Datenschutzstudie der UIMCert belegt: Audits haben zu geringe Bedeutung.

Datenschutzstudie der UIMCert belegt: Audits haben zu geringe Bedeutung

Als Ergebnis des Datenschutzgipfels beim Bundesinnenministerium stellt Weichert vom Unabhängigen Landeszentrum für Datenschutz Schleswig-Holstein (ULD) in der cz vom 15.September 2008 fest, dass die Weichen für ein Auditgesetz und ein entsprechendes Siegel endlich gestellt sind. Nach einer Studie der UIMCert in Kooperation mit dem Lehrstuhl für Wirtschaftsinformatik und Softwaretechnik der Universität Duisburg-Essen haben Unternehmen und Behörden bisher die Möglichkeit, Datenschutzaudits zur Absicherung der Ordnungsmäßigkeit ihres Datenschutzsystems zu nutzen, sträflich vernachlässigt, was nicht nur die Schuld der Politik ist, die bisher kein Auditgesetz auf die Beine gebracht hat.

Es ist vielmehr so, dass ein Auditgesetz nur die formalen Vorschriften für die Auditierung und einer hierauf gegebenenfalls erfolgenden Siegelung/Zertifizierung regeln würde. Faktisch aber müsste jeder Datenschutzbeauftragte in periodischen Abständen das Datenschutzmanagement und die Umsetzung des Datenschutzes in seinem Unternehmen auf Ordnungsmäßigkeit prüfen, also auditieren. So verstanden gehört die Datenschutzauditierung – ohne die formalen Aspekte der Konsequenzen aus einem bestandene „offiziellen Audit‘ mit zu betrachten – zu den Pflichten des Datenschutzbeauftragten, die Compliance der Umsetzung der Datenschutzgesetze im Unternehmen zu beurteilen. Die Ergebnisse der Studie halten somit fest, in welchem Umfang Datenschutzbeauftragte gem. ihrer Verpflichtung die Ordnungsmäßigkeit prüfen und bewerten.

Die Studie sagt hierzu:
Die Durchführung von Datenschutzaudits im Unternehmen fördert durch eine wiederkehrende datenschutzrechtliche Kontrolle der Abläufe und Prozesse im Unternehmen die kontinuierliche Verbesserung und Weiterentwicklung – also die Ordnungsmäßigkeit. Lediglich 51,4% der Untersuchungsteilnehmer nutzen diese freiwillige Möglichkeit der Datenschutzkontrolle, obwohl dem Datenschutzaudit von 57,1% eine hohe Priorität beigemessen wird.

Die Priorität für die Durchführung eines Datenschutzaudits findet sich auch in der Verteilung des Zeitaufwands wieder. So wenden 43,9% der Untersuchungsteilnehmer mehr als fünf Stunden pro Monat für die Auditierung auf. Eine branchenspezifische Betrachtung der Unternehmen, die ein Datenschutzaudit durchführen, zeigt große Unterschiede. Sowohl der Handel (66,7%) als auch die Dienstleistungsunternehmen (60,3%) liegen über dem Durchschnitt. Dahingegen liegen die Behörden (27,3%) und das Finanzwesen (31,2%) deutlicher unter dem Durchschnitt als das produzierende Gewerbe mit 42,4%.

Eine unternehmensgrößenspezifische Betrachtung zeigt, dass die Anzahl der Datenschutzaudits mit zunehmender Unternehmensgröße ansteigt. Eine Ausnahme bilden dem Studienergebnis zufolge die kleinen und mittelständischen Unternehmen (50%), die den zweithöchsten Wert der Untersuchung nach den Unternehmen mit mehr als 5.000 Mitarbeitern (75%) vorweisen können. Hierzu könnte allerdings kritische angemerkt werden, dass kleine und mittlere Unternehmen den Auditbegriff möglicherweise anders ausgelegt haben als Großunternehmen.

Weitere Informationen zur Studie unter www.uimcert.de340599