Alles über personenbezogene Daten und die Datenschutz-Grundverordnung (DSGVO)

„Als E-Commerce-Unternehmen, das mit öffentlichen Daten arbeitet und Cloud Computing zur Datenverarbeitung einsetzt, stellen wir DSGVO-Compliance sicher.”

Diesen Satz zitieren viele E-Commerce-Riesen, die eine eigene Beratung und ein großes Team haben, um DSGVO-Compliance sicherzustellen.

Wissen Sie als Start-up oder frisch gegründetes Unternehmen, was hinter Datenschutzbegriffen wie DSGVO-Anforderungen, DSGVO-Compliance und Risikobewertungen steckt?

Welche Schritte unternehmen Sie, um die Datensicherheit Ihrer betroffenen Personen zu gewährleisten?

Schauen wir uns die DSGVO zunächst aus zwei Blickwinkeln an.

1. Die rechtliche Seite: die DSGVO-Vorgaben für Ihre Branche verstehen.

2. Die technische Seite: ein Fahrplan, um die DSGVO-Vorgaben für Ihre Branche umzusetzen (dazu mehr in unserem nächsten Artikel).

In diesem Artikel geht es um die rechtliche Seite der DSGVO für den E-Commerce.

Der erste Schritt zum Verständnis der DSGVO besteht darin zu verstehen, was personenbezogene Daten (Personally Identifiable Information, PII) sind und warum ihr Schutz so wichtig ist.

Wenn Sie schon einmal eine Website aufgerufen haben, ist Ihnen sicher ein Hinweisfenster aufgefallen, das Sie bittet, Ihre Cookie-Einstellungen zu verwalten.

Nichts anderes passiert dort, als Sie als Nutzer um Erlaubnis zu bitten: Welche Daten wollen Sie mit dem Verantwortlichen teilen, also mit demjenigen, der auf die Informationen zugreift?

Vor der DSGVO ging man davon aus, dass Sie mit dem Aufruf einer Website der Weitergabe Ihrer personenbezogenen Daten an den Server zustimmen. Das gilt so nicht mehr: Eine Website anzusehen ist in keiner Weise eine Einwilligung in die Offenlegung Ihrer personenbezogenen Daten.

Neben Websites sind Ihre personenbezogenen Daten auch den Anwendungen ausgesetzt, die Sie nutzen, Ihren sozialen Netzwerken, Ihrer Bank und dem Staat. Wenn personenbezogene Daten wie Ihre Sozialversicherungsnummer, Telefonnummer, E-Mail-Adresse oder andere sensible Informationen aus diesen Plattformen abfließen, können Sie betrügerischen Aktivitäten ausgesetzt sein, die Ihnen finanziell schaden oder Ihrem Ruf zusetzen.

Diese Aktivitäten reichen vom Einsatz Ihrer Kreditdaten für Einkäufe bis hin zur politischen Beeinflussung ganzer Bevölkerungsgruppen durch das Sammeln und Auswerten wichtiger Daten.

Genau hier kommt die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union ins Spiel: zum Schutz Ihrer personenbezogenen Daten.

Was ist die DSGVO also? Und wie schützt sie Ihre betroffenen Personen?

Betroffene Personen?

Betroffene Personen sind Ihre Kunden, die Ihnen ihre personenbezogenen Daten anvertrauen, die Verarbeitung ihrer sensiblen Informationen erlauben und darauf hoffen, dass Sie mit diesen wertvollen Informationen bestmöglich umgehen.

Zur DSGVO selbst: Nach zahlreichen Datenskandalen der jüngeren Vergangenheit sah sich die Europäische Union gezwungen, beim Datenschutz und bei Sicherheitsrichtlinien Position zu beziehen. Angesichts des Missbrauchs öffentlicher Daten durch Unternehmen zum eigenen Vorteil trat am 25. Mai 2018 die Datenschutz-Grundverordnung für die EU in Kraft.

Die DSGVO gilt für

• jede Organisation, die im EU-Raum tätig ist.

• Organisationen, die Daten von EU-Bürgerinnen und -Bürgern nutzen, unabhängig davon, wo diese leben.

• ausländische Staatsangehörige, die aus dem EU-Raum heraus auf Daten zugreifen.

• Unternehmen, die ihren Sitz in einem anderen Land haben, deren Websites aber für EU-Bürgerinnen und -Bürger erreichbar sind.

Damit blieb den meisten Organisationen keine Wahl: Entweder sie halten die DSGVO ein oder sie riskieren empfindliche Strafen – Bußgelder von bis zu 4 % des weltweiten Jahresumsatzes eines Unternehmens oder 20 Millionen € (je nachdem, welcher Betrag höher ist).

Angesichts derart strenger Vorgaben und hoher Bußgelder bemühte sich praktisch jedes Unternehmen, das personenbezogene Daten nutzt, um DSGVO-Compliance.

Die DSGVO unterscheidet zwischen dem Verantwortlichen und dem Auftragsverarbeiter. Der Verantwortliche kontrolliert die Daten und legt fest, warum und wie personenbezogene Daten verarbeitet werden. Er trägt außerdem die Verantwortung für die Compliance der Daten und muss überwachen, dass der Auftragsverarbeiter die Daten regelkonform behandelt. Der Auftragsverarbeiter verarbeitet Daten ausschließlich im Auftrag des Verantwortlichen.

Ein Beispiel: Denken Sie an einen Onlineshop, der Elektronikgeräte verkauft und für seine Zahlungen einen Zahlungsdienstleister nutzt. In diesem Fall ist der Onlineshop der Verantwortliche, denn er erhält die Daten von seinen Kunden, um die Bestellungen auszuführen. Anschließend leitet er die Daten an das Zahlungsunternehmen weiter, um den Kunden abzurechnen. Das Zahlungsunternehmen ist hier der Auftragsverarbeiter, weil es die Daten für den Kunden verarbeitet.

Wie stellen Sie als neu gegründetes Unternehmen DSGVO-Compliance sicher?

Der erste Schritt zur DSGVO-Compliance besteht darin, die Grundsätze der Verordnung zu verstehen.

Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Die Daten müssen gegenüber der betroffenen Person fair und transparent behandelt werden, im Einklang mit den geltenden Vorschriften.

Zweckbindung: Die Daten müssen zu einem legitimen Zweck erhoben werden, und Sie dürfen sie zu keinem anderen als dem anfangs festgelegten Zweck weiterverwenden.

Datenminimierung: Statt so viele Daten wie möglich für eine spätere Nutzung vorzuhalten, dürfen Sie nur das Minimum an Daten speichern und verarbeiten, das zur Erfüllung des Zwecks unbedingt nötig ist.

Richtigkeit: Daten müssen aktuell gehalten werden; sind sie falsch oder veraltet, müssen sie gelöscht werden.

Speicherbegrenzung: Die Daten dürfen nur so lange aufbewahrt beziehungsweise gespeichert werden, wie der ursprüngliche Zweck noch besteht.

Integrität und Vertraulichkeit: Personenbezogene Informationen müssen nicht nur gegen Sicherheitsverletzungen, sondern auch gegen versehentlichen Verlust geschützt werden. Die Datensicherheit muss Integrität und Vertraulichkeit gewährleisten.

Rechenschaftspflicht: Unternehmen müssen nachweisen können, dass sie die Grundsätze der DSGVO einhalten. Sie müssen dokumentieren, wie mit personenbezogenen Daten umgegangen wird und welche Verfahren sicherstellen, dass die Grundsätze eingehalten werden.

Was ist die absolute Mindestanforderung der DSGVO für das Speichern und Verarbeiten sensibler Daten Ihrer betroffenen Personen?

Artikel 6 DSGVO nennt die Fälle, in denen das Speichern und Verarbeiten von Daten rechtmäßig ist.

• Nur wenn die betroffene Person einwilligt.

• Der Verarbeiter hat ein berechtigtes Interesse.

• Zur Erfüllung einer rechtlichen Verpflichtung oder eines Vertrags.

• Öffentliches Interesse.

• Das Interesse einer betroffenen oder einer anderen beteiligten Person.

In den meisten Fällen sind allerdings die Einwilligung der betroffenen Person oder das berechtigte Interesse des Verarbeiters die maßgebliche Grundlage dafür, die Daten aufzubewahren.

Auch ein berechtigtes Interesse lässt sich ausnutzen, um den Datenschutz zu unterlaufen. Es darf deshalb nicht als alleiniger Rechtsgrund für eine Verarbeitung herhalten, wenn es einen anderen, weniger eingriffsintensiven Weg zum selben Ziel gibt.

Ein berechtigtes Interesse kann rechtswidrig werden, wenn die verarbeiteten Daten die Privatsphäre der betroffenen Person beeinträchtigen. Deshalb müssen Sie eine Abwägung des berechtigten Interesses durchführen (Legitimate Interests Assessment, LIA).

Diese Risikobewertung hilft Ihnen dabei, die Rechtmäßigkeit der Verarbeitung zu bestimmen. Sie lässt sich anhand einfacher Fragen durchführen, etwa:

1. Warum wollen Sie die Daten speichern?

2. Müssen Sie die Daten verarbeiten, um den Zweck zu erreichen?

3. Überwiegen die Interessen der Person das berechtigte Interesse?

4. Wer profitiert von der Verarbeitung?

5. Ist die Datennutzung in dieser konkreten Situation unethisch oder rechtswidrig?

Die Antworten werden anschließend dokumentiert – wie alles andere unter der DSGVO auch.

Unter der DSGVO stehen die Rechte der betroffenen Personen an erster Stelle. Wer diese Rechte wahrt, wahrt zugleich die Grundsätze der DSGVO.

Welche Rechte haben betroffene Personen nach der DSGVO genau?

1. Auskunftsrecht

Artikel 15 DSGVO legt fest, dass betroffene Personen das Recht haben zu erfahren, ob ihre Daten verarbeitet werden. Der Verantwortliche muss Zugang zu den personenbezogenen Daten der betroffenen Person und zu den folgenden Informationen gewähren:

1. Zweck der Verarbeitung

2. Die Kategorien personenbezogener Daten

3. Die Empfänger oder Kategorien von Empfängern

4. Die Dauer, für die Sie die Daten speichern

5. Recht auf Berichtigung und Löschung der Daten

6. Recht auf Beschwerde bei einer Aufsichtsbehörde

7. Ob die Daten von einem Dritten stammen

8. Ob die Daten per automatisierter Entscheidungsfindung verarbeitet werden

2. Recht auf Löschung / Recht auf Vergessenwerden

Artikel 17 DSGVO legt fest, dass jede betroffene Person das Recht hat, ihre Daten auf Verlangen unverzüglich löschen zu lassen.

Gelöscht werden dürfen die Daten allerdings nur, wenn

1. die betroffene Person ihre Einwilligung widerruft.

2. die Daten für den festgelegten Zweck nicht mehr benötigt werden (und kein anderer Rechtsgrund für die Verarbeitung besteht).

3. die personenbezogenen Daten unrechtmäßig verarbeitet wurden oder die Speicherfrist abgelaufen ist.

Um Auskunfts- und Löschrecht korrekt umzusetzen, muss zunächst die Person identifiziert werden, die Auskunft oder Löschung verlangt.

Eine falsche Zuordnung kann dazu führen, dass Daten an Dritte gelangen, die keinen Anspruch auf diese sensiblen Informationen haben, oder dass kritische Informationen einer anderen Person gelöscht werden.

Was bedeutet die DSGVO für Unternehmen im E-Commerce?

Die DSGVO betrifft alle Branchen, doch der E-Commerce dürfte am stärksten betroffen sein, weil die Verarbeitung personenbezogener Daten die Grundlage vieler seiner Abläufe bildet.

E-Commerce-Unternehmen trifft es besonders, weil ihre Technologieplattformen und Datenarchitekturen personenbezogene Daten im Kern erheben, verarbeiten und speichern.

E-Commerce-Unternehmen müssen ihre Datenbanken, Websites, Data Warehouses und Informationssysteme gründlich prüfen, um zu verstehen, wo die Daten liegen und wie sie verarbeitet werden.

Hilfreich wäre ihnen ein übergreifendes Suchwerkzeug oder ein Entity-Resolution-Tool, das vollständige Identitätsangaben zusammenführt und mit allen internen Datensilos verbunden ist. Personenbezogene Daten lassen sich dann auf Anfrage leicht löschen oder korrigieren.

E-Commerce-Unternehmen müssen ihre Strategien zur Datenspeicherung überdenken und ihre bestehende Architektur womöglich vollständig umbauen, um DSGVO-Compliance sicherzustellen und Datenschutzverletzungen zu vermeiden.

Beim Einsatz von Cloud-Anbietern für die Datenverarbeitung gilt das Modell der geteilten Verantwortung: Der Cloud-Anbieter ist für die Sicherheit der Cloud verantwortlich, das E-Commerce-Unternehmen für die Sicherheit in der Cloud. Das ist wichtig, denn der Cloud-Anbieter kümmert sich um die Infrastruktur, der Kunde um die übergeordnete Konfiguration der Anwendung, um Benutzerkonten und so weiter. In den meisten Fällen ist der Cloud-Anbieter der Auftragsverarbeiter, weil die Daten auf seinen Systemen verarbeitet werden. Das E-Commerce-Unternehmen ist jedoch der Verantwortliche, weil es steuert, wie die Daten verarbeitet werden.

Wie wirkt sich die DSGVO auf die Cloud-Branche aus? Ist DSGVO-Compliance in der Cloud kompliziert?

Digitalisierung und der Anspruch, Kunden blitzschnelle Services zu bieten, haben die meisten Unternehmen – ob im E-Commerce oder nicht – dazu gebracht, in Cloud-Technologien zu investieren, um ihre Daten zu speichern und zu verarbeiten.

Unternehmen empfinden die Cloud als unkompliziert, leicht handhabbar und günstiger in Betrieb und Verarbeitung, insbesondere dank nutzungsabhängiger Abrechnung.

Bei diesen Verarbeitungsvorgängen in der Cloud besteht jedoch das Risiko unbefugter Zugriffe auf personenbezogene Daten und von Datenschutzverletzungen. Deshalb sind Risikobewertungen für Drittanbieter unverzichtbar, um die DSGVO-Compliance der Cloud Service Provider (CSP) sicherzustellen.

Die DSGVO verändert grundlegend, wie die Cloud auf Sicherheit blickt. Es geht nicht nur um Compliance, sondern auch darum, die Abläufe von Verantwortlichen und Auftragsverarbeitern zu ändern.

CSPs müssen ihre Datenstrategie neu prüfen; Änderungen sind auf organisatorischer, rechtlicher und technischer Ebene nötig, um die Vorgaben und Grundsätze der DSGVO umzusetzen.

Die größte Herausforderung für CSPs ist derzeit, ihre gesamten Prozesse von Grund auf neu aufzustellen, die Speicherung personenbezogener Daten zu überarbeiten, jeden Schritt zu dokumentieren und die Daten so zu verarbeiten, dass Kunden vollständigen Datenschutz genießen.

Das klingt kompliziert, ist aber machbar. Nötig ist ein klares Verständnis der DSGVO und der Frage, wie sie sich technisch für Ihr Unternehmen oder für die Cloud umsetzen lässt.

Fazit

Ein E-Commerce-Unternehmen, das mit Kundendaten arbeitet, muss die rechtlichen Folgen der DSGVO kennen, ihre Grundsätze verstehen, die Sicherheitsfolgen von Verstößen einschätzen können und vor allem die Privatsphäre seiner betroffenen Personen wahren.

Im nächsten Artikel versuchen wir, die technischen Aspekte der DSGVO zu entschlüsseln und zu zeigen, wie sie sich in Ihrer Organisation umsetzen lassen.