Datenschutz: Das Controlling sitzt mit im Boot

Unternehmen mussten viel Arbeitszeit und Mittel dafür aufwenden, ihre Datenverarbeitung an die Anforderungen der neuen Datenschutzrichtlinie DSGVO anzupassen. Am 25. Mai sollte das erledigt sein. In vielen Unternehmen hat die Planung von Ressourcen und die Anpassung vor allem von IT-Prozessen auch das Controlling betroffen. Controlling-Journal fragte den Wiener Unternehmensberater, Dozenten und Fachautoren Dr. Helmut Siller, welche Rolle das Controlling beim Datenschutz spielt.

Herr Dr. Siller, ist am 25. Mai im Controlling die Mehrarbeit rund um den Datenschutz erledigt, oder fängt sie erst richtig an?
Dr. Helmut Siller: Das wäre ein paradiesischer Zustand, wenn dann alles erledigt wäre. Seit April 2016 ist bekannt, dass das Gesetz in Kraft tritt. Es waren also zwei Jahre Zeit. Andererseits weiß ich, dass auch Ende 2017 viele Unternehmen noch nicht ausreichend vorbereitet waren. Ich nehme an, man hat versucht zu warten, bis sich die Dinge klären oder von selbst erledigen. Aber das Gesetz ließ sich nicht aufhalten. Man konnte sich nur möglichst gut darauf einstellen. Wenn dieses Projekt gut aufgesetzt war, dann sollte die Hauptarbeit abgeschlossen sein. Jene, die bisher die Handhabung des Datenverarbeitungsregisters ernst genommen hatten, sollten auch mit der Neuregelung keine Schwierigkeiten haben. Das heißt aber nicht, dass sich damit alles erledigt hat. Im Gegenteil: Prozesse sind laufend zu optimieren und beständig zu hinterfragen. Es sind vor allem Risiken in den Prozessen zu untersuchen. Es sind beispielsweise Folgeabschätzungen anzustellen, wie es das Gesetz verlangt, vor allem welche technologischen und finanziellen Folgen die Umstellung im Unternehmen hat.

Das heißt, dass Sie die Folgenabschätzung für Datenverluste auch beim Controlling sehen?
Siller: Ich könnte mir vorstellen, dass diese Folgenabschätzung in einem Bereich vorgenommen wird, der viele Prozesse zugleich im Visier hat. Das könnte natürlich auch der oberste Prozessverantwortliche übernehmen, oder etwa der TQM-Beauftragte. In einem größeren Unternehmen könnte auch der Compliance Officer diese Rolle spielen. Das Controlling wird hier in Literatur und Praxis nicht so oft erwähnt. Das heißt aber nicht, dass nicht auch das Controlling die Projektverantwortung übernehmen könnte. Controlling ist ohnehin immer mit im Boot, wenn es um Prozesse und deren Neujustierung geht. Das Controlling sollte die Verantwortung dann nicht ablehnen und sagen: "Das ist Sache der IT und geht uns nichts an." Das würde ich für sehr kurzsichtig halten. Viele Unternehmen haben sehr lange gezögert und gesagt: "Wir warten mal ab, was da kommt, und dann passen wir uns langsam an." Ich glaube nicht, dass es eine Schonfrist geben wird. Deshalb ist es wichtig, dass im Unternehmen darauf geachtet wird, dass alle Prozesse bis zum 25. Mai angepasst sind. Man muss die Prozesse in vielen Fällen nicht neu erfinden. Neu hinzu kommt die Erfüllung der Betroffenenrechte, also das Auskunftsrecht der Betroffenen, deren Daten gespeichert sind.