Projekterfolge

Die Bestimmungen der DSGVO wurden mit der aktuellen Situation der Versicherung abgeglichen und daraus die notwendigen Massnahmen abgeleitet.

Anschliessend wurde eine Risikoeinschätzung aus der Sicht der betroffenen Personen vorgenommen und beurteilt, welche der Massnahmen in welcher Reihenfolge umgesetzt werden müssen. Danach erfolgte die schrittweise Umsetzung der Massnahmen in Abstimmung mit dem Kunden.

Eine Datenschutzorganisation innerhalb des Konzerns mit nationalen Datenschutzkoordinatoren wurde aufgebaut. Es wurden zentrale Richtlinien und Prozessen erstellt, die anschliessend auf alle Auslandsniederlassungen ausgerollt wurden. elleta schulte die Datenschutzkoordinatoren und überwacht regelmässig Überwachung und Abstimmung zur Einhaltung der Datenschutzgesetze nach Implementierung.

elleta wurde als Partner ausgewählt, weil elleta nicht nur über die erforderliche rechtliche und technische Fachkompetenz verfügt, sondern auch auf viel praktischen Erfahrungen aufsetzen konnte.

Die Herausforderung bei der Umsetzung der Massnahmen war die Entscheidung für die passende Implementierungsform, sodass jeweils ein guter Kompromiss zwischen Aufwand und Erfüllung der geforderten gesetzlichen Grundlagen gefunden werden konnte. Die Einrichtung regelmässiger Jour fixe Termine, bei denen die wichtigsten Eckwerte der Massnahmenimplementierung besprochen wurden, ermöglichten eine schlanke, aber dennoch wirkungsvolle Umsetzung des Datenschutzgesetzes.

elleta wurde mit der Analyse der Ist-Situation, insbesondere im Hinblick auf die technischen IT-Systeme und deren operative Betreuung, beauftragt. Es wurden Vorschläge zur Umsetzung der technischen und organisatorischen Massnahmen ausgearbeitet, es fand eine enge Abstimmung mit dem Kunden statt und anschliessend wurden die entsprechenden Massnahmen implementiert.

Die Umsetzung der rein rechtlichen Bestimmungen (z.B. Auftragsdatenverarbeitervertrag, Datenschutzbelehrungen, etc.) erfolgte nach Absprache mit dem Kunden durch seine juristischen Mitarbeiter.

„Es war eine spezielle Erfahrung, eine Anwaltskanzlei bei der Umsetzung von grundlegenden, rechtlichen Bestimmungen zu beraten", so Christine Wohlwend, Datenschutzexpertin der elleta AG und führt weiter aus: „Aber für eine massvolle und effiziente Umsetzung der Datenschutzmassnahmen benötigt es eben auch vertiefte technische IT-Kenntnisse, über die juristische Mitarbeiter und Anwälte in der Regel nicht selbst verfügen. Dies hat der Kunde selber auch so gesehen und daher war die Zusammenarbeit spannend und erfolgreich."

Zuerst wurden die Einzelschritte definiert, die aus den Datenschutzvorgaben resultierten, damit diese anschliessend in einer Projektroadmap chronologisch dargestellt werden konnten. Die Abfolge der erforderlichen Einzelschritte wurde im Rahmen von zwei Workshops mit den verantwortlichen Personen des Kunden festgelegt und in zusammenhängenden Clustern gruppiert. Für die Bearbeitung der einzelnen Schritte wurden jeweils Fachpersonen aus der Kundenorganisation beigezogen, die entsprechend den Vorgaben die Umsetzung vornahmen.

Die Aufgabe des elleta Projektleiters war sicherzustellen, dass die Zusammenhänge und die Querverbindungen der Einzelschritte gesamtheitlich aufeinander abgestimmt wurden.

Das Endergebnis war eine durchgängige und integrierte Umsetzung der DSGVO-Vorgaben für die Amtsstelle und deren beaufsichtigte Organisationen.

Nach einer strukturierten Analyse der IST-Situation aus Compliance-Sicht wurde eine Gap-Analyse erstellt, anhand derer datenschutzbezogene technische und organisatorische Massnahmen identifiziert wurden. elleta erstellte logisch zusammenhängende Umsetzungscluster, vorhandene Richtlinien wurden abgeglichen und die Prozesse im Unternehmen etabliert. Die Risikomatrix, Datenmanagement und Betroffenenrechte, die Sichtung und Ausarbeitung von Auftragsdatenverarbeiterverträgen sowie die Erstellung des Verarbeitungsverzeichnisses waren ebenso Teil des Auftrags.

elleta nahm die laufende Beurteilung der erfolgten Projektarbeiten auf Kundenseite wahr, machte Umsetzungsempfehlungen und unterstützte bei der Implementierung der erforderlichen Massnahmen.

elleta führte folgende Aufgaben durch:

• Festlegung Prüfungsumfang und Verantwortlichkeiten
• Analyse Ist-Situation und Abgleich mit Datenschutz-Vorgaben
• Definition erforderliche Massnahmen
• Unterstützung bei Implementierung
• zusätzliche Unterstützung bei der Implementierung der wichtigsten ISMS-Massnahmen

elleta wurde beauftragt, bei den einzelnen Unternehmen den Ist-Zustand im Sinne eines Reviews zu erheben, Differenzen zum Soll-Zustand festzustellen und bei der Bereinigung der Differenzen unterstützend tätig zu sein.

Das Projekt wurde durch die oberste Konzernleitung beauftragt, die ihrerseits auch den Projektausschuss stellte. Bei den betroffenen Unternehmen wurden jeweils kundenseitige Datenschutzbeauftragte im Sinne von Fachspezialisten definiert, die Hauptansprechpartner der Projektleitung waren. elleta berichtete regelmässig dem Projektausschuss, informierte über die wesentlichen Erkenntnisse aus dem Audit/Review und den jeweiligen Projektfortschritt.

Die Projektorganisationen in den einzelnen Unternehmen wurden auf die jeweilige Unternehmensgrösse abgestimmt. In einem kleinen Unternehmen genügte der Datenschutzverantwortliche als Fachspezialist für die elleta Projektleitung. In grösseren Unternehmen wurde eine grössere Projektorganisation mit einer zentralen Datenschutzperson und mehreren dezentralen Datenschutzkoordinatoren aufgebaut.

Die Tatsache, dass das Unternehmen sowohl im EU-Raum als auch in der Schweiz Kunden hat und damit zusammenhängend auch über Personendaten verfügt, erforderte die Berücksichtigung sowohl des EU-Datenschutzgesetzes als auch der schweizerischen Datenschutzbestimmungen.

Das Kerngeschäft des Unternehmens war elleta aus anderen, vergleichbaren Projekten bekannt und daher war keine umfassende Analyse erforderlich. Es genügte eine kurze Sichtung der unternehmensspezifischen Prozesse. In einem ersten Schritt wurden die vorhandenen Prozesse in ein Verarbeitungsverzeichnis aufgenommen und diese den Bestimmungen des Datenschutzes gegenübergestellt.

Es war bald klar, dass die beiden Kernpunkte, nämlich das Verhältnis zu den Auftragsdatenverarbeitern und die Herausforderungen der Datenlöschung, besondere Beachtung finden mussten. Für diese beiden Schlüsselelemente wurden recht bald Lösungen gefunden, die auch wirtschaftlich tragbar waren, sodass im Sinne eines risikobasierten Datenschutzansatzes danach die wichtigsten Punkte erledigt waren. Einzelne, eher zweitrangige Datenschutzbestimmungen wurden später durch den Kunden selbst implementiert.

elleta übernahm die Durchführung von Einzelaudits in den verschiedenen Abteilungen und Bereichen: Prüfung der Bereiche und deren jeweilige Verarbeitungstätigkeiten auf Datenschutzkonformität, Sichtung der bestehenden Rechenschaftsdokumente, Risikobewertung, Aufzeigen der Schwachstellen und Definition von umsetzbaren Massnahmen.

Den Abschluss der Audits bildete eine Präsentation vor der Geschäftsleitung und dem Verwaltungsrat mit anschliessender Diskussion, damit diese in der Lage waren, noch vorhandene Restrisiken richtig einzuschätzen und, wo nötig, weitere Schritte einzuleiten.

Da elleta sowohl über die ausgewiesene fachliche Qualifikation also auch über die verschiedenen sprachlichen Fähigkeiten verfügt, die benötigt wurden, erhielt elleta den Zuschlag für dieses Mandat. Ein weiteres wichtiges Entscheidungskriterium waren zudem die einschlägige branchenspezifische Erfahrung und die Kenntnisse der unterschiedlichen Ländersituationen.

elleta nimmt diese Aufgaben wahr, indem ihr eine eingerichtete, interne Koordinationsstelle sämtliche Datenschutzanfragen zustellt. elleta bearbeitet diese Anfragen in Vertretung des Datenschutzkoordinators vollumfänglich. Wo nötig nimmt elleta direkt Rücksprache mit den Fachabteilungen der jeweiligen Länder. Sofern sich Datenschutzanfragen direkt von Kunden ergeben, involviert elleta die zuständige Managementperson im Unternehmen und stimmt mit dieser die Kommunikation gegenüber dem Kunden ab. Periodisch stimmt sich elleta im Form eines Jour fixe Termins mit dem Management des Kunden ab und erstellt jährliche Tätigkeitsberichte zur Dokumentation für den Kunden.

Zu den elleta Aufgaben gehören: Prüfung der Bereiche und deren jeweilige Verarbeitungstätigkeiten auf Datenschutzkonformität, Sichtung der bestehenden Rechenschaftsdokumente, Risikobewertung, Aufzeigen der Schwachstellen und daraus abgeleitete Massnahmen, Definition von umsetzbaren Massnahmen und Empfehlungen sowie allgemeine Unterstützung bei Datenschutzfragen.

Prüfungsbereiche:

• Energieladen mit Ladenverkauf und Bestellung
• Elektroinstallationen, Planung, Angebot und Disposition Monteure
• Alternative Energien, Planung und Berechnung, Luftbildaufnahme
• Personal- und Rechnungswesen
• SmartMetering und Energiemanagement inklusive Stromhandel
• Liegenschaftsverwaltung und Facility Management
• Lager und Direktverkauf Lager, inklusive Videoüberwachung
• Netzprovider Strom und Kommunikation, Ausbau Energienetz und Störungsbearbeitung
• GPS Tracking Fuhrpark und Disposition Fahrzeuge / Monteure