Short Summary
Die EU-Datenschutz-Grundverordnung (GDPR), anwendbar ab dem 25. Mai 2018, verschärft die gesetzlichen Anforderungen an den Umgang mit personenbezogenen Daten und betrifft weltweit alle Unternehmen, die Daten von in der EU lebenden Personen speichern oder verarbeiten. Zentrale Begriffe wie „personenbezogene Daten“ und „Verarbeitung“ sind sehr weit definiert und umfassen praktisch den gesamten Lebenszyklus von Daten – von Erhebung und Speicherung bis zur Übermittlung und Löschung. Die Verarbeitung ist nur zulässig, wenn strenge Bedingungen erfüllt sind (z. B. Einwilligung, Vertragserfüllung, gesetzliche Pflicht, vitale Interessen, öffentliches Interesse oder legitimes Interesse). Gleichzeitig erhalten betroffene Personen umfassende Rechte, darunter Auskunft, Korrektur, Löschung sowie Widerruf erteilter Einwilligungen. Die Beweislast für die Einhaltung der Prinzipien liegt beim Datenverantwortlichen; Verstöße können zu erheblichen Sanktionen führen, bis hin zu 4 % des weltweiten Jahresumsatzes oder 20 Mio. Euro (je nachdem, welcher Betrag höher ist).
Ein besonderes Risiko entsteht durch die oft übersehene Nutzung personenbezogener Daten für Nicht-Produktionszwecke wie Entwicklung und Testing. Kopien von Produktionsdaten, Cloud-Bereitstellung und die Einbindung externer Dienstleister erhöhen die Gefahr von Datenlecks, unkontrollierter Verbreitung und fehlender Transparenz, obwohl weiterhin der Datenverantwortliche haftet. Als pragmatische Risikoreduktion wird der Einsatz von Datenmaskierung, Anonymisierung und Pseudonymisierung im Sinne von „Privacy by Design“ und „Privacy by Default“ betont—bei Pseudonymisierung verbleibt jedoch ein Restrisiko der Re-Identifikation.
Die Delphix Dynamic Data Platform wird als Lösung dargestellt, um sensible Daten zu finden (Data Discovery), die Verteilung nicht-produktiver Daten zu steuern (virtuelle Kopien, Governance, Zugriffskontrollen) und personenbezogene Daten durch irreversibles Masking zu anonymisieren, sodass sie aus dem Anwendungsbereich der GDPR herausfallen können; optional ermöglicht Tokenization eine Rückführbarkeit, gilt dann aber nicht als Anonymisierung.
