许多小型企业表示，他们没有时间和资源用于数据保护。我们向一位数据保护专家咨询了，她给企业提供哪些建议。
人们担心自己的个人数据是一个事实。这种日益增长的担忧使得在或为企业工作的数据保护官成为重要的接口。在我们与经验丰富的数据保护官卡塔琳娜·达贝里茨（Katharina Däberitz）的访谈中，我们探讨了她如何帮助企业应对挑战并遵循最佳实践，以及电子商务企业可以采取哪些措施来赢得并保持客户的信任。
信任是好的，控制更好
在线零售商新闻：Katharina，感谢你抽出时间接受我们的采访。你不仅是律师和电子商务专家，还是认证的数据保护官。在电子商务领域，你看到的最常见的数据保护挑战是什么？你对企业有什么建议？
Katharina Däberitz：非常乐意。最大的挑战当然是技术变革和数字化。毕竟，为保护个人数据而采取的措施必须符合当前的技术水平。这在今天可能会迅速变化。
此外，许多企业甚至不知道，在日常业务中使用的服务提供商和工具处理的数据量远超必要，并且有时还出于自身目的进行处理。因此，我们始终建议与所使用的服务提供商进行沟通，而不仅仅是将合同束之高阁。毕竟，企业本身在数据保护方面仍负有法律责任——即使问题是由所使用服务提供商造成的。
尽早开始全面的文档记录也非常重要。《通用数据保护条例》（DSGVO）规定了大量的文档和举证义务。如果等到后期才开始，很多事情将无法再追溯。那时就会变得困难重重。
许多小型企业表示，他们没有时间和资源用于数据保护。你如何帮助你的客户有效开展数据保护工作，使其满足法律要求，同时不让数据保护占据全部空间？
当然，需要权衡企业的规模。监管机构对中小企业在实施数据保护方面的要求不像对大型企业那样高，后者可以负担相应的工具和技术。因此，我们主要致力于提高企业内部负责人的数据保护意识，解释为什么这一主题如此重要，以及如果个人数据得不到充分保护可能造成的损害（例如身份盗窃会给个人带来大量奔波，以及如果账户数据被未经授权地使用可能导致财务损失）。
随后确定现状，以查看哪些数据保护方面已经合规，哪些仍然缺失。例如，企业往往已经在实践中落实了数据保护，但缺乏相应的文档记录。在完成第一轮集中整改后，企业对潜在的个人查询请求或监管机构程序会感觉准备得更充分。
因后果“受到足够惩罚”
您能否分享一个有趣的案例，其中您和您所服务的公司面临了意外的数据保护风险，以及你们是如何解决的？
在去年年底发生的一个案例中，我客户的服务器被一个可能来自俄罗斯的组织黑客攻击并加密。随后，客户收到了一份勒索赎金的要求。如果我的客户不支付，数据将在暗网发布。幸运的是，数据在两个工作日后得以恢复。
同时，由于明确存在数据泄露事件，我们向巴伐利亚州的监管机构进行了报告。该机构与州刑事调查局（LKA）和网络犯罪部门紧密合作，因此我有机会了解到数据保护执法机构之间的工作情况。
由于向监管机构报告，未对客户启动罚款程序。监管机构也认为客户已经受到了足够的惩罚，因为客户遭受了一些损失。毕竟，日常业务停摆了两整天。然而，州刑事调查局未能发现数据在暗网上的发布。
而在数据保护方面，我们也无法回避人工智能。人工智能（KI）在电子商务企业的数据保护背景下扮演什么角色，与之相关的潜在风险有哪些？
人工智能确实是一个重大话题，它既可能是诅咒也可能是祝福。当然，使用基于人工智能的工具可以提高生产力，从而对公司的收入产生积极影响。然而，这些基于人工智能的工具有时具备诸如画像或跟踪等功能，这可能带来内容操控或匿名性丧失等风险。此外，这些工具通常需要访问大量数据才能进行训练，因为人工智能只能根据预先提供的数据进行决策。由于数据保护遵循数据最小化原则，这里存在潜在的冲突。
此外，涉及的人工智能逻辑流程和关键决策过程往往难以追溯，导致透明度要求无法始终得到满足。因此，企业需要采取额外措施，以确保以符合数据保护的方式使用人工智能，例如进行数据保护影响评估、补充处理记录以及调整技术组织措施。
数据保护必须付诸实践——即使使用简单的方法
《通用数据保护条例》（GDPR）已经实施了六年。在过去几年中，特别是对于电子商务公司而言，数据保护环境发生了哪些变化？
企业往往觉得，由于《通用数据保护条例》（DSGVO），合规成本显著增加。然而，在之前的《联邦数据保护法》（BDSG）中已存在许多义务。随着《通用数据保护条例》的生效，这些义务只是更加凸显。此外，许多数据主体现在也知晓自己的权利。我们的经验表明，除了正常的警告信泛滥之外，如今许多企业还必须更多地应对客户提出的主张，例如因收到营销邮件而要求损害赔偿，或行使信息请求权等。
然而，由于欧盟委员会已宣布将对《通用数据保护条例》（GDPR）进行更多法律修订，且司法实践还将为企业带来诸多变化，因此该领域的数据保护工作未来也不会缺乏挑战。
如果你要给我们的读者一个最终建议，让他们立即以最小的努力获得最大的效果，那会是什么建议？
尽管企业必须切实落实数据保护，但出于对外形象考虑，许多企业在未经同意发送新闻通讯、将电子邮件发送给错误的收件人，或隐私政策不完整或过时等情况下，容易面临风险。因此，应尽快对网站进行数据保护合规维护，并重点加强对员工的意识培训。
错误往往并非出于故意（毕竟我们都是普通人），而是由于员工根本不知道其行为在数据保护方面是不合法的。因此，企业可以避免许多在日常运营中本不必要的麻烦和工作量。
非常感谢您的交谈！
律师Katharina Däberitz在HB电子商务律师事务所有限公司工作，专注于竞争法、IT法和数据保护法领域。她是TÜV Nord认证的数据保护官。在IT法方面，她特别负责设计个性化合同、一般交易条款以及其他在线零售所需的法律文本。此外，她还为客户就警告信和数据保护法问题提供咨询，并全程协助实施数据保护方案。