DSGVO in der Praxis: die 10 häufigsten Fehler von CDOs

British Airways wurde im Oktober 2020 von der britischen ICO mit 20 Millionen Pfund belegt, nach einer Datenschutzverletzung, die mehr als 400.000 Kunden betraf. Amazon erhielt 2021 von der luxemburgischen Datenschutzbehörde ein Bußgeld von 746 Millionen Euro wegen DSGVO-Verstößen bei der Verarbeitung personenbezogener Daten für Werbezwecke.

Das sind keine Ausnahmefälle. Das ist die neue Normalität. Und in beiden Fällen waren die Datenschutzmängel vermeidbar.

Die 10 häufigsten DSGVO-Fehler von CDOs

1. Consent als Standard-Rechtsgrundlage für alles behandeln

Die DSGVO definiert sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten. Consent ist eine davon, aber oft die falsche. Consent erfordert ein spezifisches, freiwilliges, unmissverständliches Opt-in, das jederzeit widerrufen werden kann. Widerruft ein Kunde seine Einwilligung, müssen Sie die Verarbeitung einstellen und in den meisten Fällen seine Daten löschen. Für die meisten kommerziellen Datenverarbeitungen sind berechtigte Interessen oder die Vertragserfüllung die passendere Grundlage. CDOs, die für alles standardmäßig auf Consent setzen, schaffen sowohl Compliance-Komplexität als auch operative Fragilität.

2. Kein Verzeichnis von Verarbeitungstätigkeiten (ROPA) führen

Artikel 30 DSGVO verlangt von Organisationen ein Verzeichnis aller Verarbeitungstätigkeiten. Die meisten Organisationen haben eines, aber es ist unvollständig, veraltet oder wird von einem Junior-Compliance-Mitarbeiter geführt, der keinen Überblick über alle Verarbeitungen hat. Das ROPA sollte ein lebendes Dokument sein, aktualisiert jedes Mal, wenn ein neues System personenbezogene Daten verarbeitet. Der CDO sollte dafür verantwortlich sein.

3. Anonymisierung mit Pseudonymisierung verwechseln

Anonymisierte Daten fallen nicht in den Anwendungsbereich der DSGVO. Pseudonymisierte Daten (Daten, bei denen der direkte Identifikator durch einen Code ersetzt wurde, eine Re-Identifikation aber theoretisch möglich ist) sind nach der DSGVO weiterhin personenbezogene Daten. Viele Organisationen behaupten, Daten „anonymisiert“ zu haben, die tatsächlich pseudonymisiert sind. Das schafft ein erhebliches regulatorisches Risiko, wenn sie diese Daten an Dritte weitergeben.

4. Die 72-Stunden-Frist für die Meldung von Datenschutzverletzungen verpassen

Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, verlangt die DSGVO eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden. Die meisten Organisationen haben keinen Prozess, der das möglich macht. Der CDO muss dafür sorgen, dass ein Breach-Response-Prozess existiert, bevor ein Vorfall eintritt.

5. Die Operationalisierung der Betroffenenrechte ignorieren

Die DSGVO gewährt Einzelpersonen eine Reihe von Rechten: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch und Rechte im Zusammenhang mit automatisierten Entscheidungen im Einzelfall einschließlich Profiling. (Hinzu kommen das Recht auf Information und das Recht, eine Einwilligung zu widerrufen, wo Consent die Grundlage ist.) Organisationen müssen ohne unangemessene Verzögerung und innerhalb eines Monats antworten. Die meisten Organisationen haben einen Prozess für diese Anfragen, aber ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → ist manuell, langsam und nicht skalierbar. Ein Auskunftsantrag (DSAR), der mehrere Systeme betrifft, kann pro Anfrage Tage manueller Arbeit bedeuten. Bei 1.000 DSARs pro Monat wird das zu einer erheblichen operativen Belastung, die durch Technologie gelöst werden muss.

6. Datenübermittlungen außerhalb der EU unterschätzen

Wenn Sie einen US-basierten Cloud-Provider nutzen (AWS, Azure, Google Cloud), übermitteln Sie technisch gesehen personenbezogene Daten außerhalb der EU. Nach Schrems II erfordert das einen gültigen Übermittlungsmechanismus: Standardvertragsklauseln (SCCs), verbindliche interne Datenschutzvorschriften (BCRs) oder die Berufung auf das EU-US Data Privacy Framework. Viele Organisationen haben diese Analyse nicht für alle ihre Auftragsverarbeiter abgeschlossen.

7. Keinen Datenschutzbeauftragten benennen, obwohl erforderlich

Ein DPO ist verpflichtend für Behörden, für Organisationen, die umfangreiche systematische Überwachung betreiben, und für Organisationen, die besondere Kategorien personenbezogener Daten in großem Umfang verarbeiten. Viele Organisationen in diesen Kategorien haben keinen, oder sie haben einen DPO ohne Unabhängigkeit (der DPO darf keine Anweisungen zur Ausübung seiner Aufgaben erhalten).

8. Unzureichendes Vendor-Management

Jeder Dritte, der personenbezogene Daten in Ihrem Auftrag verarbeitet, ist Auftragsverarbeiter. Mit jedem brauchen Sie einen Auftragsverarbeitungsvertrag (DPA). Die meisten Organisationen haben DPAs mit ihren großen Anbietern, übersehen aber dutzende kleinere Tools: Analytics-Plattformen, Marketing-Tools, Recruiting-Software, die alle personenbezogene Daten ohne konformen DPA verarbeiten.

9. Privacy by Design als Nachgedanke behandeln

Die DSGVO verlangt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. In der Praxis bedeutet das: Datenschutz-Folgenabschätzungen (DPIAs) müssen durchgeführt werden, bevor neue Systeme oder Prozesse gebaut werden, nicht danach. Die meisten Organisationen führen DPIAs reaktiv durch, wenn eine Behörde fragt, nicht vor der Entwicklung.

10. Besondere Kategorien personenbezogener Daten ignorieren

Besondere Kategorien personenbezogener Daten (Gesundheit, Biometrie, rassische oder ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, sexuelle Orientierung und weitere) erfordern eine ausdrückliche Einwilligung oder eine spezifische Ausnahme. Daten über strafrechtliche Verurteilungen unterliegen einem eigenen Regime nach Artikel 10. Organisationen verarbeiten solche Daten häufig, ohne es zu merken: eine Wellness-App, die Gesundheitsdaten verarbeitet, ein HR-System, das Informationen zu Behinderungen verarbeitet, ein KI-Modell, das auf Daten trainiert wurde, die eine Religionszugehörigkeit offenlegen.

Das Bußgeld als Business Case

Nutzen Sie DSGVO-Bußgelder als Business Case für Investitionen in Datenschutz-Infrastruktur. Das Amazon-Bußgeld (746 Mio. €) entsprach etwa 0,1 % des Jahresumsatzes, aber der Reputationsschaden und die laufenden Compliance-Kosten lagen weit darüber. Eine Investition von 200.000 € in Privacy-Management-Technologie, ordentliches DPA-Management und Mitarbeiterschulungen ist ein ROIROIReturn on Investment: the ratio of net profit to the cost of an investment. A 300% ROI means each dollar invested returns $3.Vollständige Definition ansehen →, der sich gegen dieses Risiko leicht berechnen lässt.

Key Takeaways

• Consent ist eine von sechs Rechtsgrundlagen und meist nicht die richtige. Setzen Sie bei kommerzieller Verarbeitung standardmäßig auf berechtigte Interessen oder Vertragserfüllung.
• Halten Sie das ROPA aktuell und in der Verantwortung des CDO, nicht vergraben bei einem Junior-Compliance-Mitarbeiter.
• Pseudonymisierte Daten sind weiterhin personenbezogene Daten. Nur wirklich anonymisierte Daten fallen aus der DSGVO heraus.
• Bauen Sie den Breach-Response-Prozess vor dem Vorfall: die Uhr läuft 72 Stunden ab Kenntnisnahme.
• Betroffenenanfragen müssen innerhalb eines Monats beantwortet werden. Manuelle Bearbeitung skaliert nicht über einige hundert pro Monat hinaus.
• Prüfen Sie die Übermittlungsmechanismen für jeden US-Auftragsverarbeiter, nicht nur für die drei großen Cloud-Provider.
• Ein fehlender DPA mit einem kleinen Analytics- oder Recruiting-Tool ist genauso ein Verstoß wie einer mit einem großen Anbieter.