Datenschutz verursacht Kosten – Wie die IT-, Marketing-, Vertriebs- und jede andere Abteilung auch. Das Budget des Datenschutzes ist, wie die Praxis zeigt, oft gering und entstehende Kosten werden nicht wie z. B. eine Maschine als Investition gesehen. Dabei ist der Datenschutz viel mehr als nur ein Kostenfaktor.
Datenschutz: Warum überhaupt?
Kurz gesagt: Es führt kein Weg vorbei.
Aber nun die Langfassung: Der Datenschutz dient dem Schutz des wertvollsten Guts, welches ein Unternehmen besitzen kann: Die personenbezogenen Daten von Kunden, Mitarbeitern, Lieferanten etc. Diese Daten wurden dem Unternehmen anvertraut und es wird erwartet, dass diese daher auch sicher verarbeitet werden. Ist dies nicht der Fall, kann dies zu weitreichenden Konsequenzen für das Unternehmen und die betroffenen Personen führen.
Um einen allgemeingültigen Mindeststandard zu definieren, wurde für den Schutz von personenbezogenen Daten der natürlichen Personen die Datenschutz-Grundverordnung (DSGVO) eingeführt, welche EU-weit gilt und durch nationale Gesetze erweitert und verschärft wird. Diese Gesetze gelten für jedes Unternehmen oder ähnliche Einrichtungen, unabhängig von deren Größe und deren Tätigkeit. Daher folgt, dass der Datenschutz aus zwei Gründen Pflicht ist: Auf der einen Seite auf Basis der geltenden Gesetze und auf der anderen Seite auf Basis der Verantwortung, welche die Unternehmen tragen, da ihnen diese Daten anvertraut wurden – man könnte dies als eine moralische Verpflichtung ansehen. Daher folgt die Kurzfassung: Es führt ein Weg vorbei.
Datenschutz – Kosten statt Investition?
Dass es den Datenschutz nicht kostenlos gibt, sondern dieser auch Kosten verursacht, ist allgemein bekannt. Doch welche Kosten werden nun durch den Datenschutz verursacht? Neben offensichtlichen Kosten wie z. B. eine anwaltliche Prüfung von AV-Verträgen oder die Kosten für einen externen Datenschutzbeauftragten, gibt es noch mehrere Kosten, welche nicht so direkt sichtbar sind.
Doch was sind nun beispielsweise so “versteckte” Kosten? Datenschutz erfordert die Einbindung von Ressourcen und stellt erst einmal einen höheren Aufwand dar. Betrachtet man dies an einem Beispiel, ist zu erkennen, welche indirekten Kosten durch eine “einfache” Datenschutzanforderung entstehen können. In folgenden Fall wird davon ausgegangen, dass ein neuer Prozess implementiert wird, welcher Datenschutz-Folgeabschätzungspflichtig ist.
In diesem Beispiel sind nicht nur Ressourcen des DSB gebunden (externer DSB: Beratungskosten, interner DSB: Anteilig Gehaltskosten, da keine andere Tätigkeit möglich), sondern auch die entsprechenden Ansprechpartner aus den Bereichen. Diese müssen die übliche Arbeit unterbrechen und in Zusammenarbeit mit dem Datenschutz die notwendigen Dokumente erstellen. Dies kann bei einer Verarbeitung mit DSFA inkl. der weiteren Dokumentation sehr schnell den Umfang von mehreren Stunden pro Person annehmen, welche damit nicht produktiv arbeiten können.
Dadurch entstehen indirekte Kosten, denn die Kosten entstehen dadurch, dass die Mitarbeiter nicht die übliche Arbeit ausüben können. Diese entstehen bei nahezu jeder datenschutzrechtlichen Thematik, da die Einbindung von Fachabteilungen notwendig wird. Diese Kosten werden oft in den Kalkulationen zum Datenschutz vergessen und es wird sich nur auf die “echten” Kosten gestützt: Lizenzen, Beratungskosten, Weiterbildungen etc.
Datenschutz – Investition statt Kosten?
Nun stellt sich jedoch die Frage, ob der Datenschutz mehr ein Kostenfaktor ist anstatt einer Investition. Um diese Frage zu beantworten, werden zwei Blickwinkel betrachtet: “Was passiert, wenn wir keinen Datenschutz umsetzen?” und “Welche Vorteile haben wir durch den Datenschutz?”.
Verhängbare Sanktionen bei Datenschutzverstößen sind für Unternehmen sehr schmerzhaft. Bei Verstößen können die Aufsichtsbehörden Bußgelder in Höhe von bis zu 10 000 000 Euro bzw. zwei Prozent vom weltweit erzielten Jahresumsatz des Vorjahres verhängen, wobei der höhere Betrag angesetzt wird. Bei schweren Verstößen sogar 20 000 000 Euro bzw. vier Prozent. vgl. Art. 83 DSGVO
Alleine unter Berücksichtigung von diesen Sanktionen ist die Investition in den Datenschutz strikt zu empfehlen. Es gibt jedoch auch weitere Punkte, welche dafür sprechen. Die Einführung eines Datenschutz-Managementsystems hilft dem Unternehmen dabei, einen Überblick über sämtliche Datenflüsse, Datenbestände, Prozesse usw. zu erhalten. Ebenso wird der Entstehung von Schatten-Prozessen und -IT vorgebeugt. Dadurch hat das Management die Möglichkeit, stets einen aktuellen Überblick über die Unternehmung zu haben und bei Bedarf Maßnahmen zur Optimierung zu ergreifen. Man sollte auch beachten, dass man in das DSMS weitere Managementsysteme integrieren kann. Denkbar ist dabei z. B. das ISMS. Durch die zentrale Rolle des Datenschutzes kann die Erstellung weiterer Managementsysteme auf den dort gesammelten Informationen basieren.
Doch nun abschließend für diesen Abschnitt weitere Gedanken zum Thema Vorteile des Datenschutzes. Bei einem Datenschutzverstoß, besonders wenn dieser an die Betroffenen gemeldet werden muss, wird das Vertrauen in das Unternehmen oft nachhaltig geschädigt. Dieser finanzielle Schaden geht dann oft über die Sanktionen der Aufsichtsbehörde hinaus. Weiterhin ist ein vorbildlicher Umgang mit den anvertrauten personenbezogenen Daten ein Aushängeschild. Besonders, wenn dies gegenüber den Geschäftspartnern durch z. B. Audits nachgewiesen werden kann. So folgt: Ein schlechter Datenschutz führt zu einer schlechten PR, wobei ein guter und beweisbarer Datenschutz als positive PR genutzt werden kann. Daher ist der Datenschutz eher eine langfristige Investition in das Wohlergehen des Unternehmens, in das Vertrauen der Geschäftspartner und eine Versicherung gegen Sanktionen.
Fazit
Wie zu sehen ist, kostet Datenschutz Geld, jedoch ist dies bei jeder anderen Abteilung auch der Fall. Der Datenschutz leistet zwar keinen direkten Beitrag zum Unternehmensumsatz, jedoch bietet dieser viele Vorteile und schützt vor Schäden. Der Datenschutz ist daher aus unternehmerischer Sicht als eine Investition zu betrachten und nicht als ein reiner Kostenfaktor. Gerne unterstützen wir Sie dabei, ein zum Unternehmen passendes Datenschutzkonzept zu entwickeln und dies in der Praxis zu integrieren. Weitere Informationen erhalten Sie auf unserer Datenschutz-Seite: Datenschutz Beratung
Disclaimer: Allgemeine Beiträge können eine datenschutzrechtliche Beratung im Einzelfall nicht ersetzen. Für die Richtigkeit und Vollständigkeit unsere Blogbeiträge übernehmen wir keine Gewähr. Inhalte beziehen sich immer auf die Rechts- und Faktenlage zum Zeitpunkt der Veröffentlichung und sind deshalb zum Zeitpunkt des Aufrufs möglicherweise nicht mehr aktuell.
