Der Leitfaden für Digital-Projektmanager zum Datenschutz

Lesen Sie das Transkript:

Wir testen, unsere Podcasts mit einem Softwareprogramm zu transkribieren. Bitte entschuldigen Sie eventuelle Tippfehler, da der Bot nicht immer zu 100 % korrekt ist.

Galen Low: Hallo zusammen, danke fürs Einschalten. Mein Name ist Galen Low von The Digital Project Manager. Wir sind eine Community von Digital-Profis, die es sich zur Aufgabe gemacht haben, einander dabei zu helfen, Fähigkeiten zu erlernen, Selbstvertrauen zu gewinnen und sich zu vernetzen, damit wir den Mehrwert des Projektmanagements in der digitalen Welt steigern können. Wenn Sie mehr darüber erfahren möchten, gehen Sie auf thedigitalprojectmanager.com/membership.

Okay, heute sprechen wir über Datenschutz und darüber, wie wir als Digital-Projektmanager die jüngsten Veränderungen in Technologie und Gesetzgebung in unsere Projekte einbeziehen müssen, wenn es um Datenschutz geht. Mit mir dabei ist heute eine unserer eigenen Experten aus der DPM-Community und Delivery Principal bei Thoughtworks, Frau Mackenzie Dysart.

Mackenzie, danke, dass du heute dabei bist.

Mackenzie Dysart: Danke, dass ich dabei sein darf. Ich freue mich wirklich auf unser Gespräch heute.

Galen Low: Ich bin auch gespannt. Für unsere Zuhörer: Mackenzie und ich arbeiten seit Jahren zusammen und ich hatte diesen Moment, in dem ich dachte, ich hatte Mackenzie noch nie unter meiner Verantwortung im Podcast. Ich dachte, das ändern wir jetzt.

Und heute tun wir das. Und ich denke, für alle Hörer, die dich nicht kennen – wir haben gerade im „Green Room“ darüber gesprochen – du übernimmst immer Aufgaben, die wie ein Ball sind, den man einen Hügel hochrollt, also die wirklich schwierigen Herausforderungen. Du bist eine Verfechterin von Barrierefreiheit gewesen und jetzt bist du in diese Rolle als Verfechterin des Datenschutzes in digitalen Projekten hineingerutscht – sowohl dort, wo du arbeitest, als auch in unserer Community.

Deine Marke ist irgendwie: schwierige Herausforderungen, Menschen zu überzeugen und zu gewinnen.

Mackenzie Dysart: Schwierig, schwierig, zitronenschwierig. Das ist meine Herangehensweise.

Galen Low: Die am wenigsten sexy Teile des Projektmanagements, bitte verteidige diese Sache.

Mackenzie Dysart: Ich bin dafür da.

Galen Low: Ich liebe das.

Du hast mir erzählt, dass sich das Thema Datenschutz einfach eingeschlichen hat. Es ist einfach so ins Rampenlicht gerückt und du hast es nicht aktiv verfolgt?

Mackenzie Dysart: Sagen wir, ich bin hineingesprungen. Ja, ich arbeite seit zweieinhalb Jahren mit meinem Kunden zusammen. Und vor ungefähr einem Jahr sagten sie: „Okay, das Projekt, an dem du gearbeitet hast, den Programmstrang, das tauschen wir jetzt aus, du bist bereit für das nächste, was immer spannend ist.“

Aber sie sagten: „Datenschutz braucht Unterstützung. Da läuft viel. Es gibt keinen Prozess. Es ist unbekannt, wie mit dem Produkt zusammengearbeitet wird. Sie brauchen Hilfe.“ Also dachte ich: Na gut. Und so habe ich ein Jahr lang alles rund um Datenschutz gelernt und es ist einschüchternd, aber es ist auch wie Barrierefreiheit – es ist einfach das Richtige für Menschen.

Und ich denke, es ist wichtig, dass wir den Wert und die Vorteile verstehen, und es geht nicht nur um Gesetze. Es geht darum, das Richtige für die Menschen zu tun. Es geht darum, Menschen zu schützen. Und ich denke, manchmal verlieren wir uns in dem „es ist schwierig“ statt der Geschichten und Anekdoten, warum diese Dinge wichtig sind. Und so war es für mich ein Jahr des Lernens.

Ich habe viel gelernt. Ich habe mit sehr klugen Leuten zusammengearbeitet, natürlich auch mit herausfordernden, aber am Ende hat man immer bessere Produkte, bessere Projekte, besseren Service für die Endnutzer gebaut. Und das ist meist der Hügel, auf dem ich dann sterbe: Lasst uns das Richtige für die Endnutzer und die Menschen tun.

Natürlich ist es wie bei Barrierefreiheit: Man wird nie richtig fertig. Deshalb bin ich hier und bereit, über Datenschutz zu sprechen, warum es wichtig ist und warum es dich interessieren sollte.

Galen Low: Ehrlich, ich liebe das – es ist wirklich ein ehrenwertes Ziel. Und ich war sicher auch schon in Projekten, bei denen das Thema Datenschutz eigentlich nur ein reines Abhaken war.

Es ist ein großes Ärgernis. Niemand will es wirklich machen. Man will im Grunde nur die Haftung loswerden. Es geht weniger um Benutzererfahrung als darum, das Risiko zu verringern. Aber ich finde den Ansatz schön: All das ist dazu da, um bessere Erfahrungen zu schaffen und für die Nutzer das Richtige zu tun.

Und ich finde das wirklich spannend. Ich denke außerdem, dass in den Gesprächen, an denen ich teilgenommen habe, und wie es dir ebenfalls scheinbar ging, der Datenschutz inzwischen viel präsenter ist. Daten zu speichern ist nichts Neues, „personenbezogene Daten“ – Zungenbrecher – auch nicht. Aber ich spüre, dass Datenschutz heute einen höheren Stellenwert hat, dass es wichtiger ist, es richtig zu machen und Prozesse zu haben.

Vor allem im Bereich der digitalen Lösungen. Darüber hinaus bin ich aber unwissend.

Könntest du uns sagen, wie sich Datenschutz heute von dem vor 5 oder 10 Jahren unterscheidet? Was sind die Haupttreiber dieser Unterschiede?

Mackenzie Dysart: Vor zehn Jahren ging es eigentlich nur um Datenlecks, oder? Uns ging es darum, wo die personenbezogenen Daten (PII) sind, wo sie gespeichert werden und dass sie geschützt sind. Das waren auch im Wesentlichen die datenschutzrechtlichen Vorgaben – da endete es. 2016 kam dann die DSGVO, das war die erste Gesetzgebung und ich sollte wissen, wofür DSGVO steht. Tue ich aber gerade nicht.

Galen Low: Datenschutz-Grundverordnung.

Mackenzie Dysart: Genau, aber es war das erste Regelwerk, das sagte: Die Leute sollten Kontrolle darüber haben, was online über sie nachverfolgt wird. Das betraf vor allem Websites.

Das war der Beginn der Cookie-Banner, die wir alle kennen und lieben – beziehungsweise inzwischen einfach ertragen, weil sie überall sind und wir der Nachverfolgung zustimmen müssen. Das war der erste Schritt: Das, was die Menschen tun und ihre Aktivität, zählt, und sie sollten Kontrolle, Transparenz und Auswahl über ihre Daten haben.

Danach kamen in den USA der California Protection Act 2020, 2021 der CPRA, weitere Gesetze. Wir sehen, dass in den USA bundesstaatlich immer mehr Gesetze eingeführt werden. Im Vereinigten Königreich und der EU sind sie schon weiter, mit mehr Schutz – dort ist es zentraler geregelt, was leichter zu verstehen und anzuwenden ist. Australien hat eigene Gesetze, Kanada arbeitet ebenfalls an eigenen Gesetzen, PIPEDA heißt das dort.

Galen Low: PIPEDA, ja.

Mackenzie Dysart: Genau. Viele spannende Akronyme. Aber es gibt ständig neue Gesetze, um die Daten der Menschen zu schützen. Und das liegt daran, wie wir als Gesellschaft Daten heute verwenden. Früher ging es nur darum, Datenlecks wegen Identitätsdiebstahl zu verhindern. Heute gibt es viele weitere Gründe, auf Daten zu achten.

Es gibt eine bekannte Anekdote von CVS über ein Mädchen, das online nach einigen Dingen gesucht hat und von CVS einen Gutschein für Babyartikel bekam – und damit ihre Schwangerschaft vor ihrem Vater offenbarte. Man hatte einfach angenommen, dass in diesem Haushalt jemand nach solchen Sachen sucht, es sei nicht sensibel – aber das war nicht in Ordnung.

Das ist die klassische Anekdote; jetzt aber kommt die Nachverfolgungstechnologie hinzu. Ein weiteres Beispiel: Es gab eine Scheidung, sie bekam das Auto, aber er hatte weiterhin Zugriff, das Fahrzeug zu orten – und sie kann es nicht abschalten, weil das System so gebaut ist. Es ist ein Sicherheitsrisiko: Ihr Ex weiß immer, wo sie ist, da der Zugriff nicht entzogen werden kann.

Mit immer „intelligenterer“ Technologie sammeln wir immer mehr Daten über Menschen – was machen wir damit? Gesundheit: Welche Folgen hat das, wenn Gesundheitsdaten in andere Bundesstaaten geteilt werden? Und selbst der Begriff PII hat sich gewandelt: Früher Name, Adresse, Telefonnummer. Heute: Sensitive Informationen über Identität, Rasse, Geschlecht – und biometrische Daten, z.B. ein Foto von deinem Gesicht ist jetzt biometrisch. Daran hatte ich nie gedacht, dass das Profilbild sowas ist und im Netz abgeglichen werden kann.

Ich war nie ein sehr besorgter Mensch, was meine Daten im Internet angeht; ich bin mit Pseudonymen gestartet und dann irgendwann auf meinen echten Namen umgestiegen, warum auch immer.

Es gibt so viele Informationen da draußen, und Menschen können die Puzzlestücke zusammensetzen. Jetzt bin ich sensibler, wie Systeme Daten nutzen, teilen, verkaufen. Das Ekelhafteste daran ist für mich Cambridge Analytica: Dein Verhalten wird analysiert und manipuliert. Es gibt viele Gesetze, die das stoppen oder regeln sollen und den Usern Kontrolle geben. Und ich denke, das zieht sich als Ziel durch alles: Die Kontrolle soll an die Endnutzer zurück.

Galen Low: Das finde ich sehr spannend. Du hast da zwei wichtige Punkte genannt: Erstens, die Technologie entwickelt sich weiter, wird persönlicher und bequemer – der Preis dafür ist unsere Daten. Zweitens, unser Bewusstsein. Vor zehn Jahren war das wie ein Kreditkartenleck: Ja, das kann passieren. Heute gehört es zur Debatte. Und die nächste Stufe ist, wie wir die Kontrolle den Leuten zurückgeben und Transparenz schaffen. Das Thema Datenverkauf ist das häufigste Gesprächsthema, das ich zur Privatsphäre habe.

Aber was du zu Fotos gesagt hast: Es gibt Tools, die soziale Profile abgleichen – per Gesichtserkennung, um zu überprüfen, ob das der gleiche Mensch ist. Das reicht viel tiefer als einfaches Kaufen, Verkaufen – es geht darum, wie Datenverarbeitung Features in das Gesamterlebnis einwebt. Die Wahrnehmung ist ein Spektrum.

Leute wissen etwa, dass sie mit der Angabe ihrer E-Mail Promotions bekommen – von der Website oder Dritten –, aber es kann viel weiter gehen, viel weiter.

Mackenzie Dysart: Sehr weit, ja. Und wie viele Daten man auch über andere Menschen preisgibt, ist interessant ... das wäre noch mal ein eigenes Thema.

Galen Low: Es ist eines dieser „Wenn-du-es-weißt“-Themen. Projektseitig: Zeit und Budget sind begrenzt, um alles zu wissen, was es zum Datenschutz zu wissen gibt.

Aber wir haben im Green Room über Prozesse gesprochen – über ein Rahmenwerk. Ich denke an digitale Projekte: Webseiten, Apps, Augmented Reality, Videospiele ... muss nun jedes digitale Projekt Datenschutz berücksichtigen und was ist das Risiko, wenn man das Thema nicht systematisch integriert?

Mackenzie Dysart: Kurze Antwort: Ja. Jedes Projekt sollte den Datenschutz berücksichtigen. Die längere Antwort: Es ist entscheidend, zu wissen, welche Datenpunkte man über Menschen sammelt.

Wenn wir es anhand von Websites runterbrechen wollen, gibt es zwei Seiten: Nutzer ohne Login – da geht es um Cookies und Sessions. Das ist vor allem diese DSGVO-Erfahrung mit Consent-Bannern.

Interessant: Für User in den USA kann abgeleitete Einwilligung gelten, wenn sie ein Banner einfach schließen oder daneben klicken – dann kann man Cookies sammeln. Das ist jedoch nicht DSGVO- und nicht kanadienkonform. Man muss also die Region kennen und deren rechtliche Vorgaben und Prozesse. Zudem: Was ist euer Prozess beim Hinzufügen neuer Tracking-Pixel? Wie prüft ihr das, pflegt es ins System, ob es notwendige oder Marketing-Cookies sind, usw.?

Das ist der einfache Teil. Wird’s komplexer – Nutzer mit Login: Was geschieht mit all ihren Daten? Wo gehen diese Daten hin? Verkaufen und Teilen: Das heißt nicht, dass ich für Geld Daten an Dritte weitergebe. Auch der Transfer von Daten von einem System ins nächste zum finanziellen Vorteil zählt – etwa, wenn Daten von der eigenen Datenbank in Tools wie Amplitude oder ein CRM verschoben und dann für Marketingmaßnahmen verarbeitet werden, ist das ein Verkauf von Daten im rechtlichen Sinn. Das muss man wissen.

Wichtig: Wo liegen die Daten? Wohin werden sie verschoben? Werden sie anonymisiert, verschlüsselt – brauchen wir wirklich identifizierende Daten, oder reichen Aggregate? Wie werden Consent und Datennutzung gehandhabt? Die drei Begriffe, die ich gelernt habe: Information (notice), Einwilligung (consent), Kontrolle (control). Es braucht immer Information, um Consent einzuholen. Kontrolle ist Best Practice, aber nicht immer vorgeschrieben. Die gehören in jedes Projekt.

Galen Low: Während du das erklärst, klingt das für mich nach hohen Kosten – ich stelle mir Plattformen vor, die dabei helfen, Daten und deren Flüsse zu kategorisieren, Consent zu steuern, Mitteilungen zu erstellen und Nutzern Kontrolle zu geben. Denn da gibt es das „Bitte löschen Sie meine Daten“ – ist das dann Handarbeit?

Ich stelle mir vor, so eine Plattform kostet einiges – ist das jetzt ein Budgetposten?

Mackenzie Dysart: Kann durchaus sein. Man muss auf Organisationsebene entscheiden, wie man das angehen will.

Frühes Einbeziehen von Recht und Compliance sparen langfristig Kosten – weil man Prozesse früh integriert statt alles nachträglich zu ermitteln und Systeme zu filtern, falls jemand ausgetreten ist. Für DSGVO und Cookie-Consent gibt es zum Beispiel OneTrust, das viel „out of the box“ bietet. Das hängt aber auch vom eigenen Tech-Stack ab, manchmal muss man auch selbst Prozesse bauen – teils automatisch, teils noch mit manuellen Listen, aus denen Daten gelöscht werden müssen.

Es ist manuelle Arbeit, aber je früher man daran denkt, desto einfacher. Man muss nicht zum Launch zu 100% compliant sein, aber zumindest so bauen, dass spätere Nachbesserungen „datenschutzfest“ umsetzbar sind. Vergleichbar wie bei Barrierefreiheit – früh anfangen und dranbleiben.

Galen Low: Guter Vergleich zu Barrierefreiheit. Ich fragte nach einem Budgetposten, aber tatsächlich wird Barrierefreiheit oder Responsive Design auch einfach ins Gesamte eingewoben. Es ging nicht um einen Extrasteuerposten, ähnlich wie jetzt Datenschutz. Im öffentlichen Sektor wurde Barrierefreiheit sogar zum Verkaufsargument.

Mit Datenschutz wird das nun ähnlich: Es ist ein Wettbewerbsfaktor. Agenturen, Berater, Partner, für Auftraggeber ist es attraktiv zu sehen, dass Wert auf Datenschutz gelegt wird – selbst wenn es mehr kostet. Und letztlich, es ist eine Erwartung, ein Standard. Wer auf eine Klage wartet und Unwissenheit vorspielt, ist bald abgehängt, denn Privatsphäre ist Teil des Zeitgeists.

Apples Marketing illustriert das als Verkaufsargument. Selbst wenn es schwer messbar ist, aber: Wir schützen deine Daten. Das steht inzwischen im Mittelpunkt.

Als Projektmanager denke ich: Wir müssen das also einplanen. Aber es gibt noch wenig spezifische Datenschützer in den Teams – oft liegt die Verantwortung beim Projektmanager. Was ist also unsere Rolle beim Datenschutz? Wollen wir Chief Privacy Officer werden? Oder reicht Bewusstsein für die drei Aspekte: Information, Consent, Kontrolle? Wie tief müssen wir gehen?

Mackenzie Dysart: Chief Privacy Officer wäre wohl der stressigste Job – man müsste ständig risikobasierte Entscheidungen treffen. Als DPM musst du aber, wie beim Produktmanagement, kein Coder oder Plugin-Experte sein. Wichtig ist das Bewusstsein: Das Thema muss früh aufkommen.

Es geht darum, Prozesse zu etablieren, rechtliche Abteilungen oder Spezialisten möglichst früh einzubinden, vor allem wenn es um bisher nicht erhobene Nutzerinformationen geht. Möchte man z.B. als Fitness-Anbieter Größe und Gewicht neuerdings abfragen, stellen sich komplett neue, rechtliche Herausforderungen.

Entscheidend ist ein Sparringspartner für Datenschutz, und Alarmzeichen wie: Gibt es neue Nutzerdaten? Geht das Data irgendwohin, was ist mit Löschroutine? Kann es automatisiert werden? Was tun wir, wenn Compliance greift?

Zwei Trigger: Neue Datenpunkte oder bestehende Daten anders nutzen – das sind die Punkte, wo bei mir die Alarmglocken klingeln. Und dann natürlich das große, aktuelle Thema: KI. Was bedeutet der Einsatz von KI für den Datenschutz?

Immer gilt: Frühzeitig Prüfungen durch Sicherheit, Recht und Datenschutz! Wenn das in eurer Organisation fehlt, hinterfragt und schafft Partnerschaften, z.B. mit Kunden, um Datenflüsse abzusichern. Mein Rat nach vielen Projekten: Bindet Recht früh ein, damit sie wissen was ansteht, Fragen früh stellen können, bevor sie Hindernis werden – und dann hat man mehr Planungssicherheit.

Der Fachbegriff Shift Left trifft es: Je früher alle beteiligt sind, desto einfacher wird am Ende alles.

Galen Low: Ein „dunkles Handwerk“, denn oft schrecken Teams und Kunden vor früher Einbindung zurück, weil Kosten entstehen, aber tatsächlich spart es langfristig Geld.

Mackenzie Dysart: Alle an Bord holen! Sie müssen nicht die ganze Zeit dabei sein. Aber: Wir sitzen alle im selben Boot, steuern gemeinsam irgendwohin.

Galen Low: Und das ist alles ein Ökosystem, Technik und Menschen aus verschiedenen Organisationen. Man muss wissen: Wer als Dienstleister den Datenschutz nicht ernst nimmt, ist ein Haftungsrisiko.

Doch eigentlich habe ich in meiner Karriere selten erlebt, dass wirklich ALLE (Recht, Sicherheit, Barrierefreiheit, Datenschutz) von Anfang an involviert werden. Zu oft erfährt jemand an Punkt D, was an Punkt C hätte Thema sein müssen – und das sollte vermieden werden.

Wenn es um Compliance geht, kommt die Versuchung, Abkürzungen zu nehmen, um Zeit und Geld zu sparen. Welche Argumente kann ein Digitalprojektmanager vorbringen, um solche Diskussionen erfolgreich zu führen?

Mackenzie Dysart: Ganz klar: Fehler später zu beheben wird exponentiell teurer – das gilt auch für Datenschutz. Wer es nicht gleich berücksichtigt, produziert „Quick-Fix“-Lösungen und verursacht Betriebsrisiken, etwa was abwandernde Mitarbeiter betrifft. Daher gleich mitbedenken. Und es ist außerdem einfach das Richtige.

Aber Unternehmen sind Unternehmen und manchmal zählt die Deadline. Dann kann man mit dem Risiko argumentieren: DSGVO – bis zu 20 Millionen Pfund oder 4 % des weltweiten Umsatzes Strafe bei Verstoß.

Galen Low: Wow.

Mackenzie Dysart: Ja, das ist heftig. In US-Bundesstaaten sind es etwa 7.500 USD pro individuelle Verletzung, vor allem als Grundlage für Sammelklagen (class action lawsuits). Wer von Privatpersonen verklagt werden kann, erlebt das auch schnell als Instagram-Werbung („Haben Sie XY genutzt? Dann stehen Ihnen Ansprüche zu ...“). Was wir aus TV-Klagen kennen, gibt es jetzt mit Datenschutzfokus – und schnell mehrere Millionen Dollar.

Das Risiko ist also auch finanziell hoch. Neue Gesetze entstehen ständig – z.B. zu Teenagern und Social Media. Wenn euer Produkt Community-Funktionen hat, gilt es evtl. schon als Social Media und unterliegt neuen Pflichten. Kosten entstehen nicht nur bei Fixes, sondern auch juristisch, wenn „Privacy by Design“, Barrierefreiheit oder Security nicht eingeplant wurden.

Das kostet vielleicht anfangs mehr, langfristig ist es aber viel günstiger – egal ob für Nachbesserungen oder juristischen Folgen. Man muss erkennen: Es geht nicht um Tag 1-Compliance, sondern um die Basis, mit der künftige Anforderungen leichter umsetzbar sind.

Vor allem wichtig: Nutzern die Kontrolle geben, später ihre Meinung (Opt-in/Opt-out) zu ändern. Das muss vielleicht nicht Tag 1, aber im Backend zumindest für die Zukunft möglich sein.

Galen Low: Beim Datenschutz wie überall wird das Thema zunehmend zum Teil der Kultur – das Bewusstsein steigt, Gesetze ziehen nach, Konsumenten entscheiden mit ihrem Geld über Organisationen. Wer Datenschutz nicht proaktiv angeht, verliert!

Der Wechsel auf Dienstleister, die Datenschutz garantieren, ist günstiger als eine Klage wegen 4 % vom Weltumsatz. Und damit wird auch der Markt insgesamt besser, selbst wenn einige nicht aus Überzeugung Datenschutz einbauen, sondern aufgrund von Wettbewerb.

Mackenzie Dysart: Absolut – ein echter Mehrwert. Selbst wenn Kunden das nicht im RFP fordern, sollte man seine Datenschutz-Strategie dort vorstellen. Was die Kunden damit machen, bleibt ihnen überlassen. Aber als Dienstleister kann und sollte man die Risiken transparent machen und empfehlen.

Und: Es ist nicht schwer, sich das Grundwissen anzueignen. In einem Jahr kann man mit guter Unterstützung die wichtigsten Themen verinnerlichen. Man muss nicht die technische Umsetzung kennen, sondern wissen, wie man das Thema anspricht, die richtigen Fragen stellt und sicherstellt, dass es nicht vergessen wird. Sonst wird es teurer – und verborgene Nachtragspositionen sind unbeliebt.

Vielmehr sollte Datenschutz in jeden Budgetposten eingewoben werden – nicht als Zusatzfeature, sondern als Standard wie „mobile first“. Die Branche hat Responsive Design auch einfach integriert, ohne Zusatzkosten. Das ist der zukünftige Weg.

Galen Low: Schönes Plädoyer für Bildung: Wer teilt und neugierig bleibt, bringt (fast) alle weiter.

Vielleicht können wir über die schwierigen Themen sprechen: Ethik, das „Richtige tun“. Es gibt Unternehmen, die geneigt sind, Abkürzungen zu nehmen. Wie können wir ein Teamklima schaffen, in dem sich Teammitglieder sicher fühlen, Bedenken beim Datenschutz anzusprechen?

Mackenzie Dysart: Man muss mit gutem Beispiel vorangehen. Es geht nicht immer um die große Enthüllung, sondern manchmal nur darum, blöde Fragen zu stellen: Machen wir wirklich XY? Haben wir Einwilligung dafür? Was können wir anders machen?

Projektmanager sind Vorbilder. Wer sich traut, dumme Fragen zu stellen, macht es anderen viel leichter, sich zu beteiligen. Es gibt dazu Meme: Sag das Seltsame! Frag das Unübliche! Das setzt psychologische Sicherheit, die Raum für Datenschutz schafft.

In manchen Organisationen, die auf Kundenwünsche ausgerichtet sind, wird oft alles gemacht, was der Kunde will – auch auf Kosten des Datenschutzes. Aber als verantwortlicher Dienstleister kann man immer fragen: MÜSSEN wir das tun? Gibt es einen datenschutzfreundlicheren Weg?

Manchmal gibt es Limitierungen – wenn Systeme nicht existieren, um das Richtige zu tun. Dann: Was ist der nächste richtige Schritt? Info geben, Empfehlung dokumentieren, Risiko an Auftraggeber abgeben. Wenn der Kunde unseriös bleibt: Immerhin arbeitet man nicht als Angestellter dort.

Galen Low: Es ist wirklich eine Wertefrage: Nicht nur aufs Geld, sondern auf Wirkung und Haltung achten.

Mackenzie Dysart: Purpose driven.

Galen Low: Datenschutz-Superheld.

Mackenzie Dysart: Kann ich einen Umhang mit „Privacy“ bekommen?

Galen Low: Nicht bei Amazon suchen ...

Mackenzie Dysart: Das könnte furchtbar schiefgehen ...

Galen Low: Kommen wir zu Fristen. Es gibt Compliance-Fristen – viele Organisationen warten trotzdem bis zum letzten Moment. Wer noch nie an Datenschutz gedacht hat: Ist es schon zu spät?

Mackenzie Dysart: Es ist besorgniserregend, aber es betrifft viele. Die Aufwände hängen stark davon ab, welche Daten man hält. Gerade bei Alt-Systemen ist es schwer, z.B. DSGVO-Anfragen (Auskunft, Berichtigung, Löschung) zu erfüllen. Es gibt etliche Tools, niemand weiß alles. Aber: Die Regulierer sind wohlgesonnener, wenn Unternehmen zumindest einen Plan für Verbesserungen aufzeigen können. Ohne Plan ist die Klage praktisch vorprogrammiert, vor allem bei Privatklägern und „Klage-Anwälten“.

Ein altes Beispiel ist das US-Videodatenschutzgesetz (VIPPA) – ursprünglich für Videotheken, heute für Nutzungsdaten von Streaming-Plattformen angewandt. Die Gesetze werden also auch zweckentfremdet, um digitale Kontexte zu regulieren.

Galen Low: Faszinierend, wie sich Gesetzgebung auf neue Dinge erstreckt – von Videorekorder zu Car-Tracking.

Mackenzie Dysart: Ja, was mir nie bewusst war: Kontaktsynchronisierung mit Apps ist ein enormes Datenschutzproblem. Du gibst plötzlich alle Kontaktdaten (z.B. von Galen) an Apps ab, ohne deren Einwilligung. Meta hat zwar gute Policies, aber die meisten Firmen können das nicht und speichern sie trotzdem. Dasselbe mit Bluetooth-Geräten: Dein Auto hat dann alle Kontakte – für immer.

Galen Low: Albtraum!

Mackenzie Dysart: Sorry dafür ...

Galen Low: Ich weiß gar nicht, wo meine Daten inzwischen überall gespeichert sind ...

Mackenzie Dysart: Dein Name ist in etlichen Autos gespeichert, von denen du keine Ahnung hast.

Galen Low: Mackenzie, das war unheimlich spannend, ich habe viel gelernt und unsere Hörer hoffentlich auch. Wir könnten damit ein Buch füllen oder eine Fortsetzung machen. Danke für die vielen Fragen, Denkanstöße und den Einblick in die Rolle von DPMs beim Datenschutz. Es ist nicht nur ein Abhaken, sondern ein echtes Anliegen.

Sicherheit von Kindern, hohe Strafen sind einfache Argumente.

Mackenzie Dysart: Genau!

Galen Low: Kinder schützen UND keine 4 % Umsatzstrafe zahlen.

Danke, Mackenzie, dass du dir heute Zeit genommen hast, es war toll.

Mackenzie Dysart: Danke, ich fand es auch großartig.

Galen Low: Das war es von uns. Wenn Sie sich mit über tausend anderen Project-Management-Champions vernetzen möchten, besuchen Sie thedigitalprojectmanager.com/membership. Und falls Ihnen diese Folge gefallen hat, abonnieren Sie uns und bleiben Sie unter thedigitalprojectmanager.com auf dem Laufenden.

Bis zum nächsten Mal – danke fürs Zuhören!