EU-DSGVO

Umsetzung ist Compliance- und kein IT-Thema

Stuttgart (pts013/23.05.2018/10:45) - Die neue EU-Datenschutz-Grundverordnung (EU-DSGVO) setzt Unternehmen europaweit unter Zugzwang, ihren Umgang mit personenbezogenen Daten grundlegend zu überarbeiten. Jüngste Datenskandale, wie der um "Cambridge Analytica" und die darauffolgende Anhörung des Facebook-Chefs Mark Zuckerberg im US-Kongress, verschaffen dem Thema zudem eine breite Aufmerksamkeit. Um Verstöße gegen die Verordnung zu vermeiden, sollten alle relevanten Verfahren auch unter Risikoaspekten beurteilt werden. Eine Analyse der Managementberatung Horváth & Partners zeigt: Das lässt sich nicht im Vorbeigehen erledigen. Empfehlenswert ist ein Vorgehen in drei Schritten.

Vor zwei Jahren wurde die neue EU-DSGVO vom Europäischen Parlament und dem Europäischen Rat beschlossen. Jetzt läuft die Übergangsfrist am 25. Mai 2018 endgültig ab. Ziel der EU-DSGVO ist es, die Rechte der von Datenverarbeitungen betroffenen Personen besser als bislang und europaweit einheitlich zu schützen. Dazu zählen unter anderem Kunden, Lieferanten, Geschäftspartner, aber auch Mitarbeiter. Betroffen sind alle in der Europäischen Union niedergelassenen und/oder geschäftstätigen Unternehmen. Sie alle stehen vor der Herausforderung, die betroffenen datenverarbeitenden Prozesse zu dokumentieren, anzupassen sowie effiziente technische und organisatorische Maßnahmen zu definieren und zu implementieren, um die neuen Anforderungen der EU-DSGVO erfüllen zu können, zum Beispiel jederzeit Transparenz über sämtliche von einer Person gespeicherten Daten herzustellen - und das möglichst auf Knopfdruck.

"Verstöße gegen die EU-DSGVO können nicht nur mit hohen Bußgeldern belegt werden, sondern auch der Reputation schaden", sagt Andreas Hopfener, Experte im Beratungssegment Risikomanagement & Compliance von Horváth & Partners. "Unternehmen sollten daher Compliance-Lücken schnellstmöglich identifizieren und schließen."

In drei Phasen zur Herstellung von Compliance

Mit einem stringenten Projektmanagement können Unternehmen in drei Phasen sicherstellen, dass ihre Personendaten verarbeitenden Prozesse alle Anforderungen der EU-DSGVO erfüllen. Phase eins dient der Identifikation von Compliance-Lücken. Unternehmen sollten die Risiken analysieren, die individuell für sie bestehen. Hat eine Verletzung der EU-DSGVO arbeitsrechtliche Konsequenzen? Welche Bußgelder drohen? Führen Verstöße zu einer Rufschädigung? "Risikorelevante Fragen stellen sich nach unserer Beobachtung noch zu wenige Unternehmen", sagt Hopfener. Zudem sollten bereits vorhandene Datenschutzprozesse mit den Vorschriften abgeglichen werden, um möglichen Handlungsbedarf zu identifizieren.