Praxisbeispiele

Ausgangslage

Ein produzierendes Unternehmen mit mehreren Standorten hatte intern begonnen, ein ISMS aufzubauen. Nach zwei Jahren fehlte es an klaren Verantwortlichkeiten, die Dokumentation war lückenhaft und ein externer Zertifizierungsaudit stand bevor.

Herausforderung

Fehlende Risikobeurteilung, unvollständige Richtlinienlandschaft, keine nachweisfähige Behandlung identifizierter Risiken. Der interne Projektverantwortliche hatte wenig Erfahrung mit Auditanforderungen.

Vorgehen

Strukturierte Gap-Analyse   gegen ISO 27001:2022. Priorisierung der kritischen Lücken. Umsetzungsbegleitung über drei Monate, Entwicklung fehlender Dokumentation, Durchführung eines internen Pre-Audits sowie Schulung des Auditteams.

Ergebnis

Zertifizierungsaudit erfolgreich bestanden - sechs Monate nach Projektstart. Das interne Team ist jetzt in der Lage, das ISMS eigenständig weiterzuführen.

 Ausgangslage

Eine ambulante Gesundheitseinrichtung mit mehreren Niederlassungen hatte keinen Datenschutzbeauftragten. Nach einer Beschwerde bei der Aufsichtsbehörde wurde Handlungsbedarf erkannt - unter Zeitdruck. 

Herausforderung

Unmittelbarer Bedarf an einem benannten, fachkundigen Datenschutzbeauftragten. Gleichzeitig fehlten grundlegende Datenschutzdokumentationen, Verzeichnisse der Verarbeitungstätigkeiten und Mitarbeitersensibilisierung. 

Vorgehen

Übernahme der Funktion als externer Datenschutzbeauftragter. Aufbau des Verzeichnisses der Verarbeitungstätigkeiten, Überarbeitung der Datenschutzhinweise, Durchführung einer strukturierten Mitarbeiterschulung an allen Standorten sowie Einrichtung eines internen Meldeprozesses für Datenpannen. 

Ergebnis

Aufsichtsbehörde informiert, Beschwerde beigelegt. Vollständige Datenschutzdokumentation aufgebaut. Mitarbeitende an allen Standorten geschult. Externer DSB dauerhaft im Einsatz.

Ausgangslage

Ein auf Unternehmensfinanzierungen spezialisierter Finanzdienstleister wurde im Rahmen eines Kundenaudits mit Anforderungen konfrontiert, auf die er nicht vorbereitet war. Governance-Dokumentation und Nachweisfähigkeit fehlten.

Herausforderung

Keine kohärente GRC-Struktur. Richtlinien nicht aktuell, Verantwortlichkeiten unklar, Mitarbeitende ohne formale Compliance-Schulung. Kundenseitige Forderung nach nachweisbaren Massnahmen.

Vorgehen

Aufbau einer GRC-Rahmenstruktur mit klar definierten Rollen und Eskalationswegen. Entwicklung einer Richtlinienlandschaft, abgestimmt auf regulatorische   Anforderungen. Durchführung einer zweiteiligen Compliance-Schulung für Führungskräfte und Mitarbeitende. Aufbau eines einfachen internen Kontrollsystems.

Ergebnis

Kundenaudit bestanden. GRC-Rahmenstruktur dauerhaft etabliert. Führungsteam mit klarem Überblick über regulatorische Anforderungen und Verantwortlichkeiten.

Ausgangslage

Eine Kreisverwaltung hatte einen internen Datenschutzbeauftragten ernannt, der fachlich wenig erfahren war. Mitarbeitende in verschiedenen Ämtern hatten unterschiedliche - teils fehlerhafte - Vorstellungen vom korrekten Umgang mit personenbezogenen Daten.

Herausforderung

Heterogener Wissensstand bei ca. 280 Mitarbeitenden. Fehlende Schulungsstruktur. Interner DSB ohne ausreichende fachliche Unterstützung und ohne Ressourcen für eigenständige Schulungsentwicklung.

Vorgehen

Entwicklung eines auf die Verwaltungsrealität zugeschnittenen Schulungsprogramms mit drei Modulen: Grundlagen, vertiefende Anforderungen für datenschutzkritische Rollen, Führungskräftemodul. Begleitende fachliche Unterstützung des internen DSB. Aufbau einer Schulungsdokumentation.

Ergebnis

Alle 280 Mitarbeitenden geschult. Interner DSB fachlich gestärkt und mit Begleitmaterialien ausgestattet. Schulungsprogramm wird nun jährlich als Pflichtschulung   durchgeführt.

Ausgangslage

Ein mittelständisches Maschinenbauunternehmen plante den Einsatz eines KI-gestützten Qualitätskontrollsystems in der Produktion. Die Geschäftsleitung war unsicher, welche datenschutz- und compliance-rechtlichen Anforderungen zu beachten waren.

Herausforderung

Keine Erfahrung mit   KI-Governance-Anforderungen. Unklare Einordnung des geplanten Systems unter   den EU AI Act. Datenschutzrechtliche Fragen zu Mitarbeiterüberwachung und Datenverarbeitung ungeklärt.

Vorgehen

Regulatorische Einordnung des KI-Systems nach EU AI Act und DSGVO. Durchführung einer Datenschutz-Folgenabschätzung. Erarbeitung eines KI-Governance-Rahmens mit klaren Verantwortlichkeiten. Kurz-Schulung der Führungsebene zu KI-Risiken und -Verantwortlichkeiten.

Ergebnis

Klare regulatorische Einordnung. Datenschutzrechtliche Anforderungen erfüllt. Projektverantwortliche mit fundiertem Verständnis für Governance-Anforderungen. Systemeinführung auf solider Compliance-Basis.