Datenschutz endet nicht an der europäischen Grenze

Der Konzern verfügte bereits über etablierte Datenschutzstrukturen und orientierte sich maßgeblich an den Anforderungen der DSGVO.

Durch seine internationale Präsenz musste das Unternehmen jedoch berücksichtigen, dass die europäischen Anforderungen nicht automatisch sämtliche datenschutzrechtlichen Verpflichtungen seiner weltweiten Standorte abdecken.

In zahlreichen Staaten haben sich eigenständige Datenschutzgesetze entwickelt. Manche orientieren sich stark an der DSGVO, andere verfolgen eigene regulatorische Ansätze. Unterschiede bestehen beispielsweise bei Betroffenenrechten, Meldepflichten, Anforderungen an Einwilligungen, Datenschutzbeauftragte, internationale Datenübermittlungen oder lokalen Registrierungs- und Dokumentationspflichten. Datenschutzrechtliche Anforderungen in China, Kambodscha, Singapur, Mexiko, Kolumbien, den USA, Kanada und vielen weiteren Staaten mussten analysiert und die Unterschiede zur DSGVO auf den Punkt gebracht werden.

Für einen internationalen Konzern entsteht daraus eine entscheidende Herausforderung:

Wie lässt sich ein weltweit einheitliches Datenschutzmanagement etablieren, wenn die rechtlichen Anforderungen lokal unterschiedlich sind?

Was gilt eigentlich wo?

Unsere erste Aufgabe bestand darin, Transparenz zu schaffen.

Dazu wurden die Datenschutzanforderungen der für das Unternehmen relevanten Staaten systematisch untersucht und miteinander verglichen.

Der Schwerpunkt lag auf den Ländern, in denen das Unternehmen mit eigenen Branch Offices vertreten war. Ergänzend wurden wesentliche Datenschutzregime aus den wichtigsten Wirtschaftsregionen auf allen Kontinenten berücksichtigt.

Dabei ging es ausdrücklich nicht darum, jedes Datenschutzgesetz der Welt in einem theoretischen Kompendium zusammenzutragen.

Entscheidend war die praktische Frage:

Wo reicht der bestehende, an der DSGVO ausgerichtete Datenschutzstandard aus – und wo müssen zusätzliche oder abweichende lokale Anforderungen berücksichtigt werden?

Die DSGVO als Referenzpunkt

Für die Analyse wurde die DSGVO als Referenzrahmen verwendet.

Die jeweiligen nationalen Datenschutzanforderungen wurden systematisch mit diesem Rahmen verglichen. Dadurch konnten Gemeinsamkeiten, zusätzliche Anforderungen und relevante Abweichungen sichtbar gemacht werden.

Das Ergebnis war keine Sammlung hunderter Seiten nationaler Gesetzestexte.

Stattdessen erhielt das Unternehmen eine strukturierte Übersicht darüber, in welchen Ländern besondere Aufmerksamkeit erforderlich ist und worin die wesentlichen Abweichungen vom bestehenden Datenschutzstandard bestehen.

Damit wurde aus regulatorischer Komplexität eine handhabbare Entscheidungsgrundlage.

Von der Rechtsanalyse zum Kontrollsystem

Die eigentliche Herausforderung begann jedoch dort, wo die rechtliche Analyse endete.

Denn zu wissen, welche Anforderungen gelten, bedeutet noch nicht, dass sie innerhalb eines weltweit tätigen Konzerns zuverlässig umgesetzt werden.

Deshalb haben wir gemeinsam mit dem Unternehmen den nächsten Schritt vorgenommen.

Auf Grundlage der gewonnenen Erkenntnisse wurde ein Internes Kontrollsystem für das Datenschutzmanagementsystem (DSMS) entwickelt.

Das Ziel war ein Kontrollrahmen, der weltweit eingesetzt werden kann und gleichzeitig Raum für lokale Besonderheiten lässt.

Globaler Standard. Lokale Anforderungen.

Der entwickelte Ansatz verbindet zwei Ebenen.

Auf globaler Ebene definiert das Unternehmen einen gemeinsamen Datenschutzstandard und einheitliche Kontrollen. Dadurch entstehen konzernweit vergleichbare Anforderungen, Verantwortlichkeiten und Nachweise.

Auf lokaler Ebene können zusätzliche Anforderungen berücksichtigt werden, wenn das jeweilige nationale Datenschutzrecht vom globalen Standard abweicht oder weitergehende Verpflichtungen vorsieht.

So muss Datenschutz nicht für jedes Land vollständig neu organisiert werden.

Stattdessen gilt ein gemeinsamer Grundsatz:

So global wie möglich. So lokal wie erforderlich.

Aus Compliance wird Steuerbarkeit

Das Interne Kontrollsystem ermöglicht dem Unternehmen, Datenschutz nicht nur über Richtlinien vorzugeben, sondern dessen Umsetzung systematisch zu überprüfen.

Kontrollen können Verantwortlichkeiten zugeordnet, Nachweise definiert und die Umsetzung innerhalb der verschiedenen Konzerneinheiten nachvollzogen werden.

Damit erhält auch das zentrale Datenschutzmanagement eine wesentlich bessere Grundlage für die Steuerung der weltweiten Organisation.

Es kann erkennen, welche Anforderungen global einheitlich umgesetzt werden, wo lokale Besonderheiten bestehen und an welchen Standorten Handlungsbedarf entsteht.

Aus einer Vielzahl nationaler Datenschutzgesetze wird dadurch ein steuerbares System.