DSGVO: Reduzieren Sie Ihr Risiko, schützen Sie Ihre Kunden

Einhaltung    | 14. September 2017

Sie haben die DSGVO eingehalten, aber es kann trotzdem zu Verstößen kommen und die Geldbußen sind enorm. Wie können Sie das Risiko minimieren?

Bis zum 25. Mai 2018 müssen Unternehmen, die Geschäfte mit EU-Bürgern machen, die Standards der Datenschutz-Grundverordnung (DSGVO) einhalten, sonst drohen Geldbußen von bis zu 20 Millionen Euro oder 4 Prozent ihres weltweiten Jahresgewinns. Aber selbst wenn Ihr Unternehmen die Verordnung einhält, werden Hacker weiterhin versuchen, an Ihre Daten zu gelangen, und wenn sie Erfolg haben, drohen Ihnen Sammelklagen und die Zerstörung des hart erkämpften Verbrauchervertrauens.

Und Sie könnten trotzdem mit Geldbußen gemäß der DSGVO rechnen.

Die Nachrichten sind voll von guten Gründen für das Misstrauen der Verbraucher, wie zum Beispiel der Equifax-Datendiebstahl im Jahr 2017, bei dem 143 Millionen Datensätze gestohlen wurden, darunter auch die damit verbundenen Sozialversicherungsnummern. Wenn Sie jedoch nachweisen können, dass Sie alle möglichen Schritte unternommen haben, um die Menschen zu schützen, die sich auf Sie verlassen, werden Ihnen die Gerichte und Ihre Kunden eher im Zweifelsfall vertrauen.

Verschlüsselung ist ein offensichtlicher Schritt

Verschlüsselung ist Teil der DSGVO. Gemäß der Verordnung müssen Sie Ihre Daten daher in ein verschlüsseltes, schwer zu entschlüsselndes Format konvertieren, das Authentifizierung, Integrität und Nichtabstreitbarkeit aufrechterhält. Sie müssen jedoch auch Datenminimierung und De-Identifizierung implementieren.

Einfach ausgedrückt bedeutet Datenminimierung, dass Sie nicht mehr anfordern oder behalten, als Sie benötigen, während die De-Identifizierung vorübergehend Verbindungen zwischen den Datenpunkten und den Personen entfernt, die sie beschreiben.

Datenminimierung

Bei so vielen verfügbaren persönlichen Daten kann es verlockend sein, neue Informationen zu sammeln und zu vergleichen, um mehr über Ihre Kunden zu erfahren. Aber die Verbraucher mögen das nicht und sind zunehmend misstrauisch, wenn es darum geht, ihre Daten weiterzugeben. Während also der Name und die Telefonnummer eines Angehörigen auf einem Finanzdienstleistungskonto helfen könnten, die Familie zu verifizieren, wenn der Kontoinhaber stirbt, geht die Frage nach den Arbeitsdaten des Verwandten möglicherweise zu weit. Und Sie überschreiten definitiv die Grenze, wenn Sie Daten für einen Zweck verwenden, dem der Kunde nicht zugestimmt hat.

Die DSGVO besagt ausdrücklich, dass Sie die Menge der von Ihnen gesammelten Daten sowie deren Verwendung begrenzen müssen. Darin heißt es auch, dass Sie die Daten nur für den angegebenen, rechtmäßigen Zweck verwenden dürfen, und es wird betont, wie wichtig es ist, einen Plan zur Vernichtung der Informationen zu haben, sobald die vereinbarte Verwendung beendet ist.

Und ehrlich gesagt: Weniger Daten bedeuten, dass Sie weniger stehlen können.

De-Identifizierung

Ihre Institution muss in einigen Fällen möglicherweise einige Daten direkt mit den Namen von Einzelpersonen verknüpfen, z. B. um Namen, Kontonummern und Adressen für die Erstellung von Kontoauszügen zusammen aufzubewahren. Andere Arbeitsgruppen benötigen jedoch keine identifizierenden Informationen, müssen diese aber möglicherweise später wieder verknüpfen können.

De-Identifizierung unterscheidet sich von Anonymisierung; die Informationen sind immer noch verknüpft, aber es werden Schritte unternommen, um sie zu maskieren. Dazu kann die Vergabe von Pseudonymen an Personen sowie eine „K-Anonymisierung“ gehören, bei der Details, die eine Identität offenlegen könnten, wie z. B. ein Geburtsdatum, ausgeblendet oder ersetzt werden.

Als Teil der Verschlüsselung macht die De-Identifizierung es Hackern deutlich schwerer, gestohlene Informationen zu nutzen.

Die Vorteile der Risikominimierung

Obwohl es sich um EU-Recht handelt, ist die Einhaltung der DSGVO unabhängig davon, wo Ihr Unternehmen tätig ist, von Wert. Die Einhaltung dieser Standards, die Minimierung Ihrer Datenerfassung und die Gewährleistung der De-Identifizierung helfen Ihnen, Ihren Ruf zu schützen, Ihren Kunden Gründe zu geben, Ihnen zu vertrauen, und Ihr Gesamtrisiko zu verringern.