DPO vs. CPO: Compliance-Rollen im Überblick
Zwar gibt es Compliance und Datenschutz schon seit geraumer Zeit, insbesondere in Bereichen wie Finanzen und Gesundheit, aber sie wurden stets in den Bereichen Rechts- und Informationssicherheit gebündelt. Die Zunahme immer komplexerer Datenschutzbestimmungen, die Unternehmen für die Sicherheit der von ihnen gesammelten Daten vor dem Gesetz haftbar machen, hat dazu geführt, dass neue spezialisierte Compliance-Rollen wie der Datenschutzbeauftragte (Data Protection Officer, DPO) und der Chief Privacy Officer (CPO) entstanden sind. Obwohl sie im gleichen Bereich tätig sind, wie ähnlich sind sich diese Rollen, und brauchen Unternehmen beide? Schauen wir uns das näher an!
DPOs: die Hüter der Regeleinhaltung
Laut der United Nations Conference on Trade and Development verfügen 132 Länder inzwischen über eine Gesetzgebung, die den Schutz von Daten und Privatsphäre gewährleistet. In mehreren von ihnen, vor allem in der Allgemeinen Datenschutzverordnung (GDPR) der EU, im brasilianischen Lei Geral de Proteção de Dados (LGPD) und im singapurischen Gesetz Personal Data Protection Act (PDPA), ist die Ernennung eines DPO unter bestimmten Umständen obligatorisch. Während die Anforderungen von Gesetz zu Gesetz unterschiedlich sein können, je nach der Größe einer Organisation oder der Datenmenge, die sie täglich sammelt oder verarbeitet, müssen viele Unternehmen, die auf einer modernen digitalisierten Infrastruktur arbeiten, inzwischen einen DPO haben.
DPOs sind daher eine gesetzlich vorgeschriebene Rolle. Sie haben auch einen besonderen Status innerhalb des Unternehmens: Sie sind direkt der Geschäftsleitung unterstellt und müssen völlig unabhängig sein. Ihre Pflicht besteht in erster Linie gegenüber dem Gesetz und den betroffenen Personen. Die Unternehmensleitung darf ihnen keine Befehle erteilen, die gegen das Gesetz verstoßen. Datenschutzbeauftragte können auch nicht dafür bestraft oder entlassen werden, dass sie ihre Pflichten wie vom Gesetz vorgeschrieben erfüllen. Unternehmen sind verpflichtet, den Datenschutzbeauftragten die Ressourcen, Informationen und Unterstützung zur Verfügung zu stellen, die sie zur wirksamen Erfüllung ihrer Aufgaben benötigen.
Wenn ein Unternehmen die Dienste eines DPO nicht in Vollzeit benötigt, können ihm andere Aufgaben übertragen werden, solange diese nicht im Widerspruch zu den Aufgaben des DPO stehen. Organisationen können auch einen externen DPO einstellen, der für mehrere Unternehmen oder als Dienstleistunger für Dritte tätig ist.
Obwohl die einem DPO zugewiesenen Aufgaben je nach dem Gesetz, das seine Bestellung zwingend vorschreibt, leicht variieren können, fungieren sie im Allgemeinen als Verbindungsglied zwischen einem Unternehmen und den lokalen Datenschutzbehörden und als Anlaufstelle für betroffene Personen, die ihre Rechte gemäß den Datenschutzbestimmungen wahrnehmen möchten. Sie sind für die Überwachung der Einhaltung der Datenschutzbestimmungen verantwortlich und führen interne Audits durch, um die Einhaltung der Bestimmungen zu gewährleisten. Darüber hinaus sensibilisieren sie innerhalb des Unternehmens für die Einhaltung der Vorschriften, schulen das an der Verarbeitung beteiligte Personal und beraten bei Datenschutzfolgeabschätzungen.
CPOs: Wenn der Datenschutz die C-Ebene erreicht
CPO ist eine C-Level-Position, die sich herauskristallisierte, als die Einhaltung von Datenschutzbestimmungen für Chief Information Security Officers (CISOs) oder Chief Information Officers (CIOs) ein zunehmend komplexes und zeitaufwändiges Thema wurde. CPOs hatten die Aufgabe, dafür zu sorgen, dass die Datenschutzpraktiken einer Organisation den neuesten internationalen Standards und Compliance-Anforderungen entsprechen. Sie beaufsichtigen, wie Daten gesammelt, gemeinsam genutzt, gespeichert und übertragen werden, und schärfen das Bewusstsein für Compliance-Anforderungen innerhalb des Unternehmens. Sie sind auch für die Entwicklung und Erprobung von Plänen zur Reaktion auf Datenschutzverletzungen und Datenschutzfolgeabschätzungen verantwortlich.
Am wichtigsten ist, dass das Wohlergehen des Unternehmens für einen CPO Priorität hat. Ihre Aufgabe besteht darin, Vertrauen bei den Kunden aufzubauen und das Unternehmens als datenschutzbewusst und konform mit den Datenschutzbestimmungen zu etablieren. Sie fungieren als Kommunikationspunkt mit den Medien und müssen im Falle eines Sicherheitsvorfalls über eine Kommunikationsstrategie verfügen, um die Auswirkungen auf die Öffentlichkeit abzuschwächen.
DPO vs. CPO
Während sich sowohl DPO als auch CPO mit den Datenschutzverpflichtungen eines Unternehmens befassen, sind die treibenden Kräfte hinter den beiden Rollen sehr unterschiedlich. Während DPOs als unabhängige Compliance-Schützer fungieren, haben CPOs eine umfassendere, strategischere Rolle, die auf die Datenschutzziele des Unternehmens ausgerichtet ist. CPOs spielen auch eine aktive Rolle bei der Verwaltung von Datenschutzrichtlinien, Governance und Compliance. DPOs hingegen haben eine eher beratende Funktion und überwachen diese Aktivitäten.
Obwohl beide direkt der Unternehmensleitung unterstehen, haben DPOs nicht die Entscheidungsbefugnis von Führungskräften der C-Ebene wie CPOs. Datenschutzbeauftragte informieren die Führungskräfte über Einhaltungsanforderungen, die Ergebnisse von Prüfungen und verbesserungsbedürftige Bereiche, aber sie können keine Richtlinien direkt umsetzen. Diese Macht liegt in den Händen der CPOs, von denen erwartet wird, dass sie Datenschutzstrategien vorantreiben und konkrete Richtlinien für die Erfüllung von Einhaltungs- und Datenschutzanforderungen ausarbeiten.
Was die Fähigkeiten anbelangt, so profitieren beide Rollen zwar von einem technologischen Hintergrund, doch wird von den Datenschutzbeauftragten erwartet, dass sie über die rechtliche Kompetenz verfügen, um ihre Aufgaben effizient zu erfüllen. Erfahrung in der IT-Prüfung und der Durchführung von Risikobewertungen ist ebenfalls wünschenswert. CPO-Rollen sind flexibler und können aus einer Vielzahl von Hintergründen gewählt werden, erfordern jedoch äußerst anpassungsfähige Personen, die kommunikative Fähigkeiten besitzen.
Zusammengefasst heißt das
Die Aufnahme von Begriffen wie Privatsphäre und Datenschutz in ihre Titel schafft die Illusion, dass CPOs und DPOs ähnliche Aufgaben haben, aber obwohl sie im selben Fachgebiet tätig sind, unterscheiden sich sowohl die Ebene, auf der sie handeln, als auch ihre Prioritäten stark. DPOs sind nach wie vor ein gesetzliches Erfordernis, das Unternehmen erfüllen müssen, während CPOs ein Zeichen einer Organisation sind, die den Datenschutz auf höchster Ebene ernst nimmt.
