Viele Unternehmen konnten Datenzugriffs- und -Portierungsanfragen nicht innerhalb des in der DSGVO vorgesehenen Zeitraums bearbeiten
Talend-Untersuchung: DSGVO-Konformitätsquote bleibt niedrig
58 Prozent aller global befragten Unternehmen gelingt es nicht, Anträge von Einzelpersonen, die auf Grundlage der DSGVO (Datenschutz-Grundverordnung) eine Kopie ihrer persönlichen Daten angefordert haben, innerhalb der in der Verordnung festgelegten Frist von einem Monat zu bearbeiten. Dies zeigt eine aktuelle Untersuchung von Talend, Anbieter von Lösungen für Cloud-Integration und Datenintegrität.
Im September 2018 veröffentlichte Talend die Ergebnisse seiner ersten DSGVO-Vergleichsstudie. Mit dieser Studie sollte die Fähigkeit von Unternehmen bewertet werden, die Zugangs- und Portabilitätsanforderungen der EU-Verordnung einzuhalten. 70 Prozent der untersuchten Unternehmen waren damals nicht in der Lage, Daten einer betroffenen Person innerhalb eines Monats zur Verfügung zu stellen. Ein Jahr später befragte Talend erneut diejenigen Unternehmen, die im ersten Benchmark die DSGVO-Vorgaben nicht einhalten konnten. Gleichzeitig befragte man auch neue Unternehmen aus der Zielgruppe. Zwar erhöhte sich der Gesamtanteil derjenigen Unternehmen, die eine Einhaltung der Vorschriften vermeldeten, auf 42 Prozent, dennoch bleibt die Quote 18 Monate nach Inkrafttreten der Verordnung vergleichsweise niedrig.
"Diese neuen Ergebnisse zeigen deutlich, dass die Zugangsrechte für betroffene Personen für die meisten Unternehmen immer noch eine Achillesferse sind", so Jean-Michel Franco, Senior Director of Data Governance Products bei Talend. "Zur vollständigen DSGVO-Konformität ist es notwendig zu wissen, wo sich die Daten befinden und wie und von wem sie verarbeitet werden." Ferner sei sicherzustellen, dass die Daten vertrauenswürdig sind. Angesichts der Tatsache, dass in Kürze eine ganze Reihe von Datenschutzverordnungen in den USA (California Consumer Privacy Act, Januar 2020), im APAC-Raum (PDPA in Thailand, Mai 2020) und in Lateinamerika (LGPD in Brasilien, August 2020) in Kraft treten, sollten die Unternehmen jetzt eine Transformation im Bereich Data Governance einleiten, die eine 360-Grad-Sicht auf den Kunden ermöglicht und es den für den Datenschutz Verantwortlichen erlaubt, Datenverarbeitung und -bereitstellung stärker zu automatisieren.
Die Unternehmen werden laut Franco mehr tun müssen, um das Vertrauen betroffener Personen zurückzugewinnen. Gleichzeitig müssten sie sich der Tatsache bewusst sein, dass ihnen bei Nichteinhaltung der Verordnungen und insbesondere infolge von Sammelklagen sehr hohe Bußgelder und erhebliche Reputationsschäden drohen - beides Faktoren, die verheerende Folgen für ein Unternehmen haben können.
Die Vergleichsstudie hat laut Talend unter anderem zu folgenden Erkenntnissen geführt:
Die Nachzügler: Der öffentliche Sektor sowie Medien- und Telekommunikationsbranche tun sich schwer mit der Antragsbearbeitung. Die Untersuchung hat gezeigt, dass nur 29 Prozent der befragten staatlichen Organisationen angeforderte Daten innerhalb der vorgesehenen Frist von einem Monat bereitstellen konnten. Da Daten und neue Technik - zum Beispiel Gesichtserkennung oder künstliche Intelligenz - im öffentlichen Sektor immer häufiger zur Verbesserung der Service-Qualität für den Bürger dienen sollen, sei eine stärkere Integration der Data Governance ein Muss für 2020 und darüber hinaus. Gleiches konnte Talend auch bei Unternehmen der Medien- und Telekommunikationsbranche beobachten. Dort konnten lediglich 32 Prozent der befragten Unternehmen, die richtigen Daten fristgerecht zur Verfügung stellen.
Handel, Finanzbranche, Reise-, Transport- und Gastgewerbe erzielen kaum die Durchschnittsquote. Im Vergleich zum Vorjahr verbesserte der Handel seine Erfolgsquote- Immerhin 46 Prozent der Unternehmen aus dieser Branche konnten Anträge innerhalb der einmonatigen Frist vollständig und korrekt bearbeiten. Ein beträchtlicher Anteil der Unternehmen in dieser Branche verfolgt seit einiger Zeit einen kundenorientierten Ansatz, um die Leistungsqualität ebenso wie interne Prozesse zu optimieren. Die gleiche Situation sei bei Unternehmen im Finanzdienstleistungsbereich sowie in der Reise-, Transport- und Gastronomiebranche festzustellen. Letztgenannte erzielten dabei die beste Leistung, denn diese Branche stellt einen Anteil von 38 Prozent an denjenigen Unternehmen, die in der Lage sind, Daten innerhalb von weniger als 16 Tagen zur Verfügung zu stellen.
Größtes Erfolgshindernis: die fehlende Automation. Eine wesentliche Erkenntnis der neuen Studie ist der Mangel an Automationsmöglichkeiten bei der Antragsbearbeitung. Einer der Hauptgründe für die mangelnde DSGVO-Konformität der Unternehmen war das Fehlen einer konsolidierten Datenansicht und eindeutiger interner Datenbesitzverhältnisse. In der Finanzdienstleistungsbranche beispielsweise schließen Kunden häufig mehrere Verträge mit demselben Unternehmen ab. Diese Verträge sind oft auf verschiedene Speicherorte verteilt, was den Abruf aller notwendigen Informationen erschwert. Die Bearbeitung der Anträge erfordere somit sehr viel manuelle Tätigkeiten, und häufig seien auch fachliche Mitarbeiter einzubeziehen, beispielsweise im Falle einer Versicherung den Kundenbetreuer. Darüber hinaus könne die Bearbeitung von Datenabrufanträgen nach der DSGVO sehr kostspielig sein. Laut einer aktuellen Studie des Marktanalysten Gartner geben Unternehmen "im Schnitt mehr als 1.400 Dollar für die Bearbeitung eines einzigen derartigen Antrags aus" (Quelle: Gartner Report: 5 Areas Where AI Will Turbocharge Privacy Readiness, von Bart Willemsen, 20. August 2019).
Identitätsnachweis und Antragsverfahren müssen besser werden. Die Befragung ergab auch das Fehlen einer Überprüfung der Identität des Antragstellers im Rahmen des Antragsvorgangs. Insgesamt fragten nur 20 Prozent der Unternehmen nach einem Identitätsnachweis. Darüber hinaus verwenden nur sehr wenige der Organisationen, die einen derartigen Nachweis verlangen, eine Möglichkeit der sicheren Online-Übermittlung von Ausweisdokumenten. Stattdessen wurden in den meisten Fällen Ausweiskopien per E-Mail angefordert. Der Antragsvorgang ist auch aufgrund weiterer Schwierigkeiten aufwendig. Zu den häufig genannten Problemen gehören das Feststellen der korrekten E-Mail-Adresse für den Versand der Dokumente und das weitere Nachfragen per E-Mail, weil die Daten unvollständig sind oder sich Dateien nicht öffnen lassen.
Die vollständigen Ergebnisse der Vergleichs-Untersuchung will Jean-Michel Franco auf der Data Governance Winter Conference in Delray Beach, Florida (USA), vorstellen. Weitere Informationen darüber, wie Unternehmen vertrauenswürdige Daten bereitstellen und auch künftig neue Herausforderungen im Bereich der Datenanalyse bewältigen können, liefert der Talend Data Trust Readiness Report. Weitere Informationen finden sich auf www.talend.com.
Lesen Sie mehr zum Thema
