Matthias Schlemmer, Leiter Daten- & Adressmanagement Österreichische Post AG, erklärt in fünf konkreten Arbeitsschritten, was Unternehmen bis zum 25. Mai 2018 noch umsetzen müssen, um den hohen Anforderungen der Verordnung zu entsprechen. [...]
Die EU-Datenschutz-Grundverordnung kommt in Riesenschritten und bringt nicht nur Neuerungen hinsichtlich der Verarbeitung und Sicherung personenbezogener Daten, sondern auch drastische Strafen bei Verstößen. Die Österreichische Post stellt hat Datenschutz-Fahrplan für Unternehmen vorgestellt.
1. Analyse des Ist-Zustands
Im ersten Schritt ist eine umfassende Bestandsaufnahme durchzuführen: Welche Daten werden überhaupt erhoben, wie hat man die Einwilligung für diese Daten erhalten und warum sammelt man sie? „Im Rahmen dieser Ist-Analyse stellt sich auch schnell heraus, ob und in welchem Ausmaß die EU-DSGVO das Unternehmen betrifft. Grob zusammengefasst sind dies all jene Personen, Behörden, Einrichtungen oder andere Stellen, die mit der Verarbeitung personenbezogener Daten zu tun haben“, erklärt Matthias Schlemmer, Leiter Daten- & Adressmanagement der Österreichischen Post AG. Die EU-DSGVO gilt zudem für alle, die ihr Angebot an einen bestimmten nationalen Markt in der EU richten oder die das Kundenverhalten in der EU beobachten und dazu Daten verarbeiten.
Im ersten Schritt ist eine umfassende Bestandsaufnahme durchzuführen: Welche Daten werden überhaupt erhoben, wie hat man die Einwilligung für diese Daten erhalten und warum sammelt man sie? „Im Rahmen dieser Ist-Analyse stellt sich auch schnell heraus, ob und in welchem Ausmaß die EU-DSGVO das Unternehmen betrifft. Grob zusammengefasst sind dies all jene Personen, Behörden, Einrichtungen oder andere Stellen, die mit der Verarbeitung personenbezogener Daten zu tun haben“, erklärt Matthias Schlemmer, Leiter Daten- & Adressmanagement der Österreichischen Post AG. Die EU-DSGVO gilt zudem für alle, die ihr Angebot an einen bestimmten nationalen Markt in der EU richten oder die das Kundenverhalten in der EU beobachten und dazu Daten verarbeiten.
2. Expertenrat einholen
„Viele Unternehmen beschäftigen sich bereits seit Bekanntwerden der neuen Verordnung mit den Veränderungen, die auf uns zukommen werden“, beruhigt Schlemmer. „Von diesen Unternehmen kann man sich umfassendes Know-how zu seinen eigenen Fragen holen, sei es in Workshops, Einzelschulungen, Vorträgen et cetera. Nachdem die Datenverarbeitung schon jahrelang zu unserem Kerngeschäft gehört, haben wir beispielsweise eine Data Academy für alle Fragen rund um Datenschutz-Themen eingerichtet.“ In der Data Academy kann man Schulungen zur EU-DSGVO absolvieren, aber bekommt auch Hilfestellung bei anderen datenbezogenen Fragestellungen, wie beispielsweise Stammdatenmanagement, Zielgruppenanalysen oder Konzeption von Stammdaten-Systemen. Je nach Unternehmensart und Ausmaß der Datenverarbeitung empfiehlt sich auch die Bestellung eines Datenschutzbeauftragten.
„Viele Unternehmen beschäftigen sich bereits seit Bekanntwerden der neuen Verordnung mit den Veränderungen, die auf uns zukommen werden“, beruhigt Schlemmer. „Von diesen Unternehmen kann man sich umfassendes Know-how zu seinen eigenen Fragen holen, sei es in Workshops, Einzelschulungen, Vorträgen et cetera. Nachdem die Datenverarbeitung schon jahrelang zu unserem Kerngeschäft gehört, haben wir beispielsweise eine Data Academy für alle Fragen rund um Datenschutz-Themen eingerichtet.“ In der Data Academy kann man Schulungen zur EU-DSGVO absolvieren, aber bekommt auch Hilfestellung bei anderen datenbezogenen Fragestellungen, wie beispielsweise Stammdatenmanagement, Zielgruppenanalysen oder Konzeption von Stammdaten-Systemen. Je nach Unternehmensart und Ausmaß der Datenverarbeitung empfiehlt sich auch die Bestellung eines Datenschutzbeauftragten.
3. Notwendige Änderungen umsetzen
Der Stichtag 25. Mai 2018 mag noch weit weg klingen, aber tatsächlich haben Unternehmen für die Umsetzung der EU-DSGVO nur noch rund 150 Werktage Zeit. „Vor allem darf man nicht vergessen, dass es keine Übergangsfristen gibt. Ab 25. Mai muss die EU-DSGVO gelebter Alltag sein, ansonsten riskiert man empfindliche Strafen“, warnt Schlemmer. Diese können bis zu 20 Millionen Euro beziehungsweise vier Prozent des Jahresumsatzes betragen, je nachdem welcher Betrag höher ist. Daher sollte bereits jetzt sichergestellt werden, relevante Datenverarbeitungsvorgänge vernünftig zu dokumentieren, eventuell Organisationsstrukturen zu verändern, gegebenenfalls einen Datenschutzbeauftragten zu bestellen, notwendige Sicherheitsmaßnahmen zu implementieren, die Umstellung auf „privacy by design“ durchzuführen und vieles mehr.
Der Stichtag 25. Mai 2018 mag noch weit weg klingen, aber tatsächlich haben Unternehmen für die Umsetzung der EU-DSGVO nur noch rund 150 Werktage Zeit. „Vor allem darf man nicht vergessen, dass es keine Übergangsfristen gibt. Ab 25. Mai muss die EU-DSGVO gelebter Alltag sein, ansonsten riskiert man empfindliche Strafen“, warnt Schlemmer. Diese können bis zu 20 Millionen Euro beziehungsweise vier Prozent des Jahresumsatzes betragen, je nachdem welcher Betrag höher ist. Daher sollte bereits jetzt sichergestellt werden, relevante Datenverarbeitungsvorgänge vernünftig zu dokumentieren, eventuell Organisationsstrukturen zu verändern, gegebenenfalls einen Datenschutzbeauftragten zu bestellen, notwendige Sicherheitsmaßnahmen zu implementieren, die Umstellung auf „privacy by design“ durchzuführen und vieles mehr.
4. MitarbeiterInnen schulen
„Datenschutz sollte nicht und in Zukunft noch viel weniger nur Sache eines Einzelnen, wie beispielsweise des Datenschutzbeauftragten, sein. Ein verantwortungsvoller Umgang mit Daten wird von allen Mitarbeiterinnen und Mitarbeitern verlangt, um größtmögliche Sorgfalt zu gewährleisten“, so Matthias Schlemmer. Auch hier empfiehlt es sich, auf Experten zu vertrauen und Schulungen oder Workshops in Anspruch zu nehmen. „Die Änderungen sind teilweise weitreichend und der Strafrahmen bei Verstößen wesentlich höher als bisher. Das Bewusstsein für Datenschutz muss also mehr denn je auf jedem Level des Unternehmens verankert sein“, betont Schlemmer.
„Datenschutz sollte nicht und in Zukunft noch viel weniger nur Sache eines Einzelnen, wie beispielsweise des Datenschutzbeauftragten, sein. Ein verantwortungsvoller Umgang mit Daten wird von allen Mitarbeiterinnen und Mitarbeitern verlangt, um größtmögliche Sorgfalt zu gewährleisten“, so Matthias Schlemmer. Auch hier empfiehlt es sich, auf Experten zu vertrauen und Schulungen oder Workshops in Anspruch zu nehmen. „Die Änderungen sind teilweise weitreichend und der Strafrahmen bei Verstößen wesentlich höher als bisher. Das Bewusstsein für Datenschutz muss also mehr denn je auf jedem Level des Unternehmens verankert sein“, betont Schlemmer.
5. No Panic – EU-DSGVO als Chance
Auch wenn die nächsten 150 Werktage noch viel Arbeit bereithalten, darf man die positiven Auswirkungen der EU-DSGVO nicht außer Acht lassen. „Die EU-Datenschutz-Grundverordnung hat das Potenzial, das Vertrauen des Endkunden in den Schutz und den sorgsamen Umgang mit seinen Daten zu stärken. Denn alle Maßnahmen und Änderungen dienen im Endeffekt dazu, die Sicherheit der Daten zu gewährleisten – und das ist ein Ziel, das uns allen gemein ist“, ist Schlemmer überzeugt. Unternehmen, die mit der Adressaktualisierung oder dem Erwerb von Neukundenadressen ein externes Unternehmen beauftragt haben, können sich ohnehin entspannt zurücklehnen. „Als Experten auf diesem Gebiet können wir beruhigen: Mit der richtigen Vorbereitung können Unternehmen dem 25. Mai 2018 entspannt entgegenblicken.“
Auch wenn die nächsten 150 Werktage noch viel Arbeit bereithalten, darf man die positiven Auswirkungen der EU-DSGVO nicht außer Acht lassen. „Die EU-Datenschutz-Grundverordnung hat das Potenzial, das Vertrauen des Endkunden in den Schutz und den sorgsamen Umgang mit seinen Daten zu stärken. Denn alle Maßnahmen und Änderungen dienen im Endeffekt dazu, die Sicherheit der Daten zu gewährleisten – und das ist ein Ziel, das uns allen gemein ist“, ist Schlemmer überzeugt. Unternehmen, die mit der Adressaktualisierung oder dem Erwerb von Neukundenadressen ein externes Unternehmen beauftragt haben, können sich ohnehin entspannt zurücklehnen. „Als Experten auf diesem Gebiet können wir beruhigen: Mit der richtigen Vorbereitung können Unternehmen dem 25. Mai 2018 entspannt entgegenblicken.“
Be the first to comment