Thought Leadership
Der Countdown läuft: In knapp einem Jahr tritt die Europäische Datenschutzgrundverordnung (DSGVO) in Kraft. Eduard Meelhuysen, Bitglass, erläutert, auf welche drei wesentlichen Dinge Unternehmen nun achten sollten, um Datenverarbeitungsprozesse auch in Cloudanwendungen DSGVO-konform umzusetzen.
Am 25. Mai 2018 wird die Europäische Datenschutzgrundverordnung (DSGVO) verbindlich. Privatpersonen haben damit das Recht, von Unternehmen, denen sie im Zuge einer Geschäftsbeziehung ihre Daten anvertraut haben, auf Anfrage umfassende Auskunft über die Verarbeitung ihrer persönlichen Daten zu erhalten. Die Unternehmen wiederum unterliegen dann der Kontrolle staatlicher Prüfinstanzen, weshalb sie gefordert sind, nicht nur für Sicherheit, sondern auch für Transparenz in ihren Datenverarbeitungsprozessen zu sorgen.
Eine besondere Verantwortung wird Unternehmen zuteil, wenn es um die Nutzung von Cloudanwendungen geht. Zwar sieht die DSGVO eine geteilte Verantwortung zwischen Cloud-Nutzern und Cloud-Providern vor, doch zur Verantwortung gezogen werden schlussendlich die Unternehmen, die die Cloud nutzen. Als so genannte Auftragsverarbeiter nehmen sie in etwa die Rolle eines Gatekeepers zwischen ihren Kunden und den Cloud-Providern ein. Laut DSGVO liegt es nunmehr in ihrer Verantwortung, sicherzustellen, dass alle erhobenen Daten nur auf die Art verarbeitet werden, der ihre Kunden und Nutzer zuvor ausdrücklich zugestimmt haben.
Eine große Herausforderung, wenn man bedenkt, dass bestimmt nicht alle Unternehmen über ausreichend Ressourcen verfügen, sich spielend leicht in diese Rolle einzufinden. Um in den verbleibenden 12 Monaten auch die Cloud-Front sicher zu machen, sollten Unternehmen daher gegenwärtig folgende Punkte beachten:
1. Koordinierte „Fahndung“ nach Unternehmensdaten
Um die IT-Infrastruktur des Unternehmens DSGVO-konform zu machen, arbeitet die IT in der Regel eng mit verschiedenen Abteilungen sowie der Geschäftsführung zusammen, um ein Verfahrensverzeichnis, also eine Übersicht der Verarbeitungsprozesse sämtlicher gesammelten Datenarten – beispielsweise personenbezogene Daten, Inhaltsdaten oder Verkehrsdaten – zu erstellen. Als personenbezogene Daten gelten dabei nicht nur Angaben zur Person, sondern weitere Daten, die eine natürliche Person bestimmbar machen, beispielsweise die IP-Adresse. Für Unternehmen, die den Wechsel in die Cloud planen oder diesen bereits vollzogen haben, bedeutet dies zunächst, dass sie ermitteln müssen, welche Art von Kundendaten im täglichen Geschehen den Weg in die Cloud finden und nicht zuletzt auch, wie diese dort geschützt sind. Beispielsweise könnten Inhaltsdaten in E-Mailcloudanwendungen ausgelagert sein oder Verkehrsdaten über bestimmte Websiteanalysetools dorthin gelangen.
Je nach Kapazitäten und personeller Auslastung im Unternehmen ist es sicherlich kein einfacher Job, herauszufinden, inwieweit welche Daten in die Cloud wandern werden oder bereits gewandert sind. Doch irgendjemand muss ihn machen, oder anders gesagt: Jemand muss die Verantwortung übernehmen. Zwar ist es wichtig, sämtliche relevanten Unternehmensverantwortliche in den Prozess einzubeziehen. Doch um Verantwortungsdiffusion zu vermeiden, müssen diese Bemühungen koordiniert werden. Es ist zu spät, auf Grund einer neu eingeführten Cloudanwendung am Vorabend der DSGVO erneut das Verfahrensverzeichnis und sämtliche damit verbundenen Prozesse – zum Beispiel das Einholen der Zustimmung von Kunden – zu ändern. Daher sollte frühzeitig der im Rahmen der DSGVO geforderte unternehmenseigene Datenschutzbeauftragte ernannt und idealerweise mit der Koordination der für die DSGVO relevanten Prozesse betraut werden.
2. Datenverarbeitung auf Seiten der Cloud-Provider ermitteln
Ist das Verfahrensverzeichnis erst einmal erstellt, sollte man seine Cloud-Provider um eine Aushändigung ihres Verfahrensverzeichnisses bitten. Im Vergleich lässt sich damit ermitteln, inwieweit die Verarbeitungsart und auch die Sicherheitsstandards mit denen des Unternehmens übereinstimmen oder im umgekehrten Fall, inwieweit diese darüber hinausgehen und ob dafür ein erweitertes Einverständnis durch die Kunden eingeholt werden muss. Den Ergebnissen entsprechend muss die Datenschutzerklärung des Unternehmens aktualisiert werden.
Die DSGVO sieht darüber hinaus eine Zertifizierung von Cloud-Providern vor. Über verschiedene Gütesiegel soll das Level an Datenschutz und -sicherheit eines Anbieters zuverlässig abgebildet werden. Allerdings sind bisher noch keine einheitlichen Standards etabliert und die Zertifizierung ist freiwillig. Zwar ist anzunehmen, dass Gütesiegel langfristig für Cloud-Provider faktisch zu einem Wettbewerbskriterium werden. Doch es ist nicht abzusehen, ob dies sämtliche Cloud-Provider pünktlich bis Inkrafttreten der DSGVO umsetzen werden. Um rechtzeitig auf der sicheren Seite zu sein, sollten Unternehmen vorerst nicht darauf setzen, dass der bloße Blick auf ein Gütesiegel ihnen große Mühen ersparen wird. Vielmehr sollten sie die Datenverarbeitungsprozesse ihrer Cloud-Provider eingehend prüfen und auch auf eingesetzte Sicherheitsfunktionen wie Data Leakage Prevention (DLP) achten. Angesichts der drohenden Bußgelder, die Unternehmen treffen können, wenn die von ihnen gewählten Cloud-Provider nicht ausreichend Sorgfalt walten lassen, lohnt es sich, bei der Überprüfung äußerst gewissenhaft vorzugehen.
3. Schatten-IT vermeiden und Mitarbeiter schulen
Mit den Änderungen durch die DSGVO sollten Unternehmen auch ein stärkeres Augenmerk darauf legen, welche Unternehmensmitarbeiter auf welche Datenarten Zugriff haben und vor allem auch, von welchen Geräten. Es sollte möglichst ausgeschlossen werden, dass Mitarbeiter beispielsweise nach Feierabend von einem nicht abgesicherten, privaten Gerät auf wichtige Kunden- und Unternehmensdaten zugreifen und diese beliebig speichern oder mit anderen Cloudanwendungen bearbeiten können. Ebenso muss allen Mitarbeitern bewusst gemacht werden, dass sie bei Ausfall eines unternehmenskritischen Dienstes – beispielsweise einem Ausfall des E-Mailservers – sie zwischenzeitlich nicht auf andere private E-Mailkonten oder sonstige frei verfügbare Dienste ausweichen können, um dringende Korrespondenzen mit ihren Kunden doch noch abzuschließen. Für derartige Fälle müssen die Sensibilität der Mitarbeiter für Datensicherheit geschärft sowie Verhaltensregeln festgelegt werden. Derartige Vorsichtsmaßnahmen erfordern mitunter auch die Unterstützung durch den Datenschutzbeauftragten und die Geschäftsleitung. Auch technische Vorkehrungen, wie die Verschlüsselung von Cloud-Daten und die Sicherung sämtlicher mobiler Unternehmensgeräte, können zur Minimierung derartiger Risiken beitragen. Hilfreich ist auch die Erarbeitung eines Rechte-Rollen-Konzeptes, um Zugriffsrechte zu segmentieren und den Nutzerzugriff auf sensible Daten zu einzuschränken.
Mit der DSGVO wird ein europäischer Standard für Datenschutz im digitalen Zeitalter geschaffen. Wie die Rechtsprechung sich im Zuge dessen für Cloud-Provider und die Cloud-nutzenden Unternehmen entwickeln wird, muss sich in der Praxis erst noch zeigen. Vorerst ist die Einführung DSGVO-konformer Prozesse für Unternehmen eine große Herausforderung – für manche mehr, für andere weniger. Doch langfristig bietet dies Unternehmen auch die Möglichkeit, sich mit ihren Grundsätzen zur Datenverarbeitung von ihren Wettbewerbern abzuheben und ihren Kundenkreis zu erweitern. Es lohnt sich also, von Anfang an gewissenhaft für die Sicherheit der Kundendaten Sorge zu tragen, sowohl innerhalb der eigenen Unternehmens-IT als auch in der Cloud.
Eduard Meelhuysen, Vice President Sales EMEA, Bitglass
