DSGVO in der Praxis: die 10 häufigsten Fehler von CDOs

British Airways wurde im Oktober 2020 von der britischen ICO mit 20 Millionen Pfund belegt, nachdem eine Datenschutzverletzung mehr als 400.000 Kunden betraf. Amazon wurde 2021 von der luxemburgischen Datenschutzbehörde mit 746 Millionen Euro belegt, wegen DSGVO-Verstößen bei der Verarbeitung personenbezogener Daten für Werbezwecke.

Das sind keine Randfälle. Das ist der neue Normalzustand. Und in beiden Fällen waren die Datenschutzmängel vermeidbar.

Die 10 häufigsten DSGVODSGVOEU-Verordnung zur Erhebung, Speicherung und Nutzung personenbezogener Daten, mit Bußgeldern, die am weltweiten Umsatz bemessen werden.Vollständige Definition ansehen →-Fehler von CDOs

1. Einwilligung als Standard-Rechtsgrundlage für alles behandeln

Die DSGVO definiert sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Die Einwilligung ist eine davon, aber oft die falsche. Eine Einwilligung erfordert ein spezifisches, freiwilliges, unmissverständliches Opt-in, das jederzeit widerrufen werden kann. Widerruft ein Kunde seine Einwilligung, müssen Sie die Verarbeitung einstellen und in den meisten Fällen die Daten löschen. Für die meisten kommerziellen Datenverarbeitungen sind berechtigte Interessen oder die Vertragserfüllung die passendere Grundlage. CDOs, die standardmäßig überall auf Einwilligung setzen, erzeugen sowohl Compliance-Komplexität als auch operative Fragilität.

1. Kein Verzeichnis von Verarbeitungstätigkeiten (ROPA) führen

Artikel 30 DSGVO verpflichtet Organisationen, ein Verzeichnis aller Verarbeitungstätigkeiten zu führen. Die meisten Organisationen haben eines, aber es ist unvollständig, veraltet oder wird von einem Junior-Compliance-Officer gepflegt, der keinen Überblick über alle Verarbeitungen hat. Das ROPA sollte ein lebendes Dokument sein, das aktualisiert wird, sobald ein neues System personenbezogene Daten verarbeitet. Der CDO sollte dafür verantwortlich sein.

1. Anonymisierung mit Pseudonymisierung verwechseln

Anonymisierte Daten fallen nicht in den Anwendungsbereich der DSGVO. Pseudonymisierte Daten (Daten, bei denen der direkte Identifikator durch einen Code ersetzt wurde, eine Re-Identifikation aber theoretisch möglich ist) sind nach der DSGVO weiterhin personenbezogene Daten. Viele Organisationen behaupten, Daten „anonymisiert“ zu haben, die tatsächlich pseudonymisiert sind, und schaffen damit ein erhebliches regulatorisches Risiko, wenn sie diese Daten an Dritte weitergeben.

1. Die 72-Stunden-Frist für die Meldung von Datenschutzverletzungen verpassen

Tritt eine Verletzung des Schutzes personenbezogener Daten ein, verlangt die DSGVO die Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden. Die meisten Organisationen haben keinen Prozess, der das möglich macht. Der CDO muss sicherstellen, dass ein Breach-Response-Prozess existiert, bevor eine Verletzung eintritt.

1. Die Operationalisierung der Betroffenenrechte ignorieren

Die DSGVO gewährt Personen eine Reihe von Rechten: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch und Rechte im Zusammenhang mit automatisierten Einzelfallentscheidungen einschließlich Profiling. (Es gibt außerdem das Recht auf Information und das Recht auf Widerruf der Einwilligung, sofern die Einwilligung die Rechtsgrundlage ist.) Organisationen müssen unverzüglich und innerhalb eines Monats antworten. Die meisten Organisationen haben einen Prozess für die Bearbeitung dieser Anfragen, aber ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → ist manuell, langsam und nicht skalierbar. Ein Data Subject Access Request (DSAR), der mehrere Systeme betrifft, kann pro Anfrage Tage manuelle Arbeit kosten. Bei 1.000 DSARs pro Monat wird daraus eine erhebliche operative Belastung, die durch Technologie gelöst werden muss.

1. Datenübermittlungen außerhalb der EU unterschätzen

Wenn Sie einen US-basierten Cloud-Anbieter nutzen (AWS, Azure, Google Cloud), übermitteln Sie technisch gesehen personenbezogene Daten außerhalb der EU. Nach Schrems II erfordert das einen gültigen Übermittlungsmechanismus: Standardvertragsklauseln (SCCs), Binding Corporate Rules (BCRs) oder die Berufung auf das EU-US Data Privacy Framework. Viele Organisationen haben diese Analyse nicht für alle ihre Auftragsverarbeiter abgeschlossen.

1. Keinen Datenschutzbeauftragten benennen, wenn er erforderlich ist

Ein DPO ist verpflichtend für Behörden, für Organisationen, die eine umfangreiche systematische Überwachung durchführen, und für Organisationen, die besondere Kategorien personenbezogener Daten in großem Umfang verarbeiten. Viele Organisationen in diesen Kategorien haben keinen oder haben einen DPO, dem die Unabhängigkeit fehlt (der DPO darf keine Anweisungen zur Ausübung seiner Aufgaben erhalten).

1. Unzureichendes Vendor Management

Jeder Dritte, der in Ihrem Auftrag personenbezogene Daten verarbeitet, ist Auftragsverarbeiter. Sie benötigen mit jedem einzelnen einen Auftragsverarbeitungsvertrag (DPA). Die meisten Organisationen haben DPAs für ihre großen Anbieter, übersehen aber Dutzende kleinerer Tools: Analytics-Plattformen, Marketing-Tools, Recruiting-Software, die alle personenbezogene Daten ohne konformen DPA verarbeiten.

1. Privacy by Design als nachträglicher Gedanke

Die DSGVO verlangt Privacy by Design und by Default. In der Praxis heißt das: Datenschutz-Folgenabschätzungen (DPIAs) müssen durchgeführt werden, bevor neue Systeme oder Prozesse gebaut werden, nicht danach. Die meisten Organisationen führen DPIAs reaktiv durch, wenn eine Behörde fragt, nicht vor dem Bau.

1. Besondere Kategorien personenbezogener Daten ignorieren

Besondere Kategorien personenbezogener Daten (Gesundheit, Biometrie, rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, sexuelle Orientierung und mehr) erfordern eine ausdrückliche Einwilligung oder eine spezifische Ausnahme. Für Daten über strafrechtliche Verurteilungen gilt ein eigenes Regime nach Artikel 10. Organisationen verarbeiten häufig solche Daten, ohne es zu merken: eine Wellness-App, die Gesundheitsdaten verarbeitet, ein HR-System, das Informationen über Behinderungen verarbeitet, ein KI-Modell, das auf Daten trainiert wurde, die die Religionszugehörigkeit offenlegen.

Das Bußgeld als Business Case

Nutzen Sie DSGVO-Bußgelder als Business Case für Investitionen in Datenschutzinfrastruktur. Das Amazon-Bußgeld (746 Mio. €) entsprach etwa 0,1 % des Jahresumsatzes, aber der Reputationsschaden und die laufenden Compliance-Kosten waren weit höher. Eine Investition von 200.000 € in Privacy-Management-Technologie, sauberes DPA-Management und Mitarbeiterschulungen hat gegen dieses Risiko einen leicht zu berechnenden ROI.

Key Takeaways

• Die Einwilligung ist eine von sechs Rechtsgrundlagen und meistens nicht die richtige. Setzen Sie bei kommerzieller Verarbeitung standardmäßig auf berechtigte Interessen oder Vertragserfüllung.
• Halten Sie das ROPA aktuell und in der Verantwortung des CDO, nicht vergraben bei einem Junior-Compliance-Officer.
• Pseudonymisierte Daten sind weiterhin personenbezogene Daten. Nur wirklich anonymisierte Daten fallen aus der DSGVO heraus.
• Bauen Sie den Breach-Response-Prozess vor der Verletzung: Die Uhr läuft 72 Stunden ab Kenntnisnahme.
• Betroffenenanfragen müssen innerhalb eines Monats beantwortet werden. Manuelle Bearbeitung skaliert nicht über einige Hundert pro Monat hinaus.
• Prüfen Sie die Übermittlungsmechanismen für jeden US-Auftragsverarbeiter, nicht nur für die drei großen Cloud-Anbieter.
• Ein fehlender DPA mit einem kleinen Analytics- oder Recruiting-Tool ist genauso ein Verstoß wie einer mit einem großen Anbieter.