Bitkom: Unternehmen durch Datenschutz unter Dauerdruck

Vor allem kleinere Unternehmen kommen mit DSGVO-Umsetzung nur noch langsam voran

[datensicherheit.de, 15.09.2021] Der Branchenverband Bitkom berichtet, dass neun von zehn Unternehmen bereits innovative Projekte wegen Datenschutz-Anforderungen hätten stoppen müssen – es sei eine weitverbreitete Kritik über fehlende Unterstützung durch Aufsichtsbehörden zu vernehmen.

Abbildung: Bitkom e.V.

bitkom: Ergebnisse der Umfrage zu Herausforderungen für Unternehmen bei DSGVO-Umsetzung

Befragung von 502 Unternehmen mit 20 oder mehr Beschäftigten in Deutschland

„Ein aufwändiger Prüfprozess vor der Einführung jedes digitalen Tools, regelmäßig neue Entscheidungen der Aufsichtsbehörden und Gerichtsurteile in ganz Europa, die Auswirkungen auf das eigenen Unternehmen haben können – die Anforderungen an den Datenschutz setzen Unternehmen in Deutschland unter Dauerdruck.“ Zugleich bekämen die Aufsichtsbehörden keine guten Noten für ihre Beratung. Die Hälfte der Unternehmen (50%) sage, Deutschland übertreibe es mit dem Datenschutz. Zwei Drittel (66%) seien der Auffassung, dass der strenge Datenschutz sowie die uneinheitliche Auslegung des Datenschutzes in Deutschland die Digitalisierung erschwere.
Das sind laut Bitkom „Ergebnisse einer repräsentativen Befragung von 502 Unternehmen mit 20 oder mehr Beschäftigten in Deutschland im Auftrag des Digitalverbands Bitkom“. Susanne Dehmel, Geschäftsleiterin Bitkom, erläutert: „Dem Datenschutz kommt in der digitalen Wirtschaft und Gesellschaft eine besondere Bedeutung zu. Den Unternehmen fehlt es aber zunehmend an Planbarkeit und Verlässlichkeit.“ Unternehmen stünden beim Datenschutz unter permanenten Stress. Sie wollten dem Datenschutz Genüge tun, aber dazu müssten sie nicht nur europaweit Gerichtsurteile verfolgen und die unterschiedliche Auslegung aus den Mitgliedsstaaten kennen, sondern sich zusätzlich mit 18 verschiedenen Lesarten von Datenschutzaufsichten allein in Deutschland auseinandersetzen. „Das ist vor allem für kleinere Unternehmen immer schwerer zu stemmen“, kritisiert Dehmel.

Aufwand der Unternehmen für Datenschutz durch DSGVO dauerhaft gestiegen

Vier von zehn (42%) Unternehmen geben demnach an, dass sie seit der DSGVO-Einführung mehr Aufwand haben – und dieser auch künftig bestehen bleiben wird. Ein weiteres Drittel (32%) gehe sogar davon aus, dass der Aufwand weiter steigen werde. Nur 19 Prozent erwarteten, dass ihr gestiegener Aufwand langsam wieder sinke, sechs Prozent hätten inzwischen keinen erhöhten Aufwand mehr. Zugleich habe mit zwei Dritteln der Unternehmen (65%) die große Mehrheit die DSGVO vollständig oder größtenteils umgesetzt, aber drei von zehn (29%) hätten die Umsetzung erst teilweise geschafft und gerade einmal fünf Prozent stünden damit noch ganz am Anfang.
Vor allem kleinere Unternehmen kämen nur noch langsam voran. „So geben unter den Großunternehmen mit 500 oder mehr Beschäftigten nahezu unverändert nur drei Prozent (2020: 2%) an, dass sie die DSGVO erst teilweise umgesetzt haben, bei den Unternehmen mit 100 bis 499 Beschäftigten ist der Anteil binnen eines Jahres von 28 auf zwölf Prozent zurückgegangen.“ Dagegen bleibe die Zahl bei den kleineren Unternehmen von 20 bis 99 Beschäftigten mit 33 Prozent auf hohem Niveau (2020: 37%).

Insbesondere kleinere Unternehmen brauchen bei DSGVO-Umsetzung mehr und bessere Unterstützung

Die Unternehmen, welche die DSGVO bislang noch nicht vollständig umgesetzt haben, würden als Hauptgründe dafür nennen, dass „Corona“ andere Prioritäten erzwungen habe (82%), aber fast ebenso viele beklagten, dass sich die DSGVO gar nicht vollständig umsetzen lasse (77%). 61 Prozent fehle es zudem an den notwendigen personellen Ressourcen. Rund jedes zweite Unternehmen beklage fortlaufende Anpassungen wegen neuer Urteile und Empfehlungen der Aufsicht (47%) und notwendige neue Prüfungen von Datentransfers in Länder außerhalb der EU (45%).
„Insbesondere kleinere Unternehmen brauchen bei der Umsetzung der DSGVO mehr und bessere Unterstützung“, betont Dehmel. Es fehle in kleinen Unternehmen häufig an Datenschutz-Expertise – notwendig seien daher konkrete und umsetzbare Handreichungen, etwa durch die Aufsichtsbehörden.

Datenschutz hat in drei von vier Unternehmen bereits Innovationen ausgebremst

Aber die DSGVO sorge nicht nur für Aufwand, sie bremse auch Innovationsprojekte in der deutschen Wirtschaft. So gäben drei Viertel aller Unternehmen (76%) an, dass Innovationsprojekte aufgrund konkreter Vorgaben der DSGVO gescheitert seien – und in neun von zehn Unternehmen (86%) seiene Projekte wegen Unklarheiten im Umgang mit der DSGVO gestoppt worden.
Am häufigsten betroffen gewesen sei der Aufbau von Datenpools (54 Prozent), dahinter folgten Prozessoptimierungen im Bereich der Kundenbetreuung (37%), Projekte zur Verbesserung der Datennutzung und der Einsatz neuer Technologien wie Künstliche Intelligenz oder „Big Data“ (je 36%) – und in jedem dritten Unternehmen (33%) sei der Einsatz von „Cloud“-Diensten betroffen gewesen. „Digitale Technologien sind quer durch alle Branchen die wichtigsten Innovationstreiber. Wir brauchen eine bessere Balance von Datenschutz und Datennutzung“, fordert Dehmel.

Rechtsunsicherheit für Unternehmen immer größeres Problem bei DSGVO-Umsetzung

In den vergangenen Jahren hätten die Probleme bei der DSGVO-Umsetzung deutlich zugenommen. So sagten inzwischen mehr als drei Viertel (78%) der Unternehmen, dass Rechtsunsicherheit die größte Herausforderung sei, vor zwei Jahren seien es erst 68 Prozent gewesen. Zu viele Änderungen bzw. Anpassungen bei den Vorgaben beklagten 74 Prozent, nach 59 Prozent 2019. Die uneinheitliche Auslegung innerhalb der EU behindere 52 Prozent (2019 nicht abgefragt, 2020: 45%); fehlende finanzielle Ressourcen würden 37 Prozent Datenschutz nennen, mehr als doppelt so viele wie noch 2019 mit 18 Prozent. Herausforderungen, auf welche die Unternehmen direkt Einfluss nehmen könnten, gewönnen dagegen nicht an Bedeutung: Eine schwierige technische Umsetzung behindere unverändert 34 Prozent, einen Mangel an qualifizierten Beschäftigten hätten nur 33 Prozent (2019: 37%) und fehlende Unterstützung im Unternehmen sähen nur noch acht Prozent (2019: 13%).
Parallel wachse die Unzufriedenheit mit den Aufsichtsbehörden. So kritisierten zwei Drittel (66%) mangelnde Umsetzungshilfen durch die Aufsicht, vor zwei Jahren habe der Anteil nur bei 53 Prozent gelegen. „Wenn Probleme wie Rechtsunsicherheit oder fehlende Umsetzungshilfen durch die Aufsicht immer stärker zunehmen, dann läuft offenkundig etwas falsch“, warnt Dehmel. Normalerweise seien die Probleme am Anfang einer neuen Gesetzgebung groß und würden dann mit ersten Erfahrungen, Entscheidungen und zahlreicheren Hilfestellungen geringer.

Aufsicht liefert zu wenig brauchbare Unterstützung für Unternehmen

Auch bei konkreten Fragen erhalte nur eine Minderheit Unterstützung durch die Aufsicht. So habe ein Viertel (24%) dort bereits nach Hilfestellungen für die Umsetzung von Datenschutzvorgaben angefragt, aber keine Antwort erhalten. Ähnlich viele (28%) hätten zwar Antwort bekommen, diese habe aber nicht geholfen. Nur drei von zehn (29%) gäben an, auf ihre Frage hin auch Hilfestellung erhalten zu haben: „64 Prozent von ihnen in Form von Leitfäden, 32 Prozent mit Einzelberatung, 27 Prozent in einer Gruppenberatung.“ Von den Unternehmen, die Hilfestellungen erhalten haben, sagten zwölf Prozent, dass sie „sehr zufrieden“ damit gewesen seien, 19 Prozent seien „eher zufrieden“ gewesen. „Aber 41 Prozent waren ,eher nicht zufrieden‘ und 25 Prozent ,überhaupt nicht zufrieden‘.“ Dehmel unterstreicht: „Um den Datenschutz in den Unternehmen nachhaltig zu befördern, reicht es nicht Beschwerden abzuarbeiten und bei nachgewiesenen Verstößen Bußgelder zu verhängen.“ Für den gelebten Datenschutz könnte viel mehr erreicht werden, wenn die Aufsichtsbehörden präventiv tätig würden und Unternehmen bei der praktischen Umsetzung der Datenschutzvorgaben unterstützten, „indem sie konkrete Auskünfte erteilen und praxisnahe Empfehlungen geben“.
Hauptgründe für die Unternehmen, nicht nach Hilfe zu fragen, sei dabei nicht der fehlende Bedarf an Unterstützung gewesen. Nur ein Prozent gebe an, keine Hilfe zu benötigen. Aber jedes Dritte (34%) habe von Anfragen abgesehen, weil andere Unternehmen von schlechten Erfahrungen berichtet hätten. Jedes vierte wisse gar nicht, dass die Aufsicht Hilfe anbiete (26%) oder gehe davon aus, dass die Qualität der Hilfe dort nicht gut sei (25%). Rund jedes Fünfte (18%) habe Angst, dass die Aufsicht so von den eigenen Problemen erfahre – und 16 Prozent meinten, die Aufsicht sei gar nicht an Problemlösung interessiert.

Unternehmen auf Datentransfers ins Nicht-EU-Ausland angewiesen

Mit dem Wegfall des „Privacy Shield“ durch das sogenannte Schrems-II-Urteil des EuGH sei die wichtigste Basis für den EU-US-Datenaustausch weggefallen. Dabei spielten internationale Datentransfers ins Nicht-EU-Ausland für die deutsche Wirtschaft eine große Rolle. Jedes zweite Unternehmen (48%) tausche Daten mit externen Dienstleistern außerhalb der EU aus, jedes vierte (25%) mit dortigen Geschäftspartnern und zwölf Prozent mit anderen Konzerneinheiten. Dabei transferierten 52 Prozent Daten in die USA, 35 Prozent nach Großbritannien, 18 Prozent nach Russland und 13 Prozent nach Indien. Ebenfalls häufig genannt worden seien China (8%), Japan (7%) und Südkorea (4%).
Die Gründe für internationale Datentransfers ins Nicht-EU-Ausland seien vielfältig. Neun von zehn Unternehmen (85%) nutzten „Cloud“-Angebote, welche Daten außerhalb der EU speicherten, zwei Drittel (68%) nutzten weltweit Dienstleister, etwa für einen „24/7-Security-Support“. Die Hälfte (52%) setze Kommunikationssysteme ein, welche Daten außerhalb der EU speicherten, jedes Fünfte (22%) habe Standorte außerhalb der EU – und 13 Prozent arbeiteten mit Partnern im Nicht-EU-Ausland zusammen, etwa bei Forschung und Entwicklung.

Unternehmen befürchten Unterbrechung ihrer globalen Lieferketten

Wenn personenbezogene Daten nicht mehr außerhalb der EU verarbeitet werden könnten, dann hätte das gravierende Auswirkungen auf die Unternehmen und die deutsche Wirtschaft insgesamt. So gäben 62 Prozent an, sie könnten dann bestimmte Produkte und Dienstleistungen nicht mehr anbieten, 57 Prozent befürchteten Wettbewerbsnachteile gegenüber Unternehmen aus Nicht-EU-Ländern. Jeweils 54 Prozent erwarteten in diesem Fall höhere Kosten und dass sie ihren globalen „Security-Support“ nicht mehr aufrechterhalten könnten.
Jeweils vier von zehn Unternehmen rechneten mit einer Unterbrechung ihrer globalen Lieferketten (41%) und Qualitätseinbußen bei eigenen Produkten und Dienstleistungen (39%), 31 Prozent müssten ihre Konzernstruktur verändern. Zwölf Prozent der Unternehmen würden im Innovationswettbewerb zurückfallen und drei Prozent müssten nach eigenem Bekunden ihre Geschäftstätigkeit einstellen. Kein Unternehmen erwarte, dass ein Ende des Transfers personenbezogener Daten ohne Folgen für seine Geschäftstätigkeit bliebe. „Datentransfers in Nicht-EU-Länder sind für die deutsche Wirtschaft so wichtig wie internationale Lieferketten. Es geht hier nicht um ein ,Nice-to-have‘, sondern um den Kern einer zunehmend digitalisierten Wirtschaft im 21. Jahrhundert“, betont Dehmel. Die Politik müsse dringend einen Rahmen schaffen, welcher Rechtssicherheit für die Unternehmen bringe und in der Praxis auch wirklich umsetzbar sei.

Neue Bundesregierung muss Datenschutz auf Agenda setzen

Ganz oben auf der Liste der Unternehmenswünsche an die nächste Bundesregierung beim Datenschutz stehe die Forderung nach einer Anpassung der DSGVO (89%). Rund zwei Drittel wollten, dass Datenschutzvorgaben europäisch stärker vereinheitlicht (68%) und die föderalen Gesetze in Deutschland angeglichen würden.
Sechs von zehn plädierten jeweils für eine Abschaffung der Landesdatenschutzbehörden (60%) und einen besseren Zugang zu Daten der Öffentlichen Hand (57%). Rund die Hälfte erwarte eine harte Linie gegenüber den USA bei den Verhandlungen zu internationalen Datentransfers (46%) und ein Drittel (32%) sehe als drängende Aufgabe, eine politische Lösung für internationale Datentransfers durchzusetzen.

Weitere Informationen zum Thema:

bitkom, Susanne Dehmel, 15.09.2021
Datenschutz als Daueraufgabe für die Wirtschaft: DS-GVO & internationale Datentransfers