Jusletter IT

Die globalen datenschutzrechtlichen, technologischen sowie zusätzlich pandemischen Entwicklungen stellen Unternehmen aus diversen Branchen aktuell auf den compliance-rechtlichen Prüfstand, sprich vor komplexe Herausforderungen. Hierbei geben sich innert den letzten Jahren neue Buzzwords rund um datenbasiertes Arbeiten, wie Big Data, Data Privacy, Data Analytics, Artificial Intelligence, Data Tracking, Blockchain, Data Mining, die Klinke in die Hand. Dies sind jedoch bloss einzelne Ansätze innerhalb einer (datengetriebenen) Unternehmung, welche erst mittels starker holistisch-intrinsischer Datenkultur viel bewirken können. Damit die vorgenannten Begriffe nicht reine Buzzwords bleiben, müssen erst die Basics für die Unternehmenstransformation geschaffen werden. Dies bedingt verstärkte Motivation der Belegschaft zu mehr Datenhygiene und damit zu mehr Datenschutz, führt insgesamt aber zu einem entscheidenden Unterscheidungsmerkmal für Unternehmen.

In diesem Kurzbeitrag gehen wir daher auf die Wichtigkeit einer holistischen, jedoch intrinsisch motivierten Datenkultur im Kontext von datenschutzrechtlichen Anforderungen ein.

Just hält die Schweizerische Bankiervereinigung zu Recht in ihrem Leitfaden «Umgang mit Daten im Geschäftsalltag» fest, dass die Datennutzung sich in den nächsten Jahren – getrieben durch technologische Entwicklungen, veränderte Kundenbedürfnisse und regulatorische Anforderungen – weiter stark verändern werde, wobei die personalisierten Angebote/Dienstleitungen zu besseren Beratungen, Prozess- und Kostenoptimierung sowie verbessertem Risikomanagement führe.¹ Doch dieses datenbasierte Arbeiten wird nur effektiv umsetzbar sein, wenn die Basis stimmt; sprich klare Einhaltung der datenschutzrechtlichen Vorgaben sowie Etablierung einer holistisch-intrinsischen Datenkultur im Unternehmen.

Die Entscheidung, datenbasiert zu arbeiten, ist damit eine kulturelle. Ein organisches Wachstum über vereinzelte, kleine Initiativen ist zu Beginn möglich, führt aber in vielen Fällen zu sehr niedriger Effizienz und Frust, da die Werkzeuge selten in ausreichendem Mass verfügbar und die Ergebnisse somit nicht überzeugend für ein Unternehmen sind. In der Konsequenz ist das datengetriebene Arbeiten im datenschutzrechtlichen Rahmen nicht nur in der Organisation und der Kundenzentrierung, sondern der Unternehmensvision und -kultur umzusetzen.

Eine erfolgreiche Datenkultur zeichnet sich folglich dadurch aus, dass Daten von allen relevanten Organisationseinheiten erfasst, verstanden und entsprechend den rechtlich-regulatorischen Datenschutzgrundsätzen² bearbeitet werden. Was heisst dies konkret? Wer echten Nutzen aus seinen Daten ziehen will, muss sich insbesondere um Qualität, Verhältnismässigkeit, Integration im Sinne von Data by Design und Default sowie Vertrauen kümmern. Hierbei haben Daten den grössten Wert, wenn sie von hoher Qualität sind, sprich insbesondere die Datenschutzgrundsätze der Datenrichtigkeit und -sicherheit eingehalten werden. Nur wenn Daten sachlich richtig, erforderlichenfalls auf dem neuesten Stand sowie alle angemessenen technischen und organisatorischen Massnahmen zu ihrem Schutz getroffen sind, kann die geforderte Qualität für ein datengetriebenes Arbeiten im Unternehmen gewährleitstet werden. Zu beachten ist, dass jeweils nur solche Daten bearbeitet werden, die auch einen tatsächlichen Mehrwert im Sinne der Verhältnismässigkeit stiften. Damit hat die Datenbearbeitung für den konkreten Bearbeitungszweck (z.B. Artificial Intelligence, Data Analytics) objektiv geeignet und erforderlich zu sein, wobei die Beurteilung vom jeweiligen Use Case, den betroffenen Daten und vom konkreten Zweck der Bearbeitung abhängig ist. Denn nur wenn die Relevanz, Frequenz bzw. Mehrwert und die damit verbundene Verhältnismässigkeit der datengetriebenen Arbeit passen, das heisst erkennbaren Mehrwert für betroffene Datensubjekte – in der Regel die Unternehmenskunden – vorliegen, wird auch eher der zu erzielende Mehrwert für das Unternehmen selbst, vom Publikum akzeptiert. In diesem Zusammenhang ist es unabdingbar, bereits bei der Entwicklung des datengetriebenen Arbeitens die rechtlich-regulatorisch geforderten Vorgaben technisch und organisatorisch zu integrieren sowie entsprechende datenschutzfreundliche Voreinstellungen zu etablieren. Folglich ist ein Unternehmen gut beraten, den bewussten Umgang mit Daten in der gesamten Belegschaft zu fordern und fördern. Dies wirkt auch der Gefahr einer Disruption entgegen, welche Auswirkung auf das gesamte datenverarbeitende System haben kann.

Darüber hinaus liegt jedoch der Kernaspekt einer erfolgreichen Datenkultur im Vertrauen: Das Management benötigt es in Bezug auf den Umgang seiner Belegschaft mit Daten (inkl. empowerment of employees); die Belegschaft wiederum benötigt dieses in Bezug auf die zu verwendenden Daten und deren Qualität; die betroffen Daten Subjekte benötigen es in Bezug auf die Einhaltung der rechtlich-regulatorischen Vorgaben durch das Unternehmen und seine Belegschaft. Dies wiederum verlangt einen sachgerechten Datenumgang, sprich Datenhygiene, Verstehen der sowie Vertrauen in Methoden und Daten sowie der Optionen und Effekte von datenbasierter Arbeit. Entsprechend hat sich eine Kultur des verantwortungsbewussten und kollektiv akzeptierten Umgangs mit Daten herauszubilden. Die Umsetzung gelingt jedoch nur, wenn dies zum einen in der Unternehmensvision verankert und vor allem von der Unternehmensleitung vorgelebt wird, zum andern von der Belegschaft verstanden und insbesondere mitgetragen wird. Hierzu ist Wissen und Datenkompetenz im Unternehmen gefragt. Sprich eine breit angelegte Wissensvermittlung und Datenkompetenzsteigerung auf mehr als populärwissenschaftliches Niveau ist gefordert. Dabei gibt es viele Ansatzpunkte, die individuell auf jedes Unternehmen zugeschnitten werden müssen. Aber grundsätzlich gilt es nachhaltige und konsistente Aus-/Weiterbildungen sowie datenbasierte Rollen (z.B. Data Owner and Stewards, Data Legal & Compliance, Data Translators, Data Ambassadors) zu etablieren, um eine möglichst breite Abdeckung der Datenkompetenz und Vertrauenssteigerung zu gewährleisten. Erfolgsversprechend ist hierbei die Kombination von spezialisierten Teams, einer Datendemokratisierung³ sowie die konsequente Umsetzung der rechtlich-regulatorisch geforderten Datenschutzgrundsätze, um die geforderten Fähigkeiten im gesamten Unternehmen auszurollen. Dies wiederum wirkt sich positiv auf die Zusammenarbeit und Motivation der Belegschaft aus und bildet als side-effect ein starkes Argument für die Attraktivität als Arbeitgeber.

In diesem Zusammenhang sei die Anmerkung erlaubt, dass Wissen und Kompetenz im ersten Schritt immer noch primär theoretischer Natur sind und in der datengetriebenen Arbeit die vielversprechenden Ideen weitaus zahlreicher als praktikabel sind. Daher lohnt es sich, datenbasierte Arbeit mittels Leuchtturmprojekten greifbar zu machen und andere Mitarbeitende zu inspirieren, nach Anwendungsfällen in ihren Bereichen zu suchen (sog. Multiplikationseffekt) sowie proaktiv die Datenkultur intrinsisch, jedoch mit holistischem Ansatz, zu etablieren. Der Vorteil dabei ist, dass ein Unternehmen sofort beginnen kann, Schritt für Schritt an ihren datengetriebenen Use Cases sowie der erforderlichen Datenkultur zu arbeiten – im Wissen, dass jeder dieser Schritte grosse Auswirkungen auf die Unternehmensresilienz gegenwärtig und zukünftig hat.

Ergo können Unternehmen, die in eine starke Datenkultur investieren – und damit in eine Kultur, die rechtlich-regulatorische Datenschutzvorgaben strikt umsetzt und datengesteuerte Entscheidungen wertschätzt – auf aktuelle Herausforderungen effizienter reagieren, wichtige Entscheidungen agiler treffen und die Daten effektiver und dennoch sicher einsetzen. Anzumerken ist, dass Daten heute nicht mehr nur einen Wettbewerbsvorteil mit sich bringen, sondern für die gesunde Entwicklung – und oft auch das Überleben – von Unternehmen essenziell sind. So stellen Faktoren wie die Verfügbarkeit von Daten (auch in grossen Volumina wie bei Big Data), die Datensicherheit, die neusten Technologien sowie Datenanalysen allein keine Erfolgsgarantien per se mehr dar. Für eine erfolgreiche Umwandlung von Daten in unternehmensspezifische Informationen, Wissen oder auch Erkenntnisse ist eine demokratische Datenkultur und der entsprechende Mindset gefordert. Die Umsetzung einer Datenkultur ist hierbei ein langfristiger Prozess und lässt sich nicht übers Knie brechen. Jedes Unternehmen muss eine für sich realistische Strategie festlegen, die der Grösse des Betriebes und der Branche entspricht. Unternehmen sind jedoch gut beraten, wenn sie nicht zuwarten, sondern -wie erwähnt- schrittweises beginnen, Uses Ceses zu entwickeln und dabei ihre Belegschaft in den Fachbereichen zu befähigen und zu motivieren, ihre ganz persönliche digitale Transformation zu starten.

Zusammenfassend dürfte klar sein, dass neben den technologischen Fähigkeiten eine neue Denkweise zwingend notwendig wird, damit ein datengesteurtes Arbeiten tatsächlich gelebt werden kann. Wenn diese Erkenntnisse und Empfehlungen umgesetzt werden, haben sie einen enormen Einfluss auf den Unternehmenserfolg, wobei die Datenkultur der Schlüssel, sprich ein Asset, ist – und nicht ein blosses Buzzword.

Nora V. Rümbeli, Legal Head Technology & Service, Marketing & Ai, Data Privacy & Group DPO.