![\"PITSS](\"https:\/\/pitss.org\/de\/wp-content\/uploads\/sites\/9\/2017\/05\/pitss-innovation-day-2017-stephan-la-rocca-300x300.jpg\")
Stephan La Rocca, Business Development Manager, PITSS GmbH<\/p><\/div>\n
Am 25.05.2018 tritt die <\/span>Europ\u00e4ische Datenschutz-Grundverordnung<\/b> in Kraft. Sie regelt im Wesentlichen den Schutz personenbezogener Daten, erh\u00f6ht die Transparenz des Datenschutzes f\u00fcr den Einzelnen und f\u00fchrt zu einer Homogenisierung des Datenschutzes in den EU-Mitgliedsstaaten. Es geht um die Erhebung personenbezogener Daten, deren Nutzung, Speicherung, Verarbeitung, Weitergabe und L\u00f6schung. Auch wenn zuvor auf nationaler Ebene ein hoher Ma\u00dfstab im Umgang mit personenbezogenen Daten bestand, ist dennoch zu pr\u00fcfen, ob die EU-Forderungen erf\u00fcllt werden. Unternehmen, die den Vorgaben nicht gerecht werden, m\u00fcssen mit hohen Sanktionen und Strafzahlungen rechnen. <\/span><\/p>\n Bis zum Inkrafttreten der EU-DSGVO ist es nicht mehr lange hin und die meisten Unternehmen arbeiten schon auf Hochtouren, um die Regelungen umzusetzen. Wie sieht es bei Ihnen aus?\u00a0<\/span>PITSS Business Development Experte Stephan La Rocca gibt einige wertvolle Informationen und Tipps, damit Ihnen die neue Gesetzgebung weniger Kopfschmerzen bereitet.<\/p>\n PITSS:<\/strong>\u00a0Herr La Rocca,\u00a0welche Bedeutung hat die EU-Datenschutz-Grundverordnung f\u00fcr deutsche Unternehmen, die von jeher hohen Ma\u00dfst\u00e4be durch nationales Recht unterliegen? Stephan La Rocca:\u00a0<\/strong>F\u00fcr mein Verst\u00e4ndnis haben viele Unternehmen in den vergangenen Jahren den Datenschutz aus der Sicht des Schutzes der Daten vor dem Zugriff Dritter betrachtet und weniger aus der Sicht, dass der Schutzbed\u00fcrftige eigentlich die einzelne Person mit ihren pers\u00f6nlichen Daten ist. Mit der EU-DSGVO r\u00fcckt also der Schutz von Personendaten st\u00e4rker in den Mittelpunkt. Es geht um die berechtigte Erhebung, Verarbeitung, Weiterreichung, Verwaltung und Speicherung von Personendaten sowie deren L\u00f6schung und Dokumentation in den jeweiligen Prozessen. Bei der Dokumentations- und Nachweispflicht sind die Anforderungen an Unternehmen nochmal gestiegen und gerade diese bringen IT-Abteilungen derzeit unter Druck. Es drohen empfindliche Strafzahlungen von bis zu 4% des weltweiten Konzernumsatz. Das bringt viele Firmen, auch in Deutschland, aktuell in Bewegung. <\/span><\/p>\n PITSS:\u00a0K\u00f6nnen Sie anhand eines Beispiels die Tragweite f\u00fcr die Ver\u00e4nderung erkl\u00e4ren?<\/strong><\/p>\n Stephan La Rocca:\u00a0<\/strong>Einige unserer Kunden arbeiten mit externen Dienstleistern zusammen, die die gesamte Webpr\u00e4senz gestalten und betreuen. Werden beispielsweise bei der Einreichung von F\u00f6rderprojekten \u00fcber das Webinterface personenbezogene bis hin zur Kontoverbindungsdaten erfasst, ist das sowohl juristisch als auch technisch abzusichern. Noch st\u00e4rker l\u00e4sst sich das Ausma\u00df der erforderlichen Ma\u00dfnahmen bei stark dezentral agierenden Unternehmen, wie Versicherungen, erkennen. Hier werden im gro\u00dfen Stil Personendaten erfasst, verarbeitet, verteilt, weiterverarbeitet, abge\u00e4ndert, nochmals weitergereicht, erg\u00e4nzt etc… Hier wird nach dem EU-DSGVO verlangt, dass all dies protokolliert und zu jedem Zeitpunkt nachgewiesen werden kann. Dar\u00fcber hinaus m\u00fcssen Rollen und Rechte von Mitarbeitern in Unternehmen gew\u00e4hrleisten, dass sie exakt nur die f\u00fcr ihre Bearbeitung erforderlichen Personendaten bekommen, einsehen und bearbeiten k\u00f6nnen. IT-Abteilungen m\u00fcssen also erst mal analysieren, welche Gesch\u00e4ftsprozesse ben\u00f6tigen welche Daten. Ein gigantischer Aufwand, wenn man dies nicht automatisiert l\u00f6sen kann.<\/p>\n PITSS:\u00a0Was m\u00fcssen Unternehmen tun, um EU-DSGVO-konform aufgestellt zu sein? Wie gehen Unternehmen die Umsetzung der Auflagen an?<\/strong><\/p>\n Stephan La Rocca:\u00a0<\/strong>Verbunden sind die Aufgaben vor allem mit jeder Menge Dokumentation. Es ist ein Verfahrensverzeichnis zu erstellen und die einzelnen Verfahren sauber zu dokumentieren. Eine gute Beschreibung dazu kann beim Bayerischen Landesamt f\u00fcr Datenschutzaufsicht<\/a> eingesehen werden.<\/p>\n PITSS:\u00a0Was und wen brauchen die Unternehmen f\u00fcr die Umsetzung? Stephan La Rocca:\u00a0<\/strong>Jedes Unternehmen sollte einen Datenschutzbeauftragten haben, der je nach Aufgabe auf juristisches, Fachbereichs- und technisches Know-how zugreifen kann. Juristisch arbeiten wir mit einer auf IT-Recht spezialisierten Kanzlei zusammen.<\/p>\n In der Regel ist ein Audit aus Sicht des IT-Rechts kein schlechter Startpunkt f\u00fcr einen konkreten Ma\u00dfnahmenkatalog. In der Dokumentation erh\u00e4lt das Unternehmen alle Informationen, Schritte und Ma\u00dfnahmen f\u00fcr die Umsetzung der geforderten Richtlinien. Es erfolgt eine Bestandsaufnahme der sch\u00fctzenswerten Daten und innerhalb einer automatisierten Analyse, wie wir sie anbieten, wird aufgezeigt, wo welche Daten vorkommen und in welchen Prozessen sie genutzt werden.<\/p>\n <\/p>\n PITSS:\u00a0IT-Abteilungen sind besonders betroffen, da sie f\u00fcr alle Bereiche in der technischen Verantwortung stehen. Wie gehen diese vor? Stephan La Rocca:\u00a0<\/strong>IT-Abteilungen sind vermutlich besonders betroffen, weil bei Ihnen am Ende des Tages die meisten Arbeiten entstehen. Neben der schon angesprochenen Prozess-Dokumentation werden sie in die Pflicht genommen, nachweisen zu k\u00f6nnen, wer welche Berechtigung auf die Datenbest\u00e4nde hat. Gleichfalls muss protokolliert werden, wer, wann und zu welchem Zweck Daten erhoben, ver\u00e4ndert oder weitergegeben hat. Das wird umfangreiche \u00c4nderungen in den Applikationen mit sich bringen. Deshalb sind die bereits angesprochenen Analysen von enormer Bedeutung. Wenn an der auch noch so kleinsten Stelle im System eine unkontrollierte \u00c4nderung vorgenommen wird, kann das weitreichende Konsequenzen haben, die im schlimmsten Fall ganze Systeme zum Erliegen bringen k\u00f6nnen.<\/p>\n
\n<\/span><\/strong><\/p>\n
\n<\/strong><\/p>\n![\"EU-DSGVO](\"https:\/\/pitss.org\/de\/wp-content\/uploads\/sites\/9\/2018\/04\/eu-dsgvo-interview.jpg\")
<\/p>\n
\n<\/strong><\/p>\n