Für manche Unternehmen ist diese simple Anfrage ein Albtraum: Ein ehemaliger Kunde meldet sich und verlangt die Löschung seiner personenbezogenen Daten gemäß DSGVO. Innerhalb eines bestimmten Zeitraumes müssen dann sämtliche personenbezogenen Daten aus CRM- und ERP-Systemen und in sonstigen Datenablagen vernichtet werden. Dazu gehören auch Informationen auf Zetteln, die seit Jahren in Schränken oder Archiven verstauben. „Damit ich all diese Daten vorschriftsgemäß löschen kann, muss ich wissen, wo sie sich überhaupt befinden, viele stellt das vor eine massive Herausforderung“, sagt Ronald Kopecky, Gründer und Geschäftsführer der Komdat Datenschutz GmbH. Unternehmen müssen zudem nachweisen, dass alle Daten fristgerecht gelöscht wurden – sonst kann sich der Antragsteller bei der zuständigen Behörde beschweren. „Wenn sich dann herausstellt, dass die Löschung nicht vollständig war, kann es finanziell schmerzvoll werden“, sagt Kopecky. Regelmäßig würden sich Unternehmen mit spezifischen Löschungsanfragen bei Komdat melden. Kopecky: „Sie wissen nicht, wie sie innerhalb der vorgegebenen Frist eine Löschung durchsetzen sollen, weil sie schlichtweg nicht darauf vorbereitet sind“, sagt er.

Punktuelle Maßnahmen reichen nicht aus

Die Anfrage nach einer fristgerechten Löschung der personenbezogenen Daten ist nur ein Beispiel von vielen dafür, welche Probleme für Unternehmen auftauchen können, die sich nicht intensiv genug mit Datenschutz- und Datensicherheit beschäftigten. Und davon gäbe es laut Kopecky jede Menge. „Es ist typisch österreichisch, dass viele Unternehmen zuerst glauben, sie könnten eh alles selbst“, sagt er. Ein Mitarbeiter wird in einen zweitätigen Kurs geschickt oder soll sich einen halben Arbeitstag einlesen und dann ein Konzept umsetzen – dann werde das Thema abgehakt. „Unternehmen setzen oft einzelne punktuelle Maßnahmen um und denken, sie hätten alles Notwendige erledigt – als Experte stellt man dann aber fest, dass in Wahrheit nichts substanzielles passiert ist“, erklärt Kopecky.

Sein Unternehmen, Komdat, entstand als klassisches IT-Unternehmen, das sich anfänglich besonders mit IT-Sicherheit beschäftigte. In den späten Nullerjahren verlegte sich der Schwerpunkt in Richtung normenorientiertes Arbeiten und organisatorische Sicherheit, in den späten 2010er-Jahren schließlich auf Datenschutz. „Unser IT-Schwerpunkt ist mit der Zeit gänzlich Organisations-, Prozess- und Beratungsthemen gewichen“, sagt Kopecky. Das Unternehmen habe sich schon früh mit der neuen Datenschutzgrundverordnung beschäftigt und bietet heute seine Expertise zum Thema in ganz Österreich an. „Als wir in der Anfangszeit auf Bühnen vor einigen wenigen Zusehern über die Wichtigkeit des Themas referiert haben, wurden wir nur groß angeschaut“, erinnert sich Kopecky.

Zahlreiche Datenschutz-Missverständnisse

Auch Jahre nach dem Inkrafttreten der DSGVO gäbe es in der heimischen Unternehmenslandschaft zahlreiche Missverständnisse zum Thema Datenschutz. Einige Unternehmen würden sich zu klein dafür halten – ein Irrtum. „Das zweite, weitaus verbreitetere Missverständnis ist, dass Datenschutz ein IT-Thema ist“, sagt Kopecky. Tatsächlich könne die IT-Abteilung eines Unternehmens nur eine kleine Facette jener Dinge abdecken, die von der DSGVO gefordert sind – die Grundlagen für Datenschutz seien vielmehr Organisation und Struktur. „Die IT hat meist in sehr viele Unternehmensbereiche keinen Einblick – wie etwa Recruiting, Personalmanagement, Lohnverrechnung oder Verkauf. Die Daten landen zwar auf Servern, die Bearbeitung findet jedoch in den jeweiligen Abteilungen statt“, erklärt Kopecky.

Nur wenn man die Prozesse in den jeweiligen Abteilugen genau kennt, könne man Datenschutz seriös umsetzen. „Prozesse müssen transparent gemacht und gespeicherte Daten inventarisiert werden – diese Vorgänge machen ein Unternehmen effizienter und damit auch profitabler“, erklärt Kopecky. „Ein funktionierendes Datenschutzsystem ist nicht kompliziert, wenn man sich damit auskennt – und es muss so aufgebaut sein, dass es über Jahre gepflegt und gewartet werden kann“, erklärt der Gründer. Komdat bietet Unternehmen neben der Erarbeitung und Umsetzung eines Datenschutzkonzepts auch Wissensvermittlung, das Erstellen einer Risikolandkarte oder einen externen Datenschutzbeauftragten, der ein Unternehmen über einen längeren Zeitraum betreuen kann.

10,4 Millionen euro strafe für Datenschutzvergehen

Eine Datenschutzstrategie funktioniert nicht ohne genau festgelegte Verhaltensregeln. „Jedes Unternehmen braucht durch das Management klar definierte Regeln, es muss niedergeschrieben werden, wie mit Daten genau umgegangen wird – und in Schulungen sollte regelmäßig daran erinnert werden“, erklärt Kopecky. Ohne eine genaue Umsetzung der Regeln würden die Maßnahmen nicht mehr greifen.

Was dann passiert, hat Kopecky selbst unzählige Male mitbekommen – die Folgen für die betroffenen Unternehmen können fatal sein. „Oft gibt es zwar ein Bewusstsein, dass durchaus sensible Daten vorhanden sind, dann werden diese aber nicht richtig geschützt, etwa, indem eine Türe nicht verschlossen oder alles offen am Schreibtisch liegen gelassen wird“, sagt der Geschäftsführer. In einem Fall sammelte eine Reinigungskraft etwa alle weggeworfenen Papierzetteln mehrerer Abteilungen. Als sie feststellte, dass im Müllraum des Bürogebäudes kein Platz mehr war, entsorgte sie die Dokumente mit sensiblen Daten kurzerhand in den Mülleimern daheim im Gemeindebau. „Dort hat sich ein Bewohner gewundert, warum die Papiercontainer schon wieder voll sind, hat die Zetteln herausgeholt und hielt dann plötzlich die gesamte Unternehmenskorrespondenz eines Konzerns in Händen“, erzählt Kopecky.

Noch fataler ist ein Datenschutz-Verstoß in Deutschland abgelaufen: Der Elektronikhändler notebooksbilliger.de wurde von der Landesbehörde für Datenschutz (LfD) Niedersachens zu einem Bußgeld in der Höhe von 10,4 Millionen Euro verurteilt. Das Unternehmen hatte mindestens zwei Jahre lang seine Beschäftigen mit Kameras an ihren Arbeitsplätzen, im Lager und in den Aufenthaltsbereichen überwacht – ohne erforderliche Rechtsgrundlagege. Die hohe Strafe erklärt sich durch Artikel 83 der DSGVO: Bußgelder betragen bis zu vier Prozent des gesamten weltweit erzielten Jahresumsatzes des Unternehems. Gewöhnlich ist der drohende Imageschaden für das betroffene Unternehmen viel größer als die Strafe der Behörden. Durch eine genaue Umsetzung der Verhaltensregeln lassen sie sich verhindern._