Fünf Dienstleister, ein Problem: Fragmentierte Compliance

• Keine zentrale Übersicht. Datenschutz-Dokumentation liegt in einem Tool, das ISMS-Verzeichnis in einem anderen, Meldewege für Hinweisgeber in einem dritten. Wer sich einen Gesamtstatus verschaffen will, muss sich durch mehrere Systeme klicken und die Ergebnisse manuell zusammenführen.
• Doppelte Pflege derselben Information. Ein Mitarbeiterwechsel, eine neue Verarbeitungstätigkeit, ein neuer Lieferant – solche Änderungen betreffen häufig mehrere Compliance-Bereiche gleichzeitig, werden aber in jedem Tool separat erfasst. Das kostet Zeit und produziert über kurz oder lang Widersprüche zwischen den Systemen.
• Unklare Verantwortlichkeit im Ernstfall. Bei einer Datenschutzpanne, einem Audit-Finding oder einem Hinweis über die Meldestelle zeigt sich schnell, ob die Prozesse tatsächlich ineinandergreifen. Wenn vier Anbieter beteiligt sind, die sich untereinander nicht kennen, fehlt im entscheidenden Moment oft die Person, die den Überblick über den gesamten Fall hat.
• Wachsender Verwaltungsaufwand statt Entlastung. Compliance sollte mit steigender Reife eines Unternehmens effizienter werden. In der Praxis wächst mit jeder neuen Anforderung – NIS-2, KI-VO, verschärfte Meldepflichten – häufig ein weiteres Einzeltool hinzu, statt dass bestehende Strukturen mitwachsen.

Wie sich das in der Praxis konkret zeigt

Die vier genannten Effekte sind kein abstraktes Organisationsproblem, sie zeigen sich an sehr konkreten Stellen im Tagesgeschäft:

• Datenschutz. Ein neuer Lieferant wird angebunden. Die Verarbeitungstätigkeit muss ins Verzeichnis (VVT) aufgenommen, ein Auftragsverarbeitungsvertrag geprüft werden – Standardvorgang für den externen Datenschutzbeauftragten. Pflegt der ISMS-Berater zeitgleich das Asset-Verzeichnis für dieselbe Systemlandschaft, taucht der neue Lieferant dort häufig erst Wochen später auf, weil niemand die beiden Verzeichnisse aktiv miteinander abgleicht.
• Informationssicherheit (ISO 27001, TISAX, NIS-2). Im Rahmen der Zertifizierungsvorbereitung wird ein Risiko identifiziert, das eigentlich eine datenschutzrechtliche Bewertung nach Art. 35 DSGVO nach sich ziehen müsste. Sind ISMS-Berater und Datenschutzbeauftragter unterschiedliche, voneinander unabhängige Anbieter, bleibt dieser Zusammenhang im Zweifel unentdeckt – bis zum nächsten Audit ihn aufdeckt.
• Hinweisgeberschutz. Über die Meldestelle geht ein Hinweis ein, der auf eine mögliche Datenschutzverletzung hindeutet. Der Betreiber der Meldestelle kennt die internen Datenschutzprozesse nicht, der Datenschutzbeauftragte erfährt vom Fall erst mit Verzögerung. Bei einer meldepflichtigen Verletzung nach Art. 33 DSGVO zählt aber jede Stunde innerhalb der 72-Stunden-Frist.
• KI-Compliance. Ein Fachbereich führt ein KI-gestütztes Tool ein, etwa zur automatisierten Vorauswahl von Bewerbungen. Das Vorhaben berührt gleichzeitig die Risikoklassifizierung nach der KI-Verordnung, eine mögliche Datenschutz-Folgenabschätzung und das ISMS-Risikoregister. Ohne zentrale Abstimmung wird ein solches Vorhaben oft nur in einem der drei Bereiche dokumentiert – die anderen erfahren erst im Nachhinein davon, wenn überhaupt.

Jedes dieser Beispiele für sich ist beherrschbar. Problematisch wird es, wenn mehrere dieser Fälle gleichzeitig laufen und die vier Bereiche organisatorisch getrennt bleiben, statt sich gegenseitig zu informieren.

Warum das kein Randproblem ist

Der Reflex, für jede neue regulatorische Pflicht einen spezialisierten Compliance-Dienstleister zu suchen, ist naheliegend. Jedes einzelne Tool löst sein Thema oft gut. Das Problem entsteht durch die Summe: Je mehr Bereiche ein Unternehmen abdecken muss, desto teurer wird die Fragmentierung – nicht durch die Lizenzkosten selbst, sondern durch die Stunden, die interne Verantwortliche mit dem Zusammenführen, Abgleichen und Nachpflegen verschiedener Systeme verbringen. Diese Zeit taucht in keiner Tool-Rechnung auf, sie fehlt aber trotzdem.

Hinzu kommt ein strukturelles Risiko: Verantwortlichkeiten, die über mehrere externe Compliance-Dienstleister verteilt sind, lassen sich schwerer nachweisen. Bei einer Prüfung durch die Aufsichtsbehörde zählt nicht, dass irgendwo ein Prozess dokumentiert ist, sondern dass er nachvollziehbar, aktuell und konsistent ist. Genau das wird schwieriger, je mehr Systeme parallel laufen.