- Anzeigen -
Besuchen Sie auch unser Zeitschriftenportfolio im Bereich Governance, Risk, Compliance & Interne Revision

Sie sind hier: Home » Fachartikel » Hintergrund

DSGVO: Die Pflicht ist geschafft


Ziel der DSGVO ist der Schutz personenbezogener Daten und damit der Schutz der Privatsphäre des Kunden - Dieses Kundeninteresse sollte der "Nordstern" für alle Prozesse sein
Halten sich Unternehmen an die Vorgaben der DSGVO und sehen sie als Chance zur Anpassung ihrer Prozesse im Sinne ihrer Kunden, fördern sie damit deren Zufriedenheit und schaffen Vertrauen

- Anzeigen -





Von Karl-Heinz Wonsak, Security Solution Manager bei Axians IT Solutions

Die EU-Datenschutz-Grundverordnung (DSGVO) hat eine hohe Aufmerksamkeit auf den Schutz von personenbezogenen Daten gelenkt und sorgt für verbesserte Rechte der Daten-Eigentümer. Doch Unternehmen und Organisationen fällt es oft noch schwer, ihre Geschäftsprozesse DSGVO-konform zu gestalten, um Regelverstöße und Strafen zu vermeiden. Dabei bietet die DSGVO viele Chancen, Geschäftsprozesse neu an den Kunden auszurichten und damit die Kundenbindung zu erhöhen.

Laut einer aktuellen Bitkom-Studie haben erst ein Viertel der Unternehmen in Deutschland die DSGVO vollständig umgesetzt – die Mehrheit hinkt somit noch hinterher. Wer bisher schon das bestehende Bundesdatenschutzgesetz konsequent befolgt hat, für den stellt die DSGVO keinen Grund dar, nervös zu werden. Im Gegenteil – es lohnt sich gleich in zweierlei Hinsicht, die Anforderungen der DSGVO zu erfüllen: In erster Linie, um Datenverlust und -diebstahl zu verhindern, Reputationsschäden zu vermeiden und keine hohen Strafen zahlen zu müssen. Aber auch das Kundenverhältnis lässt sich nachhaltig verbessern: Wer die DSGVO proaktiv angeht und seine Geschäftsprozesse entlang ihrer Vorgaben entwickelt, schafft Vertrauen, wie die folgenden Beispiele zeigen.

Bestandsaufnahme bringt Potenziale ans Licht
Ziel der DSGVO ist der Schutz personenbezogener Daten und damit der Schutz der Privatsphäre des Kunden. Dieses Kundeninteresse sollte der "Nordstern" für alle Prozesse sein. Kunden erwarten zu Recht, dass ihre Daten geschützt werden, dazu gehört auch der Schutz vor Missbrauch innerhalb der eigenen Organisation.

Dabei gilt das Minimalprinzip, das heißt, nur die Person, die ihn wirklich benötigt, erhält Zugriff auf die jeweiligen Daten. Wird dieser Grundsatz nicht eingehalten, kann es teuer werden, wie das Beispiel eines portugiesischen Krankenhauses zeigt. Hier wurde mehr Ärzten, als überhaupt angestellt, der Zugriff auf personenbezogene Daten erlaubt. Das Ganze gipfelte in einer 400.000 Euro hohen Geldstrafe – der europaweit ersten substanziellen Geldstrafe aufgrund eines Verstoßes gegen die EU-DSGVO.

Halten sich Unternehmen jedoch an die Vorgaben der DSGVO und sehen sie als Chance zur Anpassung ihrer Prozesse im Sinne ihrer Kunden, fördern sie damit deren Zufriedenheit und schaffen Vertrauen. Dazu betreiben viele Unternehmen das sogenannte "Garage Cleaning", um einen Überblick über vorhandene Tools und personengezogene Daten zu erhalten. Dabei lassen sie aber gerne außer Acht, was sie mit dem gewonnen Wissen alles angefangen können.

Einverständnis einholen mit Mehrwert
Viele Unternehmen haben ihre Kunden per E-Mail oder Post darüber informiert, dass sie Daten erhoben haben und um das Einverständnis gebeten, dies weiter tun zu dürfen – mehr jedoch nicht. Denn die wenigsten Unternehmen haben im Zuge dessen ihre Kunden darüber informiert, welche Daten bereits erhoben worden sind und welche noch benötigt werden, geschweige denn erläutert, was dies dem Kunden nutzt. Hier könnte das Unternehmen als Kundenservice proaktiv einen Datenauszug mitschicken und erklären, was es konkret mit den Daten macht.

Viele Kunden haben flüchtig ihr Einverständnis übermittelt, ohne sich weiter mit dem Unternehmen und seinem Angebot zu beschäftigen. Dabei könnten Unternehmen die Gelegenheit nutzen, um direkt einen Mehrwert für den Kunden zu generieren: Zusätzlich zu den Standard-E-Mails zum Thema Datenschutz könnten sie gleichzeitig alternative Tarife, Services oder Produkte anbieten. Beispielsweise könnte ein Stromanbieter nach der Auswertung der Kundendaten gleich ein Angebot für einen Spartarif, passend auf die individuellen Bedürfnisse des jeweiligen Kunden zugeschnitten, mitschicken.

Transparenz beim Einsatz von Cookies
Auch Cookie-Warnungen auf den Webseiten können eine Chance zur serviceorientierten Kundenansprache sein. Viele Besucher empfinden diese Warnhinweise als störend. Denn wenn Kunden auf ein Portal gehen, sei es ein Informationsportal, ein Einkaufsportal oder ein Shop, müssen sie den Hinweis "Wir verwenden Cookies. Sind sie damit einverstanden?" erst bestätigen, bevor sie fortfahren können. Die Auswahlmöglichkeiten bestehen dabei nur aus, "einverstanden" oder "nicht einverstanden". Für den Kunden ist meist aber gar nicht ersichtlich, was eigentlich hierbei der Unterschied ist, welche Auswahlmöglichkeit sich ihm bietet und womit er sich durch seinen Klick einverstanden erklärt.

Dabei könnten Unternehmen einfach transparent machen, welche Daten erhoben und wie lange diese vorgehalten werden sollen. Unternehmen sollten es ihren Kunden ermöglichen, ihr Einverständnis für die Erhebung und Verarbeitung von Daten in sehr einfacher und klarer Form zu geben. Ein Positivbeispiel hierfür bietet die Website von IBM. Hier wird nicht nur ausführlich erklärt, was mit den Daten passiert, sondern es wird den Kunden und Interessenten die Möglichkeit geboten, aus drei Optionen hinsichtlich der Cookie-Einstellungen zu wählen.

Intelligente und interaktive Einkaufserfahrung
Ein weiterer positiver Nebeneffekt der DSGVO stellt sich ein, wenn Unternehmen ihre Kunden befähigen, selbst aktiv über den Gebrauch ihrer Daten zu bestimmen. Ein Beispiel dazu wäre die interaktive Kundenansprache in einem Einkaufszentrum. Die meisten dieser Malls bieten ihren Kunden mittlerweile freies WLAN. Wählt sich ein Kunde in das WLAN ein, könnte er nun eine Nachricht auf sein Smartphone bekommen. Diese beinhaltet eine Begrüßung, die ihn herzlich willkommen heißt und dazu auffordert, seinen Besuchernamen zu nennen. Wenn der Kunde dann diesen eingibt und der Nutzung seiner Daten zustimmt, erhält er im Gegenzug eine Führung durch sämtliche Angebote der einzelnen Shops. Darüber hinaus könnte ihm der Mall-Betreiber Informationen über Speiseangebote und aktuelle Schnäppchen bieten.

Diesen Informationsservice könnte der Kunde dann nutzen und der Anbieter wiederum kann ihn so gestalten, wie er es möchte. Zudem wäre es auch möglichen, den Kunden elektronisch durch das Einkaufszentrum zu führen und ihm Hinweise auf besondere Aktionen wie spezielle Angebote oder Veranstaltungen zukommen zulassen. Die Informationen erhält der Kunde nur für die Dauer des Besuchs. Dieser gibt im Gegenzug durch ein Opt-In sein Einverständnis, dass seine Daten in diesem Zeitraum verarbeitet werden dürfen. Beim Verlassen der Mall erscheint ein kurzer Hinweis, der den Kunden dazu auffordert, sich zu entscheiden, ob er der Speicherung seiner Daten zustimmen möchte oder lieber nicht. Der Kunde hat nun die Möglichkeit, frei über seine Daten zu verfügen. Wählt er die Speicherung seiner Daten, erhält er beim nächsten Besuch personalisierte Angebote. Stimmt er dem nicht zu, können seine Daten zumindest noch anonymisiert für Analysezwecke behalten und ausgewertet werden. Der Kunden bleibt also Herr seiner Daten und bekommt ein gesteigertes Einkaufserlebnis, während der Mall-Betreiber die gesammelten Daten verwerten kann.

Verträge smart gestalten
Indem Unternehmen ihre Kunden in die Prozesse einbinden und Kundenerlebnisse proaktiv gestalten, schaffen sie Transparenz und somit Vertrauen. Diese sind dann vielleicht eher bereit, die Aktualität der ihnen zugesandten Daten zu prüfen und entscheiden großzügiger, wenn es darum geht, welche Daten ein Unternehmen weiterverarbeiten darf und welche nicht. Dies kann ein bedeutender Wettbewerbsvorteil sein. Gleichzeitig stehen Unternehmen, die nicht in direkter Kundennähe stehen, vor neuen Herausforderungen. Denn für sie stellt sich die Frage: Wie kommen sie an Feedback- oder Kundenzufriedenheitsdaten?

Die Lösung hier ist eine konkrete Vereinbarung in Verträgen zwischen kundennahen und kundenfernen Unternehmen. Beispielsweise kann ein Automobilhersteller Daten über die Kundenzufriedenheit der eingebauten Lautsprecher erheben und diese dem Hersteller der Lautsprecher zukommen lassen. So haben beide Seiten Zugriff auf die gesammelten Daten, ohne dass eine Abhängigkeit entsteht. Generell ist Unternehmen deshalb dringend zu raten, in der Ausgestaltung von Verträgen vermehrt auf den Aspekt Datentransfer und -zugehörigkeit zu achten.

Der Autor
Karl-Heinz Wonsak ist Security Solution Manager bei Axians IT Solutions. Er arbeitet als Trusted Advisor und Berater in dem Bereich IT-Sicherheit. Mit seiner Expertise hat er eine Vielzahl von Projekten im Bereich Data Security and Privacy unterstützt. Schwerpunkt seiner Arbeitet ist häufig die organisatorische und technologische Umsetzung von Berechtigungskonzepten. Insbesondere die Ausrichtung der IT-Sicherheit an innovativen Geschäftsprozessen ist ihm ein Anliegen.
(Axians: ra)

eingetragen: 11.03.19
Newsletterlauf: 06.05.19

Axians IT Solutions: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -




Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Hintergrund

  • In Sachen Datenschutz noch einiges zu tun

    Inzwischen greift die digitale Transformation in vielen Bereichen, nicht zuletzt im Handel. Die Branche leidet unter massiven Angriffen von Cyberkriminellen unterschiedlicher Couleur, nicht zuletzt auch unter Angriffen, die von staatlicher Seite aus unterstützt werden. Das Ziel sind insbesondere persönliche Informationen der Kunden, Kreditkartendaten oder Bankinformationen. Die Grenzen zwischen physischer Realität und digitaler Welt haben sich längst verwischt und Kriminelle den digitalen Raum für sich erschlossen. Gleichzeitig erwarten Kunden heute schnellere Bestell- und Zahlungsabwicklungen und eine prompte Lieferung. Online wie Offline. Mit diesen Erwartungen hat sich auch die Struktur des Einzelhandels verändert. Gerade im Bereich Handel ist die digitale Transformation in vielen Bereichen relativ weit fortgeschritten. Allein schon, weil Händler sich bemühen den Ansprüchen ihrer Kunden gerecht zu werden. Das führt auf der anderen Seite zu Herausforderungen, die nicht zu unterschätzen sind. Es gilt die persönlichen Informationen von Kunden, Partnern und Lieferanten in diesem Prozess umfassend zu schützen. Man darf getrost die Gleichung aufstellen, je mehr neue Technologien wie Cloud, Big Data, IoT und mobile Zahlungsdienstleistungen angetreten sind die Benutzererfahrung zu verbessern, desto größer die Sicherheitsherausforderungen.

  • Und dann noch die DSGVO

    Im aktuellen Look@IT beruft sich Michael Kroker in seinem Blog auf eine Studie des italienischen IT-Beraters und Systemintegrators Reply. Demnach ist das Thema Datensicherheit im großen Komplex Industrie 4.0 die wohl größte Herausforderung für den Mittelstand. Zwar ist die Bereitschaft da, eine umfassende Vernetzung anzugehen, allerdings sind die Hürden andere als die, mit denen Großkonzerne zu kämpfen haben. Positiv wird hervorgehoben, dass mittelständische Unternehmen bereit sind auf den fahrenden Zug aufzuspringen. Drei von vier Unternehmen wollen in den kommenden Jahren beispielsweise in ihre IoT-Strategie investieren. Die größte Hürde sind Datensicherheitsbedenken gerade im Hinblick auf das dazu notwendige Cloud Computing. Die aktuelle Realität in zahlreichen mittelständischen Unternehmen deckt sich mit den Ergebnissen der Studie: Firmen betreiben bevorzugt hybride Netzwerkvarianten. Was Großunternehmen oder Konzerne und den Mittelstand zusätzlich unterscheidet sind Bedenken wegen der zu erwartenden Kosten. Fast die Hälfte der in der Studie befragten Mittelständler (48 Prozent) macht sich deswegen Sorgen, aber nur 29 Prozent der Großunternehmen.

  • Cyber Intelligence - Mehr als ein Trend?

    Cyber Intelligence, auch Cyber Threat Intelligence oder nur Threat Intelligence, ist keine neue Disziplin innerhalb der Informationssicherheit. Die US-amerikanische National Security Alliance hat gemeinsam mit dem Beratungsunternehmen Deloitte bereits 2011 verlautbaren lassen, dass Cyber Intelligence tatsächlich so etwas wie die intelligentere Art und Weise ist, mit Datenschutzverletzungen und Bedrohungsszenarien umzugehen. Zitat: "The consultancy Deloitte deems cyber intelligence as a vastly more sophisticated and full set of threat management tactics (than IT security itself), providing tools to move to a more proactive, over-the-horizon threat awareness posture."

  • Identitäten für elektronische Finanztransaktionen

    Bei einer Online-Transaktion "Ich stimme zu" zu klicken, reicht nicht aus um nachzuweisen, dass tatsächlich die richtige Person zugestimmt hat. Wenn es um sensible Transaktionen wie die von Finanzdienstleistern geht, dann reichen auch eine aufgezeichnete gesprochene Zustimmung oder eine handschriftliche Online-Unterschrift für eine eineindeutige Verifizierung nicht aus. Hier kommt digitale Identität ins Spiel. 'Digitale Identität' weist eine entsprechende Online-Identität aus, so wie man es von Führerschein oder Ausweis kennt. Das elektronische Transaktionsverfahren besteht aus drei Stufen: Initiale Identifikation, Authentifizierung und Autorisierung. Wie das im Einzelnen funktioniert und welche Transaktionen Banken und Finanzdienstleister mithilfe von Identitäten durchführen können, das ist Thema des aktuellen Blogbeitrags von GlobalSign.

  • Identity- und Access-Management-Systeme

    Der regulatorische Druck auf Unternehmen und Organisationen, geeignete Kontrollmechanismen zu etablieren, steigt stetig. Moderne IAM-Lösungen (Identity & Access Management) können wichtige Kernfunktionen übernehmen, um Vermögenswerte und Prozesse der Firmen besser zu schützen. IAM trägt bereits präventiv zur Risikominimierung bei, indem es Identitäten regelmäßig überprüft und nur autorisierten Nutzern Zugriff auf bestimmte Daten gewährt. Zentrale Compliance-Anforderungen erfüllen moderne IAM-Lösungen auch mit der Bereitstellung umfangreicher Analysen und Reports, die jederzeit tiefgreifende Einblicke in die Zugriffsstrukturen eines Unternehmens gewähren. Moderne IAM-Systeme beziehen hierfür ihre Daten aus zahlreichen Quellen und erstellen jederzeit detaillierte Analysen und Berichte. Dies beschleunigt die Reaktionszeit, um Autorisierungsfehler korrigieren zu können, verbessert die Systemsteuerung und vermindert die Risiken.