Warum „Wir haben einen Datenschutzbeauftragten“ keine Antwort mehr ist – und wie strukturiertes Compliance Monitoring und Compliance Reporting belastbare Steuerungsinformation schafft.
Fragt die Geschäftsführung nach dem aktuellen Stand der Datenschutz-Compliance, folgt in vielen Unternehmen dieselbe Antwort: Es gebe einen Datenschutzbeauftragten, die wichtigsten Prozesse seien dokumentiert, größere Vorfälle habe es nicht gegeben. Das klingt beruhigend – ist aber keine Auskunft über den tatsächlichen Zustand des Managementsystems, sondern eine Beschreibung seiner Existenz.
Genau diese Lücke zwischen Existenz und Wirksamkeit adressiert der Gesetzgeber ausdrücklich. Art. 24 DSGVO verlangt, dass der Verantwortliche geeignete Maßnahmen trifft und überprüft, ob sie wirksam sind – nicht nur, ob sie eingeführt wurden. Art. 32 Abs. 1 lit. d DSGVO fordert ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit technischer und organisatorischer Maßnahmen. Wer diese Anforderung ernst nimmt, kommt an einer Frage nicht vorbei: Womit genau wird „wirksam“ gemessen?
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenRechtliche Pflichten sind binär formuliert – eine Verarbeitungstätigkeit ist dokumentiert oder nicht, ein Auftragsverarbeitungsvertrag liegt vor oder nicht. Diese Ja/Nein-Logik zeigt aber keine Entwicklung. Sie sagt nichts darüber, ob sich der Zustand seit dem letzten Quartal verbessert oder verschlechtert hat, und sie warnt nicht, bevor eine Frist reißt.
Drei Konsequenzen ergeben sich aus dem Fehlen von Kennzahlen:
Nicht jede Kennzahl erfüllt denselben Zweck. Es lohnt sich, drei Ebenen zu unterscheiden:
Rechtliche Pflichtkennzahlen lassen sich unmittelbar aus BDSG ableiten – etwa die Einhaltung der Monatsfrist bei Betroffenenanfragen oder der 72-Stunden-Meldefrist bei Datenschutzverletzungen. Sie sind nicht verhandelbar.
Steuerungskennzahlen sind Frühindikatoren für Risiko. Die Zahl offener Maßnahmen aus dem letzten Audit oder der Anteil noch nicht abgeschlossener AV-Verträge gehört hierher: Beide Werte sagen nichts über einen konkreten Rechtsverstoß, zeigen aber, wo sich einer anbahnt.
Reifegradkennzahlen operieren auf Ebene des Managementsystems selbst. Wer nach ISO 27001 arbeitet, kennt die Anforderung aus Kapitel 9.1: Überwachung, Messung, Analyse und Bewertung sind explizit gefordert, unabhängig davon, ob ein Einzelfall gerade auffällig ist.
Jede dieser Kennzahlen lässt sich mit vertretbarem Aufwand aus den ohnehin geführten operativen Daten ableiten. Keine davon erfordert ein separates Erhebungssystem – sie fallen als Nebenprodukt sauberer Prozessarbeit an.
Kennzahl | Berechnung | Normbezug |
|---|---|---|
Sensibilisierungsquote | Anteil Mitarbeitender mit abgeschlossener Schulung im laufenden Zyklus | Art. 32 Abs. 4 DSGVO |
AVV-Abdeckungsgrad | Anteil Dienstleister mit gültigem, aktuellem Vertrag | Art. 28 DSGVO |
VVT-Vollständigkeitsgrad | Anteil vollständig dokumentierter Verarbeitungstätigkeiten | Art. 30 DSGVO |
Bearbeitungsdauer Betroffenenanfragen | Durchschnittliche Zeit bis zur Antwort, gegen die gesetzliche Frist gemessen | Art. 12 Abs. 3 DSGVO |
Meldequote Datenpannen binnen 72h | Anteil fristgerecht gemeldeter Vorfälle | Art. 33 DSGVO |
Überfälligkeitsquote offener Maßnahmen | Anteil Audit- und TOM-Maßnahmen, die ihr Zieldatum überschritten haben | ISO 27001 Kap. 9.1 |
Umsetzungsgrad Löschkonzept | Anteil der Datenkategorien mit definierter und angewandter Löschregel | Art. 17 DSGVO |
Eine Kennzahl allein reicht nicht; sie braucht einen Referenzwert. Sinnvoller als eine binäre Bewertung – Ziel erreicht oder verfehlt – ist ein dreistufiger Korridor: ein Bereich, in dem das Ziel erreicht ist, ein Warnbereich kurz davor, und ein Bereich, in dem das Ziel verfehlt wird.
Der Warnbereich ist der eigentlich wertvolle Teil dieser Logik. Eine AVV-Abdeckung von 96 Prozent ist noch kein Rechtsverstoß, aber auch kein Zustand, den man ignorieren sollte, wenn der Zielwert bei 100 Prozent liegt. Wird dieser Zwischenbereich sichtbar gemacht, entsteht ein Anlass zum Handeln, bevor aus einer Lücke ein dokumentierter Verstoß wird. Eine reine Ja/Nein-Bewertung liefert diesen Vorlauf nicht – sie meldet das Problem erst, wenn es bereits eingetreten ist.
Diese Kennzahlen entstehen nicht durch eine zusätzliche Erhebung, sondern als Nebenprodukt der Arbeit, die ohnehin in den operativen Modulen stattfindet: einem gepflegten Verzeichnis von Verarbeitungstätigkeiten, dokumentierten Schulungsabschlüssen, einem geführten Register der Auftragsverarbeitungsverträge.
Wo diese Daten in einem System zusammenlaufen, lassen sich die Kennzahlen für ein kontinuierliches Compliance Monitoring automatisiert aggregieren, statt sie quartalsweise manuell aus Tabellen zusammenzutragen.
Messbarkeit ersetzt nicht die inhaltliche Arbeit an Datenschutz und Informationssicherheit – aber sie macht diese Arbeit sichtbar, steuerbar und im Zweifel nachweisbar. Wer heute noch mit Prosa auf die Frage nach dem Compliance-Stand antwortet, sollte sich fragen, welche der sieben Kennzahlen oben er aus dem Stand beziffern könnte. Für alle anderen lohnt sich ein kurzes Gespräch darüber, wie sich die eigene Datenlage in ein belastbares Kennzahlensystem und damit in nachweisfähiges Compliance Reporting überführen lässt.
Ihre All-in-One-Lösung für integriertes Compliance-Management – DSMS, ISMS, Hinweisgeberschutz und KI-Compliance zentral in einer Plattform.
Die Compliance-Suite von Cortina Consult automatisiert DSMS, ISMS, HinSchG und KIVO – sparen Sie 40% Zeit und vereinfachen Sie Ihr gesamtes Compliance-Management. Ein externer Datenschutzbeauftragter unterstützt bei komplexen Fragen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen