Wir brauchen endlich klare Ansagen der Datenschützer!

Am 25. Mai 2020 ist die DSGVO seit genau zwei Jahren in Kraft. ownCloud gratuliert der Datenschutz-Grundverordnung zum Geburtstag – und wünscht sich klare Ansagen der obersten Datenschützer.

Bei ownCloud in Nürnberg, Spezialist für Digital Collaboration, sieht man dieses Jubiläum zwiegespalten. „Die Einführung der DSGVO hat die Verantwortlichen zweifellos viele Nerven gekostet. Aber sie hat auch etwas äußerst Erfreuliches bewirkt: nämlich das allgemeine Problembewusstsein für den Datenschutz geschärft“, erklärt ownCloud-CEO Tobias Gerlinger. „Und dass sie grundsätzlich ein Erfolgsmodell ist, zeigt nicht zuletzt die Tatsache, dass sie inzwischen weltweit viele Nachahmer gefunden hat. Australien, Brasilien, Südkorea, Thailand und sogar US-Staaten wie Kalifornien nehmen sich bei ihren Datenschutzgesetzen die DSGVO zum Vorbild.”

In der Praxis sieht Gerlinger allerdings noch einige große Herausforderungen und ungelöste Probleme. So sind insbesondere viele beliebte und gängige SaaS-Plattformen nicht „by default“, also in ihrem Auslieferungszustand, mit der DSGVO konform. Dazu müssen sie erst aufwändig umkonfiguriert werden. So hat etwa der hessische Beauftragte für Datenschutz und Informationsfreiheit erklärt, dass Office 365 in hessischen Schulen nur eingesetzt werden darf, wenn die Übermittlung jedweder Art von Diagnosedaten an Microsoft unterbunden wird. „Das führt nicht nur zu einem enormen Aufwand, denn im Prinzip muss jedes Update neu auf DSGVO-Konformität geprüft und gegebenenfalls neu konfiguriert werden. Das Ergebnis ist auch eine große Rechtsunsicherheit, weil die Unternehmen oder Behörden ständig Gefahr laufen, gegen die DSGVO zu verstoßen.“

Nach wie vor ungelöst ist auch der Konflikt zwischen der DSGVO und dem US Cloud Act, dem die Cloud-Dienste von US-amerikanischen Anbietern unterliegen. Viele Experten sind der Meinung, dass bei solchen Diensten wegen der Zugriffsmöglichkeiten der US-Regierung nur bestimmte Daten gespeichert werden dürfen; andere gehen noch einen Schritt weiter und vertreten die Ansicht, dass sich DSGVO und US Cloud Act ganz grundsätzlich gegenseitig ausschließen. Nutzen Unternehmen US-amerikanische Cloud-Dienste, bewegen sie sich permanent in einem Graubereich. Deshalb fordert Gerlinger: „Wir brauche endlich klare Ansagen von unseren obersten Datenschützern, welche Plattformen für welche Daten genutzt werden dürfen und welche eben nicht – ganz so, wie es der Bundesbeauftragte für Datenschutz und Informationsfreiheit getan hat, als er den Einsatz von WhatsApp in Bundesbehörden untersagte. Ohne eindeutige Leitlinien ist es für Unternehmen schwierig, die DSGVO konsequent einzuhalten.“

Eine weitere große Herausforderung stellt laut Gerlinger weiterhin die fristgerechte Löschung personenbezogener Daten dar. Sie findet seiner Erfahrung nach in der Praxis immer noch viel zu selten statt. Das liegt zum einen daran, dass es oft an einer entsprechenden Kategorisierung der Daten fehlt. Zum anderen mangelt es aber auch häufig an einer geeigneten Software-Unterstützung für das automatisierte Löschen. „Unternehmen benötigen hierfür Tools wie das File Lifecycle Management von ownCloud, mit denen sich Archivierung und Löschung jeder einzelnen Datei mit Hilfe von Richtlinien automatisieren lässt. Eine solche Lösung ermöglicht es Unternehmen, die DSGVO-Regelungen zur Aufbewahrung von Dateien mit personenbezogenen Daten unkompliziert und zuverlässig umzusetzen und empfindliche Strafen zu vermeiden. Da ownCloud zudem by default DSGVO-konform ist und sich auf eigenen Servern hosten lässt, sind Unternehmen und Behörden damit absolut auf der sicheren Seite.“