Facebook ist nur das aktuellste Beispiel in Sachen Datenklau. Weltweit agierende Firmen wie Uber oder Yahoo reihen sich in die Riege der Unternehmen ein, die es versäumt haben, sorgfältig mit den Daten ihrer Kunden umzugehen und für deren sichere Speicherung zu sorgen. Sollten Kunden erwarten können, dass diese Unternehmen, die immer mehr Macht über persönliche Daten erlangen, auch deren Sicherheit gewährleisten? Oder leben wir in einer Welt, in der das Unternehmen – nicht der Kunde – König ist und wo der Profit immer weiter wachsen muss, auch wenn das zu Lasten der Kunden geht?
Die Datenschutz-Grundverordnung (DSGVO) will diesem Missverhältnis ein Ende setzen. Sie zielt darauf ab, alle Organisationen für den Schutz von Kundendaten zur Verantwortung zu ziehen. Jede öffentliche Stelle sowie sämtliche privaten Unternehmen, die Daten von europäischen Bürgern besitzen, müssen sich an diese neuen Regeln halten.
Bereits am 24. Mai 2016 trat die Verordnung der Europäischen Union in Kraft, um die Regeln zur Verarbeitung von personenbezogenen Daten zu vereinheitlichen. Ab dem 25. Mai 2018 ist die DSGVO europaweit verbindlich anzuwenden. Was die Betroffenen vor große Schwierigkeiten in der Umsetzung stellt, eröffnet Verbrauchern umfassendere Rechte. Was müssen Verbraucher jetzt wissen?
Was sind personenbezogene Daten?
Die Datenschutz-Grundverordnung regelt den Umgang mit personenbezogenen Daten. Welche das sind, ist in Artikel 4 der Verordnung festgehalten: sämtliche Informationen, die zur Identifizierung einer Person beitragen. Dazu gehören Name, Kennnummer, Standortdaten oder sonstige Merkmale physischer, physiologischer, genetischer, psychischer, wirtschaftlicher, kultureller oder sozialer Art.
Für wen gilt die DSGVO?
An die DSGVO müssen sich alle öffentlichen Stellen und privaten Unternehmen in der Europäischen Union halten. Sie gilt aber auch für Unternehmen außerhalb Europas, wenn sie ihre Waren oder Dienstleistungen im europäischen Markt anbieten und Daten von europäischen Bürgern nutzen. Betroffen sind also auch Google, Facebook und Co..
Welche Rechte gelten für Verbraucher?
Genehmigung ist Verbrauchersache
Die Datenspeicherung und Verarbeitung darf ausdrücklich nur nach Einwilligung durch den Verbraucher erfolgen. An dieser Tatsache ändert sich auch nichts nach der neuen Regelung. Damit Informationen über eine Person gespeichert werden dürfen, muss diese freiwillig ihre Einwilligung gegeben haben und wissen, wie die Daten genutzt werden. Was sich ändert: Nach Artikel 13 und 14 der DSGVO muss jeder bei der Erhebung seiner Daten informiert werden über den Zweck, den Empfänger, die Dauer sowie über die Rechte zur Berichtigung, zum Sperren und Löschen der Daten. Sollte sich die Art der Nutzung ändern, muss das Unternehmen den betroffenen Verbraucher darüber informieren.
Transparenz über Verarbeitung und Speicherung
Verbraucher haben das Recht, umfassend über den Umgang mit ihren Daten informiert zu werden. Nach Artikel 15 dürfen sie erfragen, welche Daten über sie gespeichert werden. Unternehmen müssen diese Informationen laut Artikel 12 in „präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache“ liefern.
Informationspflicht bei Hackerangriffen
Unternehmen müssen Hackerangriffe innerhalb von 72 Stunden an nationale Sicherheitsbehörden melden – und auch die betroffenen Verbraucher informieren. Diese Regel gilt für alle Datenschutzverstöße, die ein Risiko für die gespeicherten persönlichen Daten darstellen. Einen Vorfall wie bei Uber, wo ein Datenklau erst nach über einem Jahr veröffentlicht wurde, soll es damit nicht mehr geben.
Recht auf Berichtigung
Verbraucher können nach Artikel 16 die Korrektur falscher Daten verlangen. Außerdem haben sie in bestimmten Fällen nach Artikel 18 das Recht auf Einschränkung der Datenverarbeitung.
Recht auf Vergessenwerden
Verbraucher haben das Recht, Unternehmen gezielt zur Löschung ihrer persönlichen Daten aufzufordern. Diese Möglichkeit bestand bisher zwar auch, musste jedoch gerichtlich durchgesetzt werden. Jetzt ist dieser Anspruch in Artikel 17 der DSGVO verankert.
Recht auf Datenportabilität
Eine weitere Neuerung ist das Recht auf sogenannte Datenportabilität, also Datenübertragung. Sie ist im Artikel 18 der DSGVO geregelt und bedeutet, dass Verbraucher ihre Daten in einem „strukturierten, gängigen und maschinenlesbaren Format“ verlangen können, um die Informationen dann an einen anderen Anbieter zu übermitteln. Darüber hinaus müssen Unternehmen die Daten direkt an den anderen Anbieter weiterleiten, wenn der Verbraucher das fordert.
Position der Verbraucher wird gestärkt
Die neue Datenschutz-Grundverordnung stärkt die Position der Verbraucher hinsichtlich des Umgangs mit ihren persönlichen Daten. Doch in den Formulierungen der DSGVO wird auch deutlich, dass Privatpersonen ihre Rechte gegenüber Unternehmen aktiv einfordern müssen. Der Erfolg der neuen Regelung wird also massiv davon abhängen, wie umfassend Verbraucher von ihren neuen Rechten Gebrauch machen.
Autor: Stefan Wehrhahn
Stefan Wehrhahn ist Country Manager DACH bei Bullguard. Er hat über 10 Jahre Erfahrung im IT-, Storage und Security-Bereich und setzt sich mit Bullguard für mehr Sicherheit im Internet der Dinge ein.