Konzerndatenschutz mit Sicherheit

Datenschutz in einem internationalen Konzern ist eine Herausforderung. Tochterunternehmen, die global verteilt agieren, unterliegen unterschiedlichen Datenschutzgesetzen. Viele Applikationen, Prozesse und Dienstleister werden unternehmensweit genutzt und erzeugen somit länderübergreifende Datenflüsse. Ohne eine prozessbasierte Datenschutz-Organisation, die nach einheitlichen Prinzipien funktioniert, fehlen Übersicht und effiziente Steue­rungs­mög­lich­kei­ten.

Datenschutz als Teil des Compliance Management Systems
Bei Evonik ist Datenschutz ein zentrales Compliance-Thema mit hohem Stellenwert. Lange vor der DSGVO implementierten die Verantwortlichen ein System, das Datenschutz in alle relevanten Un­ter­neh­mens­pro­zes­se verankert. Eine selbstentwickelte Datenbanklösung unterstützte den Da­ten­schutz­be­auf­trag­ten und sein Team bei Erstellung und Pflege des Verzeichnisses von Ver­ar­bei­tungs­tä­tig­kei­ten.

Mit einer weiteren Datenbank bildete das Team die Datenschutz-Organisation und Dokumentation ab. Diese Methode funktionierte gut, stieß jedoch im Zuge der Umstellung auf die DSGVO an Grenzen. Das Ziel: Ablösung des Alt-Systems durch eine zentrale Datenschutz­management-Software, die Effizienz und Übersicht verbessert und eine Möglichkeit zur Dokumentation von Dokumenten bis zur höchsten Vertraulichkeitsklasse bietet.

Verschlüsselung als ein wichtiges Auswahlkriterium
Nach einem Auswahlverfahren entschied Evonik, otris privacy für den Datenschutz innerhalb des Konzerns einzusetzen. Ein wichtiges Auswahlkriterium: die Implementierung eines Ver­schlüs­se­lungs­stan­dards innerhalb der Software, sowie die Übertragung der un­ter­neh­mens­spe­zi­fi­schen Datenschutzprozesse.

Dokumentations- und In­for­ma­ti­ons­ma­nage­ment
Evonik bildet die Datenschutz-Organisation mit otris privacy ab. Dazu zählen zum einen Dokumentationen und zum anderen Prozesse, die die Bearbeitung steuern. Beispiel: Die zentrale Dokumentation ist das Verzeichnis von Ver­ar­bei­tungs­tä­tig­kei­ten (VVT). otris privacy steuert durch vorgegebene Prozessschritte die Anlage neuer Ver­ar­bei­tungs­tä­tig­kei­ten, sowie die Einbindung Pro­zess­ver­ant­wort­li­cher. Weitere Aspekte, die Evonik mit otris privacy bearbeitet: Dokumentation von Anfragen, Dokumentation von Dienst­leis­tungs­ver­hält­nis­sen, Verwaltung von Musterdokumenten/-verträgen/-formulierungen, sowie die gesamte teaminterne Dokumentation. Neben Dokumentationen realisiert Evonik das da­ten­schutz­re­le­van­te Informations-, Schulungs- und Terminmanagement mit otris privacy (Weiterbildungen, Zertifikate, Veröffentlichungen der Aufsichtsbehörden, News mit DS-Bezug, Projektarbeiten, DS-Beratung und Termine).

Reporting
Ein weiterer Nutzen der zentralen, einheitlichen Datenhaltung liegt in der leichten Auswertbarkeit von Aktivitäten und Vorgängen. Evonik nutzt das otris privacy Cockpit zur individuellen Aufbereitung des Datenmaterials. Reports zur internen und externen Berichterstattung erstellt das System automatisiert nach vorab definierten Parametern. Das verbessert zum einen das interne Monitoring der Da­ten­schutz­ak­ti­vi­tä­ten. Zum anderen ist die Organisation jederzeit auskunftsfähig und behält den Überblick im Sinne der Re­chen­schafts­pflich­ten.

Gegenwärtige und künftige Nutzung
Zurzeit ist das fünfköpfige Konzerndatenschutz-Team Hauptanwender der Lösung. In abgestufter Intensität nutzen das System darüber hinaus die dezentralen Da­ten­schutz­ko­or­di­na­to­ren und Da­ten­schutz­an­sprech­part­ner in den Fachbereichen. Schwerpunktmäßig wird otris privacy von der Zentrale und den deutschen Gesellschaften eingesetzt. Die sukzessive Überführung der EU-Gesellschaften in das System läuft.