“Muss man haben”

Der Datenschutz gehört für Unternehmen jeder Größe zur Pflicht. Mit der tablegray services gmbh wird sie zur Kür. Dafür sorgen die beiden Geschäftsführer und Juristen Günter Omer und Richard Gschank. Als Dolmetscher zwischen Technik und Recht.

GRAZETTA • Die tablegray services gmbh wurde im November vergangenen Jahres zum 10-jährigen Firmenjubiläum von der WKO Steiermark für unternehmerische Leistungen ausgezeichnet. War Datenschutz und Compliance bei der Firmengründung so gefragt wie heute?
GÜNTER OMER • Unser Unternehmen wurde als klassischer IT-Dienstleister gegründet. Bei der Einführung der Datenschutz-Grundverordnung (DSGVO) im Jahr 2018 spürte man dann klarerweise eine große Unsicherheit bei vielen Unternehmen. Es galt rasch zu klären, ob deren Anwendungen, Apps, Webseiten, Shops etc. auch rechtskonform waren. Mit in Kraft treten der DSGVO fand ein generelles Umdenken im Datenschutz statt. Zur zügig voranschreitenden Digitalisierung von Prozessen, Bedenken im Bereich der Informationssicherheit und dem verstärk ten Einsatz von Künstlicher Intelligenz in vielen Bereichen kam mit dem Schutz von personenbezogenen Daten noch zusätzliche Komplexität hinzu. Dies war dann auch der Zeitpunkt, an dem tablegray seine IT-Kompetenzen durch die Beratung ergänzte. Daraus entwickelte sich dann schnell unser Kerngeschäft: Die Beratung im Bereich Datenschutz.

Die korrekte Implementierung der Datenschutz-Grundverordnung (DSGVO) stellt Unternehmen aller Größen vor vielschichtige Aufgaben. Günter Omer (l.) und Richard Gschank lösen diese mit der tablegray services gmbh.

Mit welchen Anliegen kommen Kunden zu euch und was erwarten sie durch die Beratung der tablegray services gmbh?
RICHARD GSCHANK • Die DSGVO hat Unternehmen vor umfangreiche Aufgaben gestellt. Die Verarbeitung von Daten war schon immer essenziell, aber durch die Pflicht zum Datenschutz von personenbezogenen Daten wurde es zunehmend komplizierter. Die Compliance im Bereich Datenschutz ist gesetzlich vorgeschrieben. Die muss man haben. Aber sie ist nicht nur Pflicht, sondern bietet viele weitere Vorteile. Sie gibt Kunden Sicherheit und Vertrauen in digitale Leistungen, zeigt Optimierungspotenzial bei Prozessen auf, gibt Lieferanten klare Vorgaben im Umgang mit übermittelten Daten und reduziert Risiken – Datenverlust, Hackerangriffe, etc. – im Unternehmen. Unser Trumpf war immer, dass wir beide Sprachen, also Technik und Recht, sprechen. Günter ist gelernter Softwareentwickler und studierte Rechtswissenschaften an der Universität Graz mit Spezialisierung auf Wirtschafts- und IT-Recht, ist Digital Legal Expert und seit über 20 Jahren als Unternehmer und Netzwerker tätig. Auch ich habe einen Abschluss in Rechtswissenschaften und absolvierte danach die Prüfung zum zertifizierten Datenschutzbeauftragten. Mit unserer Erfahrung bilden wir damit eine Schnittstelle zwischen Technik und Recht. Man könnte sagen, dass wir uns als Dolmetscher zwischen den Bereichen sehen.

Die Compliance im Bereich Datenschutz ist gesetzlich vorgeschrieben. Die muss man haben.

RICHARD GSCHANK

Ein musischer Dolmetscher. Immerhin haben Sie auch Musikwissenschaften fertig studiert.
RG • Ja. Mit Fokus auf Jazz- und Popularmusik. Das Studium der Musikwissenschaft und die langjährigen Erfahrungen als Gitarrenlehrer waren rückblickend auch für meine jetzige Tätigkeit förderlich. Dadurch bekommt man einen Einblick, wie moderne Medien und die Digitalisierung arbeiten und lernt, diese zu analysieren und kritisch zu hinterfragen. Das unterstützt, die Dienstleistungsqualität in Service und Beratung zu steigern und die Datenschutz-Compliance nach außen hin besser zu kommunizieren.

Was macht den Datenschutz für Unternehmen so herausfordernd?
GO • Die Unternehmen sind verpflichtet, ihre personenbezogenen Daten umfangreich zu schützen. Vollkommen egal, ob es sich um Firmen mit einer Person oder Konzerne mit mehreren hundert Mitarbeitern handelt. Dieses Gebiet ist rechtlich aber schwer greifbar. Zum einen, weil es zu diesem Thema wenige Experten gibt und zum anderen, weil die Unternehmen nicht wissen, wo sie anfangen sollen. Die DSGVO gliedert 99 Artikel in elf Kapitel, dazu kommt noch das österreichische Datenschutzgesetz (DSG) mit über vierzig Seiten und das Telekommunikationsgesetz (TKG) kommt auf 217 Paragrafen. Aus Richtung Brüssel gibt es ebenso laufend Neues: KI-Verordnung, Digital Services Act, Data Act, Barrierefreiheits-Richtlinie und einiges mehr. Dazu kommt die ständige Rechtsprechung der Gerichte. Um den gesetzlichen Anforderungen gerecht zu werden, braucht es einiges an Zeit und Kenntnis der Rechtsmaterien. Die Unternehmen wollen und müssen sich auf ihr Kerngeschäft konzentrieren und haben einfach nicht die Kapazität, die geforderten Standards zu erfüllen. Und hier schaltet sich die tablegray mit einer Bestandsaufnahme ein.

KUNDENZITATE

„Wenn Sie die Dienstleistungen der tablegray nutzen, dann bekommen Sie ein Sorgenfrei-Paket. Durch die unkomplizierte Zusammenarbeit sind wir in Sachen Datenschutz sicher aufgestellt.”
THOMAS WINKLER
Geschäftsleitung Hadolt Group

„Datenschutz ist für uns Naturfreunde Österreich mehr als Pflicht – er ist die Basis für sichere Kommunikation und einen verantwortungsvollen Auftritt nach außen.“
GÜNTER ABRAHAM
Bundesgeschäftsführer Naturfreunde Österreich

„Aus Sicht eines Cybersecurity Auditors ist professionelle DSGVO-Beratung ein wesentlicher Baustein jeder funktionierenden Informationssicherheitsstrategie. Datenschutz stärkt nicht nur die rechtliche Compliance, sondern schafft klare Prozesse für den verantwortungsvollen Umgang mit Daten.“
WOLFGANG ZEILER
Smartis

„Datenschutz, Datensicherheit und insbesondere die Anwendung sowie Weiterentwicklung von Künstlicher Intelligenz sind für uns sowohl im eigenen Unternehmen als auch in den Förderprojekten, die wir begleiten, zentrale Daueraufgaben.“
INGRID ARMENGAUD
Armengaud Innovate Gmbh

Und was wird konkret aufgenommen?
RG • Beim Kunden werden vor Ort alle relevanten Systeme, Abläufe, verantwortliche Dienstleister sowie Hardware und Software erfasst, analysiert und dokumentiert. Dies reicht je nach Ausgangssituation, Anforderung und Komplexität der Datenverarbeitung von der Datenschutzerklärung bis zu regelmäßigen Beratungstagen. Dabei geht es nicht nur um die rechtlichen Rahmenbedingungen, sondern auch um den wirtschaftlichen Benefit für das Unternehmen. Unsere Kunden werden von deren Abnehmern, zB Banken, Versicherer, Spediteure etc. dahingehend ausgewählt, weil sie ihren Datenschutz nachweislich gut im Griff haben und Professionalität zeigen.

Ihre Kunden bekommen ein „datenschützendes Sorgenfrei-Paket“?
GO • So hat es auch einer unserer Kunden, der Geschäftsleiter der Hadolt Group, bezeichnet. Wir betreuen Unternehmen in unterschiedlicher Größe und den verschiedensten Branchen. Dazu zählt ein Florist ebenso wie ein Betrieb, der über 240.000 Kundendaten verarbeitet oder eine Plattform für Psychotherapie mit besonders sensiblen Daten. Neben der Hadolt Group vertrauen auch die Naturfreunde Österreich und Unternehmen wie die CCE Ziviltechniker GmbH, die HR Group, SMARTIS oder Armengaud Innovate auf unsere Expertise. Ihnen geht es um einen verantwortungsvollen Auftritt nach außen, klare Prozesse für den Umgang mit Daten, Verlässlichkeit und die ideale Verbindung von technischem und rechtlichem Know-how.

Wie kann gewährleistet werden, dass die Kunden in Bezug auf die gesetzlichen Vorgaben immer am aktuellen Stand sind?
RG • Das schaffen wir, weil wir sehr straff aufgestellt sind und als Dreh- und Angelpunkt aller personenbezogenen Daten agieren. Zudem verfügen wir über ein engmaschiges Netzwerk an Experten aus der Informationssicherheit und Anwälten aus den erforderlichen Rechtsgebieten. Wenn es etwa um Förderprojekte der EU geht, reichen diese Expertisen bis nach Brüssel. Wir sind uns der großen Verantwortung gegenüber unseren Kunden bewusst. Denn wird der Datenschutz vernachlässigt, hat dies nicht nur rechtliche Konsequenzen. Es geht auch Vertrauen verloren und zieht langfristige Auswirkungen auf die Geschäftstätigkeiten nach sich.

Damit Sie die Daten effizient schützen können, braucht es die absolute Transparenz vom Kunden.
GO • Nahezu unser gesamter Kundenstock basiert auf Weiterempfehlungen. Damit einher geht ein Vertrauensvorschuss, da der Kunde uns sein ganzes Unternehmen offen-legt. Transparenz hat absolute Priorität, da wir nur das dokumentieren und verbessern können, was wir wissen. Die Frage ist auch immer, wo steht das Unternehmen? Viele verfügen über eine interne IT-Abteilung oder Dienstleister, die alles im Griff haben und auf dem neusten Stand sind. In seltenen Fällen ist es besser, alles komplett neu durchzudenken.
RG • Als externer Berater kann man anders agieren, weil der Blickwinkel ein anderer ist. Oft hören wir Sätze wie „das haben wir immer schon so gemacht“ und da hilft es, neue Inputs von außen in das Unternehmen zu bringen. Wir wollen dabei funktionierende Geschäftsprozesse unterstützen, auf sichere Beine stellen und nicht verhindern.

In letzter Zeit wurden wieder einige Unternehmen in Graz zum Opfer der Cyberkriminalität. Wie weit kann man sich aus Ihrer Sicht davor schützen?
GO • Eine vollkommene Sicherheit kann meiner Erfahrung nach kein System bieten. Klare Prozesse, Verantwortlichkeiten und Schulungen können das Risiko aber auf ein Minimum reduzieren. Oft genügen schon einfache Fragen, um Faktoren auszuschließen. Wo sind die Daten? Funktioniert das Backup? Wer hat Zugriff? Der Faktor „Mensch“ spielt dabei auch immer eine zentrale Rolle. Hier sehen wir mitunter die einfachste und effizienteste Möglichkeit, Gefahren vorzubeugen, etwa durch Social Engineering.

Klare Prozesse, Verantwortlichkeiten und Schulungen können das Risiko aber auf ein Minimum reduzieren.

GÜNTER OMER

Worum handelt es sich dabei?
GO • Unter Social Engineering versteht man die gezielte Manipulation von Personen, um sie zur Herausgabe von vertraulichen Informationen zu bewegen. Ein Beispiel: Die Sekretärin bekommt eine gefälschte Mail von ihrem Chef, in der er sie auffordert einen Betrag zu überweisen, da er gerade im Ausland in einer prekären Situation ist. Um solchen Risiken vorzubeugen, schulen wir die Mitarbeiter in den Unternehmen und sensibilisieren sie auf das Thema. Denn die Vorgehensweisen der Kriminellen werden immer dreister und durch den Einsatz von KI, kann jedermann von überall aus ein Mail in perfekter deutscher Sprache verschicken.

Unternehmen bedienen sich selbst der Künstlichen Intelligenz. Stellt dies ein zusätzliches Risiko dar?
RG • Mit der KI-Verordnung der Europäischen Union gibt es seit Sommer 2024 einen Rechtsrahmen um die Vorteile der KI zu nutzen, aber auch um ihre Risiken zu minimieren. Jedes Unternehmen, das KI verwendet ist verpflichtet, seine Mitarbeiter im Umgang damit zu schulen. Denn jeder wird es einsetzen. Die KI ist gekommen um zu bleiben und wird noch mehr in das tägliche Leben einfließen. Jetzt geht es nur darum, dass sie konstruktiv und sicher eingesetzt wird. Auch wenn uns die Big Player versichern, dass Daten sicher sind, würde ich mir genau überlegen, personenbezogene Daten, Patente, urheberrechtlich geschützte Werke oder ähnliches einfach so hochzuladen. Dabei muss jedem klar sein, dass die Technik um ein Vielfaches schneller ist als das Recht.

Die rechtlichen Rahmenbedingungen hinken somit immer hinten nach?
GO • Die Regularien sind aufwendig umzusetzen. Dagegen gibt es täglich neue Entwicklungen in der IT. Aber die DSGVO hat sich mittlerweile so gut etabliert, das man weiß, wie man damit umzugehen hat. Auch der Data Act, mit dem die EU seit September des Vorjahres den Nutzern mehr Kontrolle über ihre Daten gibt, sorgt für einen einheitlichen Rechtsrahmen. Klar ist aber auch, dass sich durch die permanente technische Weiterentwicklung rechtliche Graubereiche auftun und jeder gut beraten ist, auch mit einer gewissen Eigenverantwortung und Hausverstand vorzugehen.

Daten werden mittlerweile wie als Kapitalanlage gehandelt. Stimmen Sie dem zu?
GO • Ja und Nein. Wurden Daten im Rahmen der rechtlichen Anforderungen erhoben, können diese einen großen Wert darstellen. Um an Daten von Personen zu kommen, und diese verwenden zu dürfen, gibt es klare Vorgaben. Werden diese nicht erfüllt, sind die Daten wertlos und hinzu kommt noch, dass das Vorgehen möglicherweise strafbar ist. Solche Fehltritte können wir mit einer gezielten Beratung vermeiden.

Fotos: Benjamin Gasser