesen, um dem Fachkräftemangel zu begegnen und sich weiterzuentwickeln. Es darf jedoch nicht auf Kosten der IT-Sicherheit gehen. Um diesen Spagat zu meistern, braucht es einen Security-Ansatz, der Platz für Fortschritt schafft, anstatt ihn zu behindern.

  • Ist NIS-2 zu anspruchsvoll?

    Die politische Einigung über das Gesetz zur Umsetzung der EU-Richtlinie NIS-2 und der Stärkung der Cybersicherheit noch vor der Bundestagswahl ist gescheitert. SPD, Grüne und FDP konnten sich nicht auf zentrale Punkte einigen. Damit bleibt über zwei Jahre nach der Verabschiedung der EU-Richtlinie die dringend notwendige gesetzliche Verschärfung aus. Die Umsetzungsfrist wird weiter überschritten

  • Seit 1. Januar 2025 gilt die E-Rechnungspflicht

    Stellen Sie sich vor, Ihr Unternehmen kann plötzlich Rechnungen nicht mehr rechtssicher verschicken. Verzögerte Zahlungen, rechtliche Konsequenzen und möglicherweise ein belastetes Geschäftsverhältnis könnten die Folge sein - und das alles, weil Sie die E-Rechnungspflicht ohne die richtige Software kaum einhalten können.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen