Der Herr der Daten: CDOs im Spannungsfeld zwischen Big Data und Compliance

Datensicherheit und Compliance beschäftigen Fachabteilungen und Geschäftsentscheider seit vielen Jahren, und dennoch gibt es diesbezüglich noch einiges zu tun. Der Deloitte Cyber Security Report 2019 kommt zu dem Schluss, dass die Bedrohungslage und der Handlungsdruck in den vergangenen Jahren immens gewachsen seien – trotz großer Verbesserungen im Bereich der IT- und Datenabsicherung. Diese Entwicklung hat auch Einfluss auf die Rolle des Chief Data Officer (CDO). Er muss heute nicht nur operative Aufgaben erfüllen, sondern zugleich auch den schwierigen Spagat zwischen Compliance und der Erfüllung strategischer Unternehmensziele meistern. Er muss sowohl hinterfragen, welche Ziele die Person, die die Anfrage stellt, verfolgt: Wofür werden die angeforderten Informationen benötigt? Gleichzeitig müssen Datenan- und abfragen erleichtert und dabei die Integrität persönlicher Daten gewährleistet werden.

DSGVO und Erkenntnisgewinn

Mit dem Inkrafttreten der Datenschutzgrundverordnung (DSVGO) ist der Schwierigkeitsgrad dieses Spagats noch einmal deutlich gestiegen, kann aber mit den richtigen Maßnahmen dennoch gelingen. Denn auch wenn nationale Gesetze beispielsweise vorsehen, dass bestimmte Arten von Informationen nicht ohne die ausdrückliche Zustimmung des Einzelnen verwendet werden dürfen, kann man alternativ oft auf andere Informationen zurückgreifen, die nicht unter diesem juristischen Vorbehalt stehen.

Ein Beispiel: Im Gesundheitswesen ist es beispielsweise nicht ungewöhnlich, dass Mitarbeiter nach Berichten oder Aufzeichnungen fragen, die das Geburtsdatum eines Patienten enthalten, um sie dann für ein bestimmtes Projekt zu nutzen. In einem Fall wie diesem stellt der CDO typischerweise die Frage: „Warum benötigen Sie diese Information?“. Die Antwort wird wahrscheinlich lauten: „Ich muss das Alter wissen.“ Das genaue Geburtsdatum ist also gar nicht relevant, denn es dient lediglich dazu, das Alter zu berechnen. Die Altersangabe ist aber deutlich unkritischer und weniger sensibel als das persönliche Geburtsdatum eines Patienten. Kennt ein CDO das Vorhaben, kann er regelkonform agieren und einen korrekten Weg finden, ohne dabei sensible Daten preiszugeben oder möglicherweise gegen rechtliche Vorgaben zu verstoßen.

Ein weiteres gutes Beispiel sind private Adressen. Stellen Sie sich vor, dass ein Mitarbeiter Ihres Unternehmens nach den Namen und Adressen aller Kunden in einem Gebiet fragt, um herauszufinden, wie viele Personen in dieser Gegend ein bestimmtes Produkt kaufen. Wer die Beweggründe hinter einer Datenbitte kennt, findet sehr wahrscheinlich heraus: Es werden eigentlich gar keine personenbezogenen Daten benötigt, und es ist irrelevant, welche individuellen Kunden ein Produkt gekauft haben. Es geht nur darum, wie viele von ihnen sich für diese Ware entschieden haben.

Beweggründe und Ziele bei Datenabfragen in den Fokus rücken

Das bedeutet für das Aufgabenfeld der Chief Data Officers, dass sie Fragen nach Personendaten niemals automatisch blockieren sollten, auch wenn sie auf den ersten Blick nicht den Datenschutz-Vorgaben entsprechen. Es geht vielmehr darum, gemeinsam mit den Kollegen und Mitarbeitern im Unternehmen herauszufinden, was sie wirklich erreichen wollen. Hand in Hand lässt sich dann im Idealfall ein Weg finden, der die Compliance-Anforderungen besser erfüllt und dennoch die Informationen liefert, die benötigt werden.

Beratung und detaillierte Absprache spielen hierbei eine sehr wichtige Rolle, da sich viele Menschen innerhalb eines Unternehmens zunächst einmal auf die Daten konzentrieren, die sie augenscheinlich benötigen. Was ihr tatsächliches Ziel ist und was sie konkret erreichen wollen, tritt oftmals in den Hintergrund. Eine immer wichtigere Aufgabe der Chief Data Officer ist es daher, scheinbar gegensätzliche Bedürfnisse nach Compliance und Geschäftsnutzen in Einklang zu bringen – und letztlich dennoch zu einem zufriedenstellenden Ergebnis zu kommen.

CDO immer wichtiger für den Firmenerfolg

Natürlich wird es immer einige Ziele geben, die sich aus Compliance-Gründen nicht erfüllen lassen. Doch wenn Unternehmen moralisch richtig und gesetzeskonform handeln, wird es in den meisten Fällen immer einen Weg geben, wie sie mithilfe einer geeigneten Datenauswertung ihre Geschäftsziele erreichen können. Damit das gelingt, muss der CDO die Pläne und Ziele des Unternehmens genau kennen und verstehen, um dann eine Möglichkeit anzubieten, diese konform umzusetzen. Ein derartiges Vorgehen unterstützt nicht nur das jeweilige Unternehmen und seine Kunden, sondern auch die immer wichtiger werdende Rolle des Chief Data Officer im Firmengefüge.