Drei gute Gründe, die EU-Datenschutz-Grundverordnung als Chance zu begreifen
Die neue EU-Datenschutz-Grundverordnung ist im Mai 2016 in Kraft getreten. Bis Mai 2018 haben Unternehmen nun Zeit, die neuen Richtlinien vollumfänglich in ihre Unternehmensstrukturen einzubinden. Das ist mit viel Aufwand, hohen Kosten und einigen externen Beratungsstunden verbunden. Alternativen gibt es jedoch keine. Die potenziellen Strafzahlungen sind groß, und die Wahrscheinlichkeit diesen zu erliegen, ist nicht kleiner.
Bereits in meinem letzten Beitrag hier auf Zielbar habe ich mich des „trockenen“ Themas Datenschutz angenommen. Ich wurde in unseren Redaktionssitzungen schon fast mitleidsvoll von meinen besorgten Kollegen gefragt, ob ich tatsächlich am Thema dranbleiben will.
Ja, will ich! Denn das Thema bietet viel mehr Chancen für Unternehmen, als es auf den ersten Blick scheint. Es geht hier eben nicht nur um die Umsetzung von neuen Rechtsvorschriften. Schauen wir über den rein juristischen Aspekt hinweg, ergeben sich für Unternehmen einige interessante Entwicklungsmöglichkeiten: Die neue Datenschutz-Grundverordnung ist der perfekte Startpunkt, Unternehmen zukunftsfit zu machen und dabei die volle Motivation der Mitarbeiter und den Zuspruch der Zielgruppe zu erlangen. Wie? Das will ich anhand von drei Punkten verdeutlichen.
Erstens: Der PR-Aspekt oder „Wir sind die Guten“
Heute, wo das Internet das dominierende Kommunikationsmedium nicht nur zwischen Menschen, sondern auch zwischen Menschen und Maschinen darstellt, erlebt die PR-Branche einen neuen Höhenflug. Die Public Relations entwickeln sich mithilfe ihres Enfant terribles neuerlich zur umfangreichen Unternehmenskommunikation, die all ihre Stakeholder über unterschiedliche Kanäle und mit unterschiedlichen Zugängen einzubinden vermag.
Online-PR und Datenschutz passen nicht nur wegen des Mediums selbst zueinander. Das Thema Datenschutz ist geradezu eine geschenkte Vorlage, um damit – wenn richtig implementiert – professionelle Öffentlichkeitsarbeit zu betreiben. Aber was war Online-PR noch einmal genau?
PR 2.0 ist eine Erweiterung der klassischen PR; das bewusste, geplante und dauernde Engagement einer Organisation oder einer Persönlichkeit im Social Web. Sie verfolgt das Ziel, online mit integrierter, vernetzter und transparenter Kommunikation eine Reputation aufzubauen, welche auf Akzeptanz, Verständnis und Vertrauen basiert.
Glaubwürdigkeit strebt sie mit personalisierter und authentischer Kommunikation, möglichst in Echtzeit, an. Hauptelemente der öffentlichen Kommunikation mit den Dialoggruppen sind gegenseitiges Zuhören, Interaktion und Kollaboration; im Vordergrund stehen die Bereitschaft und die Fähigkeit zu Dialog und Vernetzung, die auch ohne Vermittler stattfinden kann.
(Schindler/Liller, PR im Social Web, 2012, O‘Reilly Verlag: S. 59)
Das Wertvollste und vielleicht Wichtigste, was Online-PR leisten kann, ist ein ehrlicher und wertschätzender Dialog mit unseren Dialoggruppen. Ein bestehender Kommunikationsfluss und echte Beziehungsarbeit sind eine Herausforderung für jedes Unternehmen. Dafür braucht es Zeit, Geduld und Aufmerksamkeit. Das Ziel dahinter ist klar: Akzeptanz, Verständnis und Vertrauen für das Unternehmen aufbauen.
Wie können wir aus Unternehmenssicht den „Aufhänger“ Datenschutz proaktiv nutzen? Ganz einfach und simpel formuliert: Wir tun Gutes und sprechen darüber! Ja, die neuen Datenschutzauflagen sind eine harte Nuss, aber wir Unternehmen tun das trotzdem, rechtzeitig und professionell, weil unsere Kunden, User, Leser, Dialoggruppen es uns wert sind.
Die Botschaft: „Wir gehören zu den Guten! Uns liegt es am Herzen, was euch beschäftigt. Eure Daten sind uns wichtig, weil IHR uns wichtig seid.“ Genau das müssen wir mit effektiver PR-Arbeit kommunizieren.
Was für einen Vorsprung das gegenüber der Konkurrenz gäbe?! Einen Vorschuss in Sachen Vertrauen, Akzeptanz und Verständnis. Wir wären Vorreiter und nicht Nachzügler. Genau darauf sollten wir uns aus PR-Sicht mit Blick auf die neue Datenschutz-Grundverordnung konzentrieren.
Zweitens: Die Suche nach dem besseren Ich – Gamification-Elemente für den andauernden Fortschritt
Eng mit diesem ersten Punkt verbunden ist die zweite Entwicklungschance: Die Suche nach dem besseren Unternehmens-Ich. Dabei greift diese Entwicklung in das Unternehmen als Objekt selbst ein, andererseits geht es dabei auch um jeden einzelnen Mitarbeiter – vom CEO bis zum Techniker. Um diesen doch etwas komplexeren Sachverhalt zu erklären, möchte ich kurz ausholen: einmal in Richtung Motivationsforschung und dann in Richtung Gamification.
Motivationsfaktoren und wie sie wirken
Wie wir aus Erfahrung, unserem Studium oder aus thematischen Blogartikeln wissen, gibt es intrinsische und extrinsische Motivationsfaktoren. Extrinsische Motivation wird von außen als Belohnung (z. B. in Form von Gehalt) oder als Strafe zugeführt. Solche Motivationsfaktoren sind im Unternehmensalltag wichtig und häufig anzutreffen, neigen aber dazu, an Wirkungskraft zu verlieren. Ich möchte sie vorerst zurückstellen und später auf sie zurückgreifen.
Viel effektiver und nachhaltiger in ihrer Wirkung sind intrinsische Motivationsfaktoren. Intrinsisch motiviert sind wir, wenn wir etwas aus inneren Beweggründen heraus tun – aus Neugierde und Spaß etwa. Daher finden wir intrinsische Motivation oft in unserer Freizeit, beim Sport oder auch beim Spiel.
Das Thema „intrinsische Motivation“ hatten wir schon einmal auf Zielbar. Roman Rackwitz hat uns diesen Begriff in Verbindung mit Gamification im Unternehmen nähergebracht – und genau dort will ich heute anknüpfen, denn Parallelen dazu gibt es.
Was Gamification mit Unternehmensfortschritt zu tun hat
Der Begriff Gamification wird leider meist missinterpretiert. Er hat wenig mit Spielen an sich zu tun, die Spieleindustrie hat nur die Mechanismen dahinter verstanden und als erste aktiv für sich genutzt. Diese Elemente können wir jedoch überall in unserem Alltag einsetzen, wo es auf menschliches Verhalten und die Lust am Spielen ankommt. Im Unternehmen lassen sich so Lernprozesse, Teamwork und Weiterbildung mit Gamification optimieren.
Erfolg im Sinne von Gamification ist ein Zustand des Fortschritts, der nie endet. Der einzige Gegner, den wir dabei haben, sind wir selbst. Wir messen uns an unseren eigenen Leistungen. Wir sind auf der Suche nach unserem besseren Ich. Genau das macht Gamification innerhalb von Unternehmen so wirkungsstark. Es gibt innerhalb des Unternehmens keinen Gegner, wir sitzen alle im selben Boot und versuchen unsere eigene Leistung zu optimieren.
Roman Rackwitz: Was ist Gamification
Und genau hier dient die neue Rechtslage als Ansatzpunkt: Die neue Datenschutz-Grundverordnung ist eine Reaktion auf spezifische Bedürfnisse der Menschen, und jede und jeder kann seinen Beitrag dazu leisten – jeden Tag ein bisschen mehr. Zudem geht sie uns alle an, sei es als Privatperson oder als Unternehmen. Gamification-Elemente für die konkrete Umsetzung der geltenden Gesetze einzusetzen, wird jedoch nicht funktionieren. Stellen wir Datenschutz als einen konstanten persönlichen, unternehmerischen und gesellschaftlichen Fortschritt dar, können wir laufend über uns hinauswachsen – und das sollten wir nicht ungenutzt lassen!
Diese Auslegung wirkt auf den ersten Blick möglicherweise eigenartig, schräg oder sogar realitätsfremd – aber nicht anders wurde noch vor wenigen Jahrzehnten auf die Themen Nachhaltigkeit und Corporate Social Responsibility geschaut. Heute belächelt diese Themen wohl niemand mehr.
Bevor es jedoch dazu kommen kann, ist es wichtig, den passenden Blickwinkel einzunehmen und den Fokus auf dieses Thema zu legen, zu verstehen, warum Datenschutz einen Wert hat – ja, ein Grundrecht ist! – und dann dies auch aktiv zu kommunizieren. Das ist sicherlich nicht einfach und schnell gemacht, aber es ist aus meiner Perspektive eine absolut lohnende Zukunftsinvestition.
Drittens: Unternehmen in Co-Evolution mit der Zielgruppe
Das oben beschriebene intrinsische Motivationspotenzial ist wichtig, aber auch extrinsische Faktoren sind bei der neuen Datenschutz-Grundverordnung von Relevanz. Primär ist es natürlich das Vermeiden der sehr hohen Strafzahlungen (hier sehr hilfreiche FAQs von bitkom als PDF), was Unternehmen dazu motivieren wird, die neue Rechtslage zu implementieren. Dennoch ist es wichtig, sich als Unternehmen vor Augen zu führen, dass die damit verbundenen Ausgaben auch eine Investition in die Zukunft des Unternehmens darstellen – und zwar aus Zielgruppenperspektive.
Damit schließen wir an den ersten Punkt an: Warum machen wir PR? Warum sind Verständnis, Vertrauen und Akzeptanz seitens unserer Dialoggruppen wichtig? Richtig. Letzten Endes unterstützen PR-Maßnahmen Unternehmensziele und darin definierte KPIs. Darunter finden sich eben auch Zahlen, die Gewinn und Umsatz beziffern.
Besonders in jenen Unternehmen, bei denen der Umsatz stark auf das Internet setzt, ist Datenschutz ein wichtiger Wachstumsmotor bzw. eine potenzielle Wachstumsbremse. Usability, Customer Experience, Content-Marketing, SEO – all das ist im Online-Marketing und -Verkauf wichtig. Aber das Kundensegment, das trotz datenschutzkritischer Elemente dennoch interagiert und kauft, wird zunehmend kleiner werden. Anders gesagt: Das Thema Datenschutz wird für unsere Zielgruppen zunehmend wichtiger und somit – ich habe es anderer Stelle bereits gesagt – zum Knockout-Kriterium bei der Kaufentscheidung.
Die EU hat sich dem Thema Datenschutz gewidmet, weil es von der Bevölkerung dazu aufgefordert wurde. Es wäre also Ressourcenverschwendung, gegen stärkeren Datenschutz anzukämpfen. Wir müssen stattdessen unsere Unternehmen in jene Richtung weiterentwickeln, wohin sich auch unsere Zielgruppe hinbewegt. Ganz im Sinne von:
„Fish where the fish are!“
Die Ausgaben bei der Umsetzung der neuen Rechtslage sollten daher als Investitionen in die Zukunft gesehen werden. Mit Investition meine ich ganz konkret den Einsatz von finanziellen Mitteln, mit der (langfristigen) Absicht damit (mehr) Gewinn zu erzielen. Eine zeitnahe Umsetzung bietet uns die Möglichkeit, einen entscheidenden Wettbewerbsvorteil gegenüber unseren Mitbewerbern zu sichern. Der datenschutzrechtliche Unterschied bzw. Vorsprung wird sich auf Umsatzzahlen auswirken – wie rasch und wie stark, wird aber von Branche zu Branche variieren und nicht zuletzt von der Zielgruppe abhängig sein.
Kurz zusammengefasst
Das Ziel meines Beitrags war es, die neue EU-Datenschutz-Grundverordnung in einer anderen, nämlich chancenbringenden Perspektive darzustellen. Unternehmen können die neue Rechtslage als Anlass und Ausgangspunkt nehmen, ihr Unternehmen zukunftsfähig umzugestalten – und das Zielgruppenbedürfnis nach einem Plus an Datenschutz zu befriedigen.
Beim Datenschutz geht es eben nicht nur um die Implementierung neuer Rechtsvorschriften, sondern auch um Marktvorsprung, Sinnhaftigkeit für jeden Einzelnen und zukunftsweisende Unternehmenskommunikation. All das kann die neue Datenschutz-Grundverordnung für Unternehmen bieten. Wir müssen nur die Zusammenhänge sehen und aktiv an ihrer Umsetzung arbeiten.
Artikelbild: Martin Mummel
Hallo Ivana,
ein Punkt ist hier vielleicht etwas untergegangen, nämlich die Verbindung zur Informationssicherheit.
Die Anforderungen an den Datenschutz nähern sich immer mehr etablierter Informationssicherheitsstandards (ISO 27001/BSI Grundschutz) an.
Diese wurden in der Vergangenheit, wie auch heute, immer herangezogen, wenn es darum geht, Technische und Organisatorische Maßnahmen (TOMs) zu definieren.
Die EU-DSGVO geht nun sogar weiter und benennt diese Schutzziele genauso wie die Informationssicherheit:
– Vertraulichkeit
– Integrität
– Verfügbarkeit
.
Dies ermöglicht es (uns Daten- und Informationsschützern) mehrere Themen in einem Abwasch zu erledigen.
Neben der klaren Inklusion der „rechtlichen compliance“ (Datenschutz) innerhalb der Informationssicherheitsmanagementsystemen (ISMS) ist z.B. das Verfahrensverzeichnis zu nennen.
Dieses muss im Datenschutz natürlich nur Prozesse beinhalten, welche mit der Verarbeitung personenbezogener Daten zu tun haben.
In der Informationssicherheit wird ein Prozessverzeichnis gefordert, welches alle datenverarbeitenden Prozesse und Übergabekanten enthält.
Durch die Veränderungen in der DSGVO ist es nun möglich, die Datenschutzprozesse (Verfahrensverzeichnis) oftmals als Untermenge der gesamten Prozesse mit schützenswerten Prozesse zu sehen und identisch abzubilden -> Keine doppelte Arbeit.
Weitere Aspekte wären hier Riskomanagement oder Business-Continuity-Management (BC;M), welche zwar nicht explizit von der DSGVO gefordert werden, aber immerhin implizit.
Ein Unternehmer muss nun halt auch nachweisen, dass es sich der Risiken bewusst ist und diese klar adressiert, sowie aber auch den Datenschutz als Prozess ansieht.
In den gängigen Managementsystemen sprechen wir hier vom PDCA-Zyklus (Plan-Do-Check-Act und wieder von vorne). Dies beschreibt einen „kontinuierlichen Verbesserungsprozess“, also das stetige „analysieren und besser werden“ in der entsprechenden Thematik.
Hier ist nun auch wieder die Analogie zu erkennen – letztendlich kann man den Datenschutz ein bisschen so sehen, wie ein kleines Stück Informationssicherheitsmanagement (z.B. ISO 27001 oder BSI Grundschutz).
Vielleicht ist auch die eine oder andere Firma dabei, die den Nutzen eines DSMS (Datenschutz-Managementsystems) erkennt und gerne auch auf die Informationssicherheit (und natürlich auch IT-Security) übertragen möchte.
Die System kooperieren nun wunderbar, sodass es einem Unternehmer auch einen Mehrwert bringt.
Eine anständige Prozess- und IT-Dokumentation schadet keinem, spätestens der Wirtschaftsprüfer wird diese sehen wollen (IDW PS 330).
Allgemein möchte ich aber noch betonen, dass die Tragweite dieser Veränderung noch sehr schwer abzuschätzen ist.
Die klassischen Anforderungen des normalen Datenschutzes wurden bisher (leider) auch lange ignoriert, ich hoffe dass sich dies bald ändern wird (spätestens mit den ersten saftigen Strafzahlungen).
Beste Grüße
Robin Parker
(IT-Sachverständiger, EU-Datenschutzbeauftrager, Manager für Informationssicherheit ISO 27001)
Servus Robin,
danke für deinen ausfürhlichen Input! Das ist definitiv ein wichtiger Aspekt, der in meinem Beitrag nicht „untergegangen“ ist, sondern ganz einfach (noch) nicht Thema war. Dieser Aspekt verdient nämlich mehr Raum und Erklärung – da gebe ich dir absolut recht.
Dass wir die Tragweite noch nicht abschätzen könne, stimmt ebenfalls. Gerade deshalb ist es wichtig, Bewusstsein für dieses große Themenfeld zu schaffen.
Liebe Grüße
Ivana