In 15 Monaten tritt die EU-Datenschutz-Grundverordnung (General Data Protection Regulation, GDPR) in Kraft. Nicht nur Unternehmen mit Sitz in der Europäischen Union bereiten sich darauf vor, sondern auch Firmen mit Sitz im Ausland sind betroffen, die personenbezogene Daten von europäischen Bürgern nutzen. Welchen Einfluss hat GDPR auf Analytics und Datenmanagement?

Datenmanagement ist der Dreh- und Angelpunkt in der Einführung der GDPR. Warum? Weil intelligente Datenanalyse dabei helfen kann, jegliche personenbezogene Information zu finden und folglich mit der GDPR umzugehen. In der Praxis wird die Abhängigkeit von GDPR und Datenmanagement wohl sogar noch größer sein: Die Einführung von GDPR bedeutet im weitesten Sinne, dass der Schutz persönlicher Daten ohne ein wirksames Datenmanagement nicht möglich sein wird.

Die GDPR wird wahrscheinlich die Art und Weise ändern, wie Unternehmen Daten verwalten und Analytics-Projekte durchführen. Aktuell lassen sich persönliche Daten schützen, indem man sie erst anonymisiert und dann analysiert. In vielen Ländern gilt, dass anonymisierte Daten nicht unter das Datenschutzgesetz fallen. Die GDPR ändert dies: Jede eindeutige Zuordnung, ob nun Name oder Pseudonym, fällt unter das Gesetz. Das wird sehr wahrscheinlich großen Einfluss speziell auf das Customer Profiling haben.

Und was ist mit dem „Recht auf Vergessen“, das Recht darauf, sein Einverständnis zur Datenverarbeitung zu widerrufen und seine Daten löschen zu lassen? Das wird bei vielen Organisationen für Kopfschmerzen sorgen. Alte Datenbanken zu verwalten und sicherzustellen, dass alle Daten auf Anfrage gelöscht werden, könnte eine ernsthafte Herausforderung bedeuten. Mehrere Versionen derselben Daten existieren gleichzeitig, und diese alle effektiv zu managen, ist eine komplexe Aufgabe.

Eine wichtige Rolle bei der erfolgreichen Umsetzung der EU-Datenschutz-Grundverordnung dürfte der Datentreuhänder spielen. Diese strikte Trennung zwischen solchen Personen, die Daten nutzen, und denen, die Daten verwalten, aktuell halten und deren Qualität im Blick haben, gewinnt zunehmend an Bedeutung. Umso mehr, als dass ein wichtiger Job nicht unbedingt ein begehrter Job ist. Es ist nicht einfach, jemanden zu finden, der dieser Aufgabe gewachsen ist.

Regeln und Compliance – das sind zwei paar Stiefel

Die Tatsache, dass es Gesetze gibt, bedeutet noch längst nicht, dass sich jedermann und jede Organisation daran halten oder auch nur mit ihnen einverstanden sind. Und auch, wenn die Compliance möglich ist, wird es oft schwierig, sie zu prüfen. Beispielsweise haben wir im Finanzsektor mehrfach beobachtet, dass es Banken und Versicherern eben nicht gelingt, Anforderungen an die Data Governance bis ins kleinste Detail zu erfüllen.

Es ist noch nicht klar, wie Compliance mit GDPR aussehen wird. Es bleibt abzuwarten, welche Flexibilität in der Governance eingeräumt wird – und zwar von den Gerichten. Denn in vielen Ländern wird das Gericht wohl das letzte Wort haben. Schwerwiegende Konsequenzen werden nicht ausbleiben, wenn sich jemand nicht an GDPR hält. Weltweit bereiten sich Anwälte auf diese Verfahren vor. Strafzahlungen und Entschädigungsforderungen sind das eine, was Unternehmen zu fürchten haben, ein beschädigter Ruf ist das andere.

Verantwortung übernehmen

Worauf das Ganze hinaus läuft, ist, dass Führungskräfte – und zwar der komplette C-Level – Verantwortung für die ordnungsgemäße Einführung der GDPR übernehmen. Es greift zu kurz, einen Chief Data Protection Officer zu benennen und ihn dann ohne Unterstützung und ohne Budget seinem Schicksal zu überlassen. Wer würde einen solchen Posten schon übernehmen? Stattdessen fordert die Datenschutzverordnung einen Wandel der Unternehmenskultur: Daten müssen als schützenswert gelten, weil es das Richtige für Verbraucher ist, nicht nur, weil es das Recht so bestimmt.

Einige Stimmen vermuten, dass GDPR gar nicht so viel verändern wird. Schließlich erfüllten die meisten Unternehmen und Organisationen voll und ganz die landestypischen Datenschutzbestimmungen und machten daher schon genug. Warum sollte man sich also sorgen?

Die Möglichkeit, vor Gericht zu landen und die vermeintlichen Konsequenzen tragen zu müssen, sollte jedes vernünftig agierende Unternehmen dazu bewegen, das eigene Datenmanagement zu überprüfen, zu überdenken und zu überarbeiten. GDPR sollte bedeutend für Datenmanagement und Analytics sein. Sie sollte verändern, wie Unternehmen ihre Daten managen und wie sie Analytics-Projekte durchführen. Und jedem Betrieb, der nicht so denkt, dürfte in 15 Monaten ein böses Erwachen drohen.

In unserem #saschat auf Twitter diskutieren wir ab 14. OKT um 15 Uhr Fragen zur neuen EU-Datenschutz-Grundverordnung . Wir freuen uns auf Ihre Teilnahme!

1. Betrifft die GDPR nur Länder der EU?
2. Welche Abteilungen sind von GDPR am meisten betroffen?
3. Was sind die wichtigsten Unterschiede zwischen der alten und der neuen Grundverordnung?
4. Welche technischen und organisatorischen Schritte müssen bereits heute starten?
5. Wie können Unternehmen personenbezogene Daten identifizieren und handhaben?