Go to Top

EU-Datenschutzverordnung: Wie können Unternehmen das „Recht auf Löschung“ umsetzen?

von Jonathan Brew, Research Manager bei Blancco Oy Ltd., Joenssu, Finland.


Da bei einer aktuellen Umfrage mit 80% eine erstaunlich hohe Zahl aller befragten IT-Verantwortlichen erklärte, über keinerlei Wissen in Bezug auf die kommende neue EU-Datenschutzverordnung (GDPR) zu verfügen , scheinen Firmen offensichtlich sehr zuversichtlich zu sein, dass ihre Informationen mit den derzeit umgesetzten Maßnahmen schon sicher geschützt sind. Zumal die geplanten Strafen mit bis 100.000.000 Euro oder 5% des jährlichen weltweiten Unternehmens-Umsatzes recht drastisch sind. Bedeutet dies, dass die Firmen bereits ausfallsichere Maßnahmen in ihrer IT-Infrastruktur einsetzen, um Datenpannen zu verhindern?

Die naheliegende Erklärung hinter dieser Zahl ist wahrscheinlich der Grad an Unsicherheit bzw. unzureichendem Wissen über die konkreten Anforderungen der Verordnung für Firmen. Ein besonders heiß diskutiertes Element ist hierbei der Artikel 17, das Recht auf Löschen bzw. das „Recht auf Vergessen“. Es ist Thema dieses Beitrages.

Durch die Konzentration der Medienberichterstattung auf das „Recht auf Löschung“, könnte man fälschlicherweise annehmen, dass die Auswirkungen der Verordnung sich vorrangig auf Suchmaschinen und die Entfernung unerwünschter Links bei Newsartikeln beschränkten. Tatsächlich belegt eine von London Economics für ICO durchgeführte Studie, dass gerade die Fragen zum Thema „Recht auf Löschung“ in der Studie die geringste Anzahl von korrekten Antworten erhielt und die Ursache vieler Missverständnisse ist.

Was bedeuten nun genau die Inhalte und was sind die praktischen Auswirkungen dieser Anforderung (Recht auf Löschung) für Unternehmen? Erfahren Sie mehr…

blog_10-14-infographic

Unsicherheit oder Gleichgültigkeit? Studien zeigen einen deutlichen Mangel an Bewusstsein für die EU-Datenschutzverordnung.

Die tatsächlichen Vorgaben des Artikels 17

Neben üblichen Informationen, wie z.B. Name oder Nummer des Personalausweises, hat die Verordnung die Definition der persönlichen Daten erweitert, um jetzt auch “moderne” Identifikationsmerkmale wie IP-Adressen, Cookies und Standortdaten zu umfassen.

Wenn gespeicherte persönliche Daten für ihren ursprünglichen Zweck nicht mehr notwendig sind, die Zustimmung zur Verarbeitung nicht gegeben wird (die übrigens explizit zur Verfügung gestellt werden muss) oder die vereinbarte Aufbewahrungszeit abgelaufen ist, ist es zwingend notwendig, eine sichere Datenlöschung durchzuführen. Dies gilt bei allen Daten von EU-Bürgern, die (unter anderem) erhoben, gespeichert, strukturiert, übertragen und verbreitet werden, unabhängig davon, in welchem Staat oder auf welchen Speichersystemen die Daten gelagert werden.

Einige typische Beispiele, die die verschiedenen Anforderungen an die Löschung in den meisten modernen Unternehmen veranschaulichen:

  • Ein Kunde übt sein Recht auf Löschung aus oder die Daten sind nicht mehr notwendig, da das Ende einer vertraglichen Vereinbarung erreicht ist. Egal ob der Speicherort privat oder öffentlich zugänglich ist, ob er Cloud-basiert ist oder auf lokalen Speichern stattfindet; es müssen Maßnahmen ergriffen werden, um diese Daten zu entfernen.Das kann von einzelnen Dateien bis hin zu kompletten Servern oder großen virtualisierten Umgebungen, die in einem Storage Area Network (SAN) liegen,reichen.
  • Ein Mitarbeiter verlässt das Unternehmen. Der PC /Laptop, das Telefon und andere Speichergeräte, die der Arbeitnehmer verwendet hat, um seine Aufgaben durchzuführen (virtuelle Maschine, Tablet, USB-Laufwerk) müssen nun gelöscht werden, um sicherzustellen, dass personenbezogene oder andere vertrauliche Daten entfernt werden.
  • Fehlerhafte Speichermedien wie SSDs undHDDs werden innerhalb der Garantiezeit (RMA) zurückgegeben. Bevor die Festplatten zurückgegeben werden können, müssen Maßnahmen zur Datenvernichtung ergriffen werden, um zu gewährleisten, dass es nicht zu Datenlecks von sensiblen Informationen kommt.
  • Ein Umstieg auf neue Technologien führt in der Regel dazu, dass viele Speichermedien und -geräte, die bisher genutzt wurden, ersetzt werden müssen. Das bedeutet, dass große Datenmengen sicher zu löschen sind und weitere Sicherheits-Anforderungen, die eingehalten werden müssen, wenn z.B. die Daten auf neue Hardware migriert werden soll.

Alle oben genannten Punkte erfordern den Nachweis über die Einhaltung der neuen Vorgaben, einschließlich der Demonstration von wirksamen technischen Maßnahmen, um das Recht auf Löschung der betroffenen Personen auch wirklich zu schützen. Darüber hinaus müssen auf Anfrage überprüfbare Beweise dafür vorgelegt werden, dass die oben genannten Maßnahmen auch tatsächlich umgesetzt wurden.

Was ist zu tun?

Das hört sich nach einer ganzen Menge an, die es zu beachten gilt und die unterschiedlichen Typen und Quellen von Daten bedeuten in der Praxis, dass Risiken immer vorhanden sind. Unternehmen müssen deshalb in der Lage sein, aktuelle und permanente Datenlöschvorgaben umzusetzen und gleichzeitig dafür Sorge tragen, ihr eigenes geistiges Eigentum zu schützen. Das Löschen von Daten muss vielfach ständig, simultan und  möglicherweise über mehrere Standorte hinweg international erfolgen. Das erfordert ein Management unterschiedlicher und neuer Technologien, die eine Vielzahl an Plattformen nutzen und deshalb verschiedene Löschprozesse erfordern. Weitere rechtliche oder staatliche Normen können die notwendigen Maßnahmen darüber hinaus zusätzlich beeinflussen.

management_console

Datenlöschung über unterschiedliche Technologien und Plattformen hinweg erfordert ein professionelles Datenlösch-Management.

Im Rahmen der Security Policy muss mit einem umfassenden Konzept sichergestellt sein, dass das Recht auf Löschung erfüllt und in die operativen Prozessen des Unternehmens eingebettet wird. Die Lösung kann ein professionelles Datenlösch-Management-Konzept sein (PDF), das ein Verfolgen der Datenvernichtung über alle Storage Assets erlaubt und die Einrichtung von Prüf-Prozessen (Audit Trail) ermöglicht. Besonders Dienstleister, deren Geschäftsmodell auf der Bereitstellung von Daten (z.B. Cloud Computing) basiert, müssen Datenlöschung als Teil ihres Services integrieren. Das Ergebnis ist eine ausreichende und nachweisbare Maßnahme, die die verbindlichen Anforderungen der EU-Datenschutzverordnung erfüllt. Zudem ist mit der Verifizierung und dem Reporting von Löschungen sichergestellt, dass Nachweise sozusagen On-Demand jederzeit vorgelegt werden können.

Hinweis: Dieser Blogbeitrag ist die persönliche Analyse eines Teilgebiets eines sich in Entstehung befindlichen Rechtsrahmens, basierend auf der letzten Entwurfsfassung. Es wird dringend empfohlen, eine ausführliche Beratung zu suchen, um die Einhaltung der Verordnung in den individuellen Unternehmensprozessen gewährleisten zu können.


Über Jonathan Brew

Als Research Manager ist es Jonathans Aufgabe Forschungsprojekte zu priorisieren, zu verwalten und zu implementieren, um dabei Blanccos Produktentwicklung zu unterstützen. Angesiedelt am Hauptsitz von Blancco in Joensuu, Finland, fließen in seine Arbeit sowohl unterschiedliche Elemente der Storage- und Datenlösch-Branchen ein, als auch Auswirkungen von neuen technologischen Entwicklungen sowie Normen und Vorschriften. Er ist auch für das Management der Produkt-Zertifizierungen verantwortlich.