Über uns – und warum es „Mach’s wie Henry!“ gibt

Datenschutz muss nicht nur richtig sein. Er muss in der Praxis funktionieren.

Als ich 2019 mit dem Datenschutz angefangen habe, war ich hochmotiviert. Ich hatte einen klassischen Datenschutzlehrgang beim TÜV absolviert und wollte das Gelernte nun als interne Datenschutzbeauftragte umsetzen. Im Lehrgang hatte ich alles behandelt, was eben zum Datenschutz gehört: Rechtsgrundlagen, Auftragsverarbeitung, Informationspflichten, technische und organisatorische Maßnahmen, das Verzeichnis von Verarbeitungstätigkeiten und vieles mehr. Also machte ich mich an die Arbeit.

Ich erstellte Datenschutzinformationen, prüfte Auftragsverarbeiter, dokumentierte technische und organisatorische Maßnahmen, schrieb Richtlinien und baute ein Datenschutzhandbuch auf. Ein Thema nach dem anderen. Und obwohl ich dabei immer mehr über Datenschutz lernte, fehlte mir lange das Entscheidende: der Zusammenhang zwischen all diesen einzelnen Anforderungen.

Das hat mich tatsächlich ziemlich beschäftigt. Durch mein berufsbegleitendes Bachelor-of-Laws-Studium an der FernUniversität war ich es gewohnt, mir auch komplexe Rechtsgebiete selbst zu erschließen. Bei der DSGVO funktionierte das trotzdem nicht so, wie ich es kannte. Die Vorgaben konnte ich nachvollziehen. Was mir fehlte, war die Antwort auf eine ganz andere Frage: Wie setze ich das jetzt konkret im Unternehmen um?

Und genau auf diese Frage fand ich erstaunlich selten eine wirklich befriedigende Antwort.

Der Moment, in dem plötzlich alles zusammenpasste

In dem Unternehmen, in dem ich arbeitete, gab es bereits ein Verzeichnis von Verarbeitungstätigkeiten. Deshalb hatte ich dieses Thema zunächst relativ schnell abgehakt und mich um die vielen anderen Datenschutzbaustellen gekümmert. Erst später begann ich, das vorhandene Verzeichnis gründlich zu überarbeiten und eine Verarbeitungstätigkeit nach der anderen neu zu erstellen.

Dabei fiel irgendwann der Groschen: Die einzelne Verarbeitungstätigkeit ist der Ausgangspunkt!

Nicht die Informationspflichten, nicht die Auftragsverarbeiter, nicht die technischen und organisatorischen Maßnahmen und auch nicht irgendeine allgemeine Datenschutzrichtlinie. Am Anfang steht vielmehr die ganz konkrete Frage: Was machen wir in unserem Unternehmen eigentlich mit personenbezogenen Daten?

Wir stellen einen Mitarbeiter ein, bearbeiten eine Kundenbestellung, versenden einen Newsletter, führen eine Videokonferenz durch, rechnen Leistungen ab oder beschaffen Visitenkarten. Sobald man einen solchen Verarbeitungsvorgang systematisch betrachtet, ergeben sich die nächsten Fragen fast von selbst:

• Warum verarbeiten wir die Daten?
• Welche Daten brauchen wir dafür?
• Von wem stammen sie?
• Auf welcher Rechtsgrundlage dürfen wir sie verarbeiten?
• Wer erhält sie?
• Ist darunter ein Auftragsverarbeiter?
• Wie lange benötigen wir die Daten?
• Welche Risiken entstehen dabei und welche technischen und organisatorischen Maßnahmen brauchen wir deshalb?

Plötzlich waren all die Themen, die ich vorher einzeln bearbeitet hatte, keine voneinander getrennten Datenschutzbaustellen mehr. Sie gehörten zusammen.

Das war die Geburtsstunde meiner Herangehensweise

Seitdem denke ich Datenschutz von der Verarbeitungstätigkeit aus. Denn wenn man einen betrieblichen Vorgang Schritt für Schritt durchgeht, beschäftigt man sich genau dort mit den Datenschutzfragen, wo sie tatsächlich entstehen. Datenschutz wird dadurch nicht abstrakt neben dem Unternehmen umgesetzt, sondern direkt in den betrieblichen Abläufen.

Das hat einen entscheidenden Vorteil: Zusammenhänge werden schneller sichtbar, unnötige Doppelarbeit lässt sich vermeiden und Entscheidungen können wesentlich besser nachvollzogen und dokumentiert werden. Gleichzeitig bekommt auch das Verzeichnis von Verarbeitungstätigkeiten eine ganz andere Bedeutung. Es ist nicht mehr dieses lästige Dokument, das man irgendwann einmal für die DSGVO erstellen muss, sondern wird zur Grundlage der gesamten Datenschutzorganisation. Deshalb bezeichne ich es auch als das Herz des Datenschutzes.

Diese Herangehensweise hatte ich in all meinen Recherchen so nicht gefunden. Ich hatte Fachartikel gelesen, juristische Kommentare durchgearbeitet, Orientierungshilfen der Aufsichtsbehörden studiert und mich durch unzählige Informationen gearbeitet. Das meiste davon erklärte sehr gut, was die DSGVO verlangt. Aber viel zu selten wurde der letzte Schritt gegangen: Wie mache ich das denn nun konkret?

Und genau diesen letzten Schritt wollte ich gehen.

Und dann kam Henry!

Aus meiner eigenen Erfahrung entstand irgendwann Henry. Henry ist Unternehmer und hat seinen Datenschutz bereits umgesetzt – allerdings nicht besonders effizient. Er hat sich durch Vorschriften gearbeitet, Dinge doppelt gemacht, Zusammenhänge zu spät erkannt und dabei jede Menge Zeit verloren. Kurz gesagt: Henry hat viele der Fehler gemacht, die auch ich am Anfang gemacht habe.

Heute weiß er, wie es besser geht. Und deshalb möchte er Geschäftsführer, Unternehmer und Mitarbeiter, die in ihrem Unternehmen für den Datenschutz zuständig sind, davor bewahren, dieselben zeitraubenden Umwege zu gehen. Henry steht damit genau für das, was auch meine Arbeitsweise ausmacht: nicht nur erklären, was die DSGVO verlangt, sondern zeigen, wie man sie praktisch umsetzen kann.

Mein Praxisratgeber war das erste Produkt, in dem ich diesen Ansatz konsequent umgesetzt habe. Er war von Anfang an als Hilfe zur Selbsthilfe gedacht. Anhand einer Verarbeitungstätigkeit führt Henry Schritt für Schritt durch die Anforderungen der DSGVO. Konkrete Praxisbeispiele zeigen zunächst, wie sich eine Vorgabe im Unternehmensalltag umsetzen lässt. Unter der Überschrift „Machen Sie’s wie Henry!“ folgt anschließend das notwendige Hintergrundwissen.

So entstand auch der Satz, der heute längst nicht mehr nur für meinen Praxisratgeber, sondern für meine gesamte Arbeitsweise steht:

DSGVO einfach umsetzen? Mach’s wie Henry!

Henry ist deshalb für mich viel mehr als eine Figur in einem Buch oder in meinem Logo. Er steht für eine bestimmte Art, Datenschutz zu denken und umzusetzen: verständlich, systematisch und vor allem so, dass er im Unternehmensalltag funktioniert.

Von der Hilfe zur Selbsthilfe bis zur Arbeitshilfe

Nicht jeder möchte sich gleich intensiv mit Datenschutz beschäftigen. Der eine möchte verstehen, wie die DSGVO funktioniert, und sie anschließend selbst umsetzen. Der andere braucht eine gute Arbeitshilfe für eine bestimmte Aufgabe. Und manchmal soll eine Arbeitshilfe einfach möglichst weit vorbereitet sein, damit nicht bei null angefangen werden muss.

Deshalb gibt es bei „Mach’s wie Henry!“ unterschiedliche Wege zum Ziel. Mein Praxisratgeber vermittelt Zusammenhänge und hilft dabei, Datenschutz selbstständig umzusetzen. Arbeitshilfen unterstützen bei konkreten Aufgaben. Vorlagen und weitgehend vorbereitete Arbeitshilfen nehmen Ihnen dagegen einen möglichst großen Teil der Vorarbeit ab.

Was alle Produkte verbindet, ist dieselbe Herangehensweise. Ich möchte Ihnen nicht irgendein Dokument zur Verfügung stellen, bei dem Sie anschließend wieder selbst herausfinden müssen, was damit eigentlich anzufangen ist. Und ich möchte erst recht keine 08/15-Vorlagen erstellen, die zwar auf den ersten Blick vollständig aussehen, mit dem typischen Unternehmensalltag aber wenig zu tun haben.

Wenn ich eine Vorlage oder Arbeitshilfe entwickle, frage ich mich deshalb nicht nur, was hineingehört. Ich überlege vor allem, wie das Dokument später tatsächlich benutzt wird. Wer arbeitet damit? Welche Informationen braucht diese Person? Welche typischen Situationen treten im Unternehmensalltag auf? Wo können Missverständnisse oder Fehler entstehen? Was kann ich bereits vorbereiten, damit der Nutzer möglichst wenig selbst zusammensuchen, ergänzen oder neu erfinden muss?

Deshalb steckt in meinen Produkten häufig sehr viel mehr Überlegung, als man ihnen auf den ersten Blick ansieht. Sie sollen fachlich fundiert sein – aber vor allem im Unternehmensalltag funktionieren und Ihnen möglichst viel Arbeit abnehmen. Praxisnähe ist für mich kein Zusatz – sie ist der Ausgangspunkt jedes Produkts.

Für Menschen, die Datenschutz neben ihrem eigentlichen Job machen müssen

Meine Produkte richten sich vor allem an kleine und mittlere Unternehmen in Deutschland – an Geschäftsführer und Inhaber ebenso wie an Mitarbeiter aus Verwaltung, Personal, IT oder anderen Bereichen, bei denen irgendwann jemand gesagt hat: „Du kümmerst dich jetzt auch um den Datenschutz.“

Diese Menschen sind in aller Regel keine hauptberuflichen Datenschützer. Und sie sollen es auch nicht werden müssen. Sie brauchen keine seitenlange Abhandlung darüber, welche wissenschaftlichen Auffassungen zu einer datenschutzrechtlichen Streitfrage vertreten werden. Sie müssen wissen, was eine Vorgabe für ihr Unternehmen bedeutet und was konkret zu tun ist.

Deshalb gibt es bei mir so wenig Juristendeutsch wie möglich. Natürlich müssen Informationen und Arbeitshilfen zum Datenschutz fachlich fundiert sein. Aber Fachlichkeit und Verständlichkeit schließen sich nicht aus. Ganz im Gegenteil: Ich bin überzeugt davon, dass man auch komplexe datenschutzrechtliche Zusammenhänge so erklären kann, dass sie verständlich bleiben und sich in die Praxis übertragen lassen.

Ich halte die DSGVO übrigens nicht für einen Verhinderer

Wenn über Datenschutz gesprochen wird, hört man häufig Sätze wie: „Das geht wegen der DSGVO nicht“ oder „Das dürfen wir aus Datenschutzgründen nicht“. Ich sehe das wesentlich pragmatischer.

Die DSGVO gibt Unternehmen an vielen Stellen bewusst keine bis ins letzte Detail vorgefertigte Anweisung vor. Sie setzt einen Rahmen und verlangt, dass Entscheidungen begründet, Risiken berücksichtigt und die Rechte betroffener Personen gewahrt werden. Das bedeutet natürlich Arbeit – aber es bedeutet eben auch Gestaltungsspielraum.

Und genau darin liegt für mich eine große Chance. Wer die Systematik verstanden hat, kann häufig sehr viel mehr umsetzen, als zunächst angenommen wird. Nicht, indem man die DSGVO ignoriert oder sich die Dinge passend macht, sondern indem man sauber prüft, argumentiert und dokumentiert.

Die DSGVO ist für mich deshalb grundsätzlich kein Verhinderer. Wenn etwas angeblich „wegen des Datenschutzes“ nicht möglich sein soll, lohnt es sich oft, genauer hinzusehen. Nicht selten liegt das Problem weniger bei der DSGVO selbst als bei der Art, wie sie angewendet wird.

Datenschutz, der im Unternehmen ankommt

Am Ende möchte ich mit „Mach’s wie Henry!“ vor allem eines erreichen: dass Datenschutz seinen Schrecken verliert. Dass ein Geschäftsführer nicht vor einem Stapel Vorlagen sitzt und sich fragt, wo er anfangen soll. Dass ein Mitarbeiter nicht zehn verschiedene Fachartikel lesen muss, um herauszufinden, wie er eine einzige Anforderung praktisch umsetzt. Und dass diejenigen, die sich intensiver mit dem Datenschutz beschäftigen möchten, irgendwann denselben Moment erleben, den ich selbst hatte: „Ach so. Jetzt verstehe ich, wie das alles zusammenhängt.“

Gleichzeitig weiß ich aber auch, dass nicht jeder Datenschutz bis ins letzte Detail verstehen möchte. Manchmal soll eine Aufgabe einfach vernünftig, effizient und ohne unnötigen Zeitaufwand erledigt werden. Auch dafür sind meine Produkte da.

Ob Sie mit meinem Praxisratgeber selbst tiefer einsteigen oder eine Arbeitshilfe für eine konkrete Aufgabe nutzen möchten: Mein Anspruch bleibt immer derselbe. Ich möchte Datenschutz so aufbereiten, dass er fachlich durchdacht ist, sich an den typischen Abläufen eines Unternehmens orientiert und Sie bei der Umsetzung bestmöglich unterstützt.

Ihre Daniela Frank & Henry!