Читать книгу: «Datenschutz für Unternehmen», страница 6

4.3 Praktische Umsetzung eines DPMS

In den nachstehenden Abschnitten werden die Arbeitspakete erläutert, welche für die Umsetzung eines Datenschutzprojektes bzw. für die Integration eines DPMS erforderlich sind. Diese können sich je nach Branche, Größe und Organisationsform des jeweiligen Unternehmens unterscheiden. Ein unternehmensweit konsistent implementiertes DPMS kann, basierend auf den nachfolgend skizzierten Arbeitspaketen, die effiziente und effektive Umsetzung der Anforderungen durch die Datenschutzorganisation unterstützen.

4.3.1 Compliance-Organisation

In vielen Unternehmen können die angestrebten Ziele zum Datenschutz nur dann erreicht werden, wenn die entsprechenden Prozesse organisatorisch umgesetzt werden und deren Einhaltung überwacht wird. Innerhalb der Datenschutzorganisation sind daher die anfallenden Aufgaben qualifizierten Mitarbeitern eindeutig zuzuordnen. Nur so kann gewährleistet werden, dass alle wichtigen Aspekte berücksichtigt und sämtliche Aufgaben effizient und effektiv abgearbeitet werden.

Liegt die Verantwortung für den Datenschutz in den oberen Hierarchien eines Unternehmens und fällt die Umsetzung der Anforderungen im DPMS komplex aus, werden zusätzliche entsprechend qualifizierte Mitarbeiter benötigt. Ist ein Betrieb auch noch an mehreren Standorten in mehreren Ländern vertreten, stellt sich früher oder später die Frage der zentralen oder dezentralen Datenschutzorganisation.

4.3.1.1Die Hauptansprechperson

Anders als zB in Deutschland gab es in Österreich vor Inkrafttreten der DSGVO keine Vorgaben zur Bestellung von Datenschutzbeauftragten (Data-Protection-Officer, DPO) oder Auflagen hinsichtlich deren Aufgaben, Rechte und Pflichten. Wenngleich diese Rolle in einigen Unternehmen existierte, war sie nicht gesetzlich begründet. Somit waren auch die Aufgaben, Rechte und Pflichten eines Datenschutzbeauftragten (vor Geltungsbeginn der DSGVO) nicht normiert und nicht zwischen Organisationen vergleichbar. Mit der DSGVO hat sich dies geändert: Ob ein DPO bestellt werden muss oder nicht, ist in Art 37 geregelt. Personenbezogene Daten werden jedoch in allen Unternehmen verarbeitet – also auch in solchen, die nicht unter die Vorgaben von Art 37 fallen. Daher ist ein rechtskonformer Umgang und die Erfüllung der Pflichten (u. a. Rechenschaftspflicht, Verantwortlichkeit, Zusammenarbeit mit den Aufsichtsbehörden, Informationsbereitstellung) auch in Organisationen ohne DPO sicherzustellen.

Um die DSGVO-Konformität zu gewährleisten, wird in Organisationen oftmals eine entsprechende Position geschaffen, welche als Hauptansprechperson die Beantwortung von auftretenden Fragen oder die Bewältigung von entstandenen Herausforderungen koordiniert. Meist agiert diese Hauptansprechperson als Schnittstelle zwischen Expertengruppen wie (internen oder externen) Rechtsanwälten, der IT-Abteilung oder der Personalabteilung. In der Praxis haben sich für diese Position Bezeichnungen wie „Datenschutzmanager“ oder „Datenschutzkoordinator“ etabliert. Diese Begriffe sind jedoch weder in der DSGVO noch im DSG definiert.

4.3.1.2Zentraler oder dezentraler Aufbau der Datenschutzorganisation

Die Frage, ob eine Datenschutzorganisation zentral oder dezentral aufgebaut werden sollte, wird in letzter Zeit immer wieder diskutiert. Jedes Unternehmen muss die Vor- und Nachteile der jeweiligen Organisationsform für sich abwägen und darauf basierend eine Entscheidung treffen. Erfahrungen zeigen, dass die Gestaltung der Datenschutzorganisation meist an die im Unternehmen übliche Gestaltung angelehnt wird. Jedoch gibt es in der Praxis auch Fälle, in denen Unternehmen, die eigentlich großen Wert auf eine dezentrale Organisation legen, aus übergeordneten Gründen eine zentrale Datenschutzorganisation etabliert haben.

Als wesentlicher Vorteil für einen zentralen Aufbau der Datenschutzorganisation wird die sich daraus ergebende Bündelung sämtlicher Planungs- und Umsetzungsaktivitäten gesehen. Oftmals ist der zentrale Aufbau eines „Datenschutzkompetenzzentrums“ in einem Unternehmensverband kostengünstiger im Betrieb und in der Erweiterung als mehrere dezentral agierende Einheiten. Durch ein effektives Reporting und einen wohldurchdachten Kommunikationsweg kann sichergestellt werden, dass es nicht zu Kompetenzüberschneidungen oder Doppelgleisigkeiten kommt. Gerade die organisationsübergreifende Richtlinienkompetenz, also die Etablierung von identischen Standards und Vorgaben sowie ein einheitliches Vokabular, eine risikoorientierte Aktivitätsplanung und eine einheitliche Berichterstattung an die oberste Geschäftsleitung haben sich als wesentliche Argumente für eine zentrale Datenschutzorganisation bewährt.

Mehrere dezentral organisierte Datenschutzorganisationseinheiten innerhalb eines Unternehmens bringen vielfach den entscheidenden Mehrwert, räumlich in der Nähe der zu betreuenden Geschäftseinheit angesiedelt zu sein, mit sich. Diese ist mit dem Geschäftsmodell und den Besonderheiten vor Ort vertraut. In jedem Fall sind dezentrale Compliance-Einheiten über die Risiken vor Ort besser und umfassender informiert als eine zentrale Einheit. Nicht zu unterschätzen ist in diesem Zusammenhang der prinzipielle Aufbau bzw. die Eigenständigkeit der Organisationseinheiten. Unterscheiden sich die Geschäftsfelder und infrastrukturelle Gegebenheiten, wie zB die eingesetzten IT-Systeme, in denen personenbezogene Daten verarbeitet werden, von jenen des Hauptquartiers, kann die Nähe zu den Akteuren mithin das entscheidende Argument für eine dezentrale Organisationsform sein.

4.3.1.3Der kombinierte Ansatz

Gerade in Unternehmen, die in mehreren Branchen und/oder Ländern aktiv sind, hat sich eine Kombination aus einem zentralen und dezentralen Aufbau der Datenschutzorganisation etabliert.

Abbildung 4

Einbettung in kombiniertem Modell

Quelle: Eigene Darstellung

Dieses in Abbildung 4 dargestellte kombinierte Modell besteht aus einer zentralen Stelle („Datenschutz“) und Ansprechpersonen („Koordinatoren“) in den einzelnen Niederlassungen oder Abteilungen (nachfolgend „Organisationseinheit“ oder „OE“, im Englischen auch business unit genannt).

Die Mitarbeiter des zentralen Datenschutzteams verfügen über juristisches Fachwissen, technisches Verständnis über die Konzern-IT und abteilungsübergreifende Kenntnisse der Unternehmensabläufe. Die Koordinatoren hingegen sind in die lokalen Abläufe eingegliedert, sind üblicherweise über lokale Entwicklungen (zB unternehmensexterne Änderungen wie lokale Rechtsprechung oder neue unternehmensintern geplante Projekte mit Auswirkungen auf den Datenschutz) informiert und haben einen direkten Kontakt zu lokalen Entscheidungsträgern und Behörden, wodurch eine frühzeitige Klärung datenschutzrelevanter Fragestellungen ermöglicht wird. Die Koordinatoren agieren als lokale Ansprechpersonen für die Umsetzung der Datenschutzagenden. Sie nehmen die Schnittstellenfunktion zum zentralen Datenschutzteam wahr, sind in regelmäßigem Austausch mit dem zentralen Team und tragen die sich daraus ergebenden Themen und Tätigkeiten in die jeweilige Organisationseinheit hinein. Des Weiteren können sie als erste Anlaufstelle für die lokale Belegschaft aller Bereiche, die die DSGVO betreffen, agieren.