Verallgemeinert ist unter IT-Compliance die Einhaltung von Sorgfaltsanforderungen, d.h. der gesetzlichen, unternehmensinternen und vertraglichen Regelungen im Bereich der IT zu verstehen. Unter diesen Begriff fällt aber auch die Einhaltung von datenschutzrechtlichen Bestimmungen. Hier sind vor allem das Bundesdatenschutzgesetz (BDSG) und die Landesdatenschutzgesetze (LDSchG) zu erwähnen. Im Falle von Daten, die mit Auftragsverarbeitung in Verbindung stehen, sind unter allen Umständen die Vorgaben von Paragraf 11 BDSG einzuhalten und entsprechende schriftliche Vereinbarungen zu treffen. Weiterhin ist es Aufgabe der (IT)-Compliance, durch Bildung einer Einheit, die sich aus organisatorischen Aufsichts-, Schulungs- und Kontrollmaßnahmen zusammensetzt, evtl. Gesetzesverstöße durch das Management, die wirtschaftlichen Schaden für das Unternehmen mit sich bringen könnten, zu vermeiden – Vermeidung von Schadensersatzpflichten, Strafen, Buß- und Zwangsgeldern, erhöhte Steuerzahlungen (durch Schätzungen des Finanzamtes). Neben den finanziellen Schäden ist auch der evtl. für das betroffene Unternehmen entstehende Reputation-Schaden zu beachten, bspw. beim Missbrauch von Kundendaten. Stellvertretend für viele Vorgänge in denen die IT-Compliance versagt hat oder nicht eingerichtet war, sind hier nun beispielhaft die folgenden Vorfälle zu nennen:
- Easycash GmbH, das sowohl in 2008 als auch wiederholt in 2010 Kontodaten von Kunden sowie Angaben von Zahlungsangaben (z. B. Höhe der Beträge und Ort der getätigten Zahlungen) an ein Schwesterunternehmen weitergeleitet hatte http://www.spiegel.de/netzwelt/web/ec-kartenabrechnungen-easycash-zahlt-60-000-euro-bussgeld-a-785828.html
- aber auch der fahrlässige Umgang mit Kundendaten, wie das Beispiel von im Alt-Papiercontainer gelandeten Klientendaten mehrerer Anwaltskanzleien im schleswig-holsteinischen Schwarzenbek (http://www.projekt-datenschutz.de/node/2726)
- Das Fehlen eines strukturierten Patch-Managements führte bei der Rheinbahn dazu, dass Mitarbeiter der Rheinbahn sämtliche Daten und E-Mails ihrer Kollegen einsehen konnten (http://www.projekt-datenschutz.de/node/2704).
Strafrechtlich kann die Vernachlässigung der Compliance zu einer persönlichen Haftung des Vorstandes, des Geschäftsführers oder der Aufsichtsratsmitglieder nach den Paragrafen 93 Absatz 2 und 116 Absatz 1 AktG (analog) führen.
Damit Ihr Unternehmen nicht Gefahr läuft, in eine vergleichbare Situation zu geraten, steht Ihnen unser erfahrenes Beraterteam gerne jederzeit zur Verfügung. Vereinbaren Sie doch ganz unverbindlich einen ersten kostenfreien Termin mit uns.
CDC Compliance & Datenschutz Consulting UG (haftungsbeschränkt)
Unter den Eichen 5 – Haus i -
65195 Wiesbaden
Tel.: +49 611 204 74 29
FAX: +49 611 204 74 34
E-Mail: thomas.gutte@cdc-ug.de
WEB: http://www.cdc-ug.de
CDC-UG Wiesbaden
