Praxis Change Management: So überleben Firmen digitale Erdbeben

Für sämtliche Unternehmen, die mit E-Commerce Geld verdienen, ist es eine Zwangsverdonnerung zum Change Management: In weniger als acht Monaten, am 25.5.2018 ist die Übergangsfrist vorbei und die Datenschutzgrundverordnung findet in allen Mitgliedsstaaten der EU Anwendung. Wer jetzt noch nicht gehandelt und einen Change-Prozess initiiert hat, muss Gas geben - zumal die Konsequenzen der DSGVO weitgehend ungewiss sind. Es herrscht allerdings kein Mangel an kuriosen Auswüchsen oder Horrorszenarien, die theoretisch möglich wären:

• Müssen Shops Kunden demnächst drei Dutzend Popups präsentieren, bis jedes Cookie einzeln akzeptiert wurde (und nebenbei die Chance, jemals wieder einen Kunden zu konvertieren, komplett ausgelöscht ist)?
• Wenn jeder, der in Deutschland E-Commerce betreibt, unter die Verordnung fällt, müsste dann nicht auch ein Tante-Emma-Laden aus Lincoln/Nebraska, der selbstgehäkelte Klorollen-Hütchen in seinem Shop verkauft, abmahnfähig sein?

Die gute Nachricht ist: Es gibt zwar diese schlimmsten anzunehmenden Unfälle - nur sind sie kaum wahrscheinlich.

Was Unternehmen tun können, um sich für ein noch nicht vollständig geklärtes Datenschutzszenario aufzustellen, zeigt das Beispiel eines Managers, der die vergangenen zwei Jahre digitale Produkte und Prozesse in seinem Unternehmen auf die DSGVO vorbereitet hat. Seine Erfahrungen zeigen, wie man einer solchen Verantwortung Herr wird, was die Verordnung wirklich bedeutet (und was eben nicht) und was Kleinunternehmen tun können, die keine Rechtsabteilung zur Verfügung haben.

Doktor Klaus Kuenen ist Digitalisierungsexperte, regelmäßiger Interviewpartner für Analysen bei iBusiness.de und Autor des Buches Disruptive Innovationen aus designwissenschaftlicher Perspektive   über Change-Management und Auswirkungen von Disruptionen auf die Unternehmenskultur.

"Schau, hab da doch mal ein Auge drauf!"

Es ist zwei Jahre her und Klaus Kuenen war in seinem Unternehmen für Marktentwicklung und Pilotierung im Bereich Dialogmarketing verantwortlich. Der Bereich erlebte gerade seine firmeninterne Digitalisierung. Und zu diesem Zeitpunkt kam bei ihm das Thema Datenschutzgrundverordnung erstmals auf den Tisch: 'Was Neues mit EU-Datenschutz - hab da mal bitte ein Auge drauf'. Kuenen rief einen Kollegen in Brüssel an und bat um eine Einschätzung. "Nach dem, was er mir erzählte, merkte ich, dass es gravierende Auswirkungen auf alle Geschäfte haben musste, bei denen personenbezogene Daten im Spiel sind."

Die Aufmerksamkeit für das Thema rutschte prompt eine Ebene höher, nachdem er den Vorgesetzten seine Einschätzung mitgeteilt hatte. Nun galt es, alle Abteilungen und Projekte, die eventuell betroffen sein könnten, auf die Auswirkungen vorzubereiten: die Adressgenerierung, das Dialog- und Direktmarketing und andere.

Das war Anfang 2016 - die DSGVO war zu diesem Zeitpunkt gerade beschlossen worden und noch weniger Genaues abzusehen als heute, nur eines war klar: "Es würde massive Veränderungen zur Folge haben", sagte Kuenen, "Doch um ein Gespür zu bekommen, was genau passieren würde, musste ich mich erstmal einarbeiten in dieses juristische Thema: Die Verordnung hat 99 Paragrafen und etwa 173 'Erwägungsgründe' - und die waren das eigentlich Faszinierende." Erwägungsgründe sind eine Art erklärende Randbemerkung zu den eigentlichen Paragrafen in Rechtstexten. Sie sollen vermitteln, was das Gesetz will und was zu seiner Formulierung führte. "Hier konnte man sich einlesen und ein Gespür bekommen, wohin dieses Gesamtwerk eigentlich will - was das Ziel der Verordnung ist."

Die Philosophie hinter der DSGVO ist eine eher angelsächsische, sagt Kuenen: "Es geht nicht darum, alle Details allgemeingültig zu regeln - das ist eher deutsch: Bei uns werden Unklarheiten durch Gerichtsurteile beseitigt. Im Angelsächsischen setzt man eher auf außergerichtliche Einigungen." Daher ist die Verordnung nicht so konkret wie sich das ein deutscher Justiziar wünschen würde. Eine konkrete Vorbereitung erwies sich also als schwer. "Doch was man herauslesen konnte war der Grundgedanke. Die Verordnung sagte: 'Wenn ich mich online bewege, erzeuge ich, der Nutzer, Daten. Wenn Du diese Daten verwenden willst, lieber Werbetreibende, dann frag mich vorher.'"

Die Verordnung lasse dabei nicht die Interessen der Advertiser aus, die Daten benötigen, um ihren Kunden Angebote zu machen: "Horrorszenarien wie eine Pflicht zur Abfrage und Nutzer-Genehmigung jedes einzelnen von 49 Cookies lassen sich da zwar heraus lesen, aber sind eigentlich nicht Intention des Gesetzes." Aber die Verordnung verriet, dass ECommerce-treibende Unternehmen bald auf eine Reihe von Fragen passende Antworten parat haben sollten, erinnert sich Kuenen:

• Wie sollte eine Einverständniserklärung aussehen, die der Nutzer auf der Webseite bekommt? Wie löst man das vor dem Hintergrund, dass die Verordnung hier keine klare Antwort liefert?
• Wenn die Verordnung sagt: Man kann per Banner eine Einwilligung abholen - wäre es dann nicht klug, Designs dafür vorbereiten zu lassen? Müssen die kompletten AGBs in die Banner?
• Wenn ja: Wie soll das gehen? Kann man einen Link setzen?
• Sollte man nicht optimalerweise für Fragen, die man nicht beantworten kann, eine Lösung parat haben, die ein Anwalt mitformuliert hat - so stiege die Wahrscheinlichkeit, dass der vorbereitete Weg anerkannt wird.

Aufgezogen wurde das Ganze dabei nicht als ein Querschnittsprojekt durch die Abteilungen, was die naheliegende Herangehensweise für ein kleines oder mittelständisches Unternehmen wäre, klassisch definiert durch einen Starttermin und ein Ende. "Wir hatten eine konzerninterne Datenschutzabteilung. Die steht mit ihrem Knowhow und den Schnittstellen über allem - sie fungiert dann als Ansprechpartner und kann bei Problemen genutzt werden." In einem KMU dagegen "benötigt ein derartiges Projekt unbedingt die Top-Level-Freigabe, also das 'Go' vom CEO."

Die erste Panik oder: Wie kriegt man die Verordnung ins Unternehmen?

Anfang 2017 habe es dann die ersten Panikanfälle gegeben: "Da hatten alle mal in die Thematik hineingeschnuppert, ein Fragezeichen auf der Stirn und die Angst, dass man 'da ja gleich das Geschäft dicht machen könne, wenn das alles so kommt!'", erinnert sich Kuenen. Das sei dann aber auch wieder vorbei gegangen, als man erstmal Ansätze und Szenarien erarbeitet habe, um mit den Problemen umzugehen, die sich stellen.

Für die Motivation der Mitarbeiter, sich mit der nicht unbedingt vergnügungssteuerpflichtigen Materie auseinanderzusetzen, führte Kuenen dem Team vor Augen, dass ein Verstoß der Firma gegen das Gesetz so weh tun kann, dass es die Firma in Schräglage bringen kann: "Bis zu 20 Millionen oder vier Prozent vom weltweiten Vorjahresumsatz sind als Strafe möglich, kommt drauf an, welcher Betrag höher ist - das kann schon dazu führen, dass Jobs in Gefahr sind. Und dann kann man auch den Menschen klar machen: Wenn wir das Problem mit der Verordnung lösen, dann sichern wir nicht nur unser Business, sondern auch unsere Jobs."

Im weiteren Verlauf habe man dann stets auf einen einheitlichen Wissensstand geachtet:

• Alle Mitarbeiter sollten wissen, dass die ganze Firma an der Lösung des Problems arbeitet
• Sobald sich etwas getan hat - etwa ein neues Design vorlag - wurde die Info von oben nach unten durchgereicht.

Dank der relativ langen Zeitspanne, die das Unternehmen zur Umsetzung der DSGVO hatte - schließlich hatte man sehr früh begonnen, sich damit zu befassen - konnte man auf Krisensitzungen und eigene Jours fixes verzichten: "Die ganze Kommunikation über das Projekt lief innerhalb der bestehenden Kommunikationsstrukturen ab", sagt Kuenen.

Wasserfall statt Agilität: Von den Freuden der altbackenen Umsetzung

War klar, wie ein gewisses Design künftig aussehen würde, wie die DSGVO einen bestimmten Prozess verändern würde, so setzte man bei der Umsetzung nicht auf agile Methoden, sondern fuhr ganz klassich den Wasserfall stromabwärts, sagt Kuenen: "Als es an die Eingriffe in die laufenden Prozesse ging, setzte die IT Tools und Prozesse auf, um ein Qualitätsmanagement zu gewährleisten - das war dann aber klassische, nicht-agile Wasserfallarbeit: Wenn man Schritt für Schritt die Kaskaden runtergeht, dann nimmt man alle mit, das Controlling beispielsweise, und muss niemandem hinterherrennen." Grundsätzlich sei es üblich, agile Projekte und Arbeitsteams immer in das stabile Korsett einer Kaskade einzubinden: "Agile Ansätze sind weit verbreitet, haben Untersuchungen gezeigt, aber man findet sie praktisch immer innerhalb eines Kaskadenmodells."

Aktuell ist das Unternehmen gut aufgestellt, der nächste Schritt laute, sich mit der neuesten Fassung der EPrivacy-Richtlinie auseinanderzusetzen, so Kuenen: Die sei für das Setzen von Cookies maßgeblich - und anhand ihrer lasse sich absehen, was jetzt noch auf Firmen zukommen wird. "Man kann nur mit Annahmen arbeiten - und so gut es geht Vorbereitungen treffen", sagt Kuenen. Neulich habe das Unternehmen ein Datenschutzsiegel erworben - das für seine hohen Maßstäbe bekannte Adcert  . "Wir haben das Audit bestanden - das hat alle Projektverantwortlichen für die DSGVO doch sehr entspannt für die Zukunft."

Was kleine Firmen tun können

Nun hat nicht jedes Unternehmen eine Rechtsabteilung und genug Kapazitäten zur Verfügung, mal eben eine eigene Taskforce abzustellen. Kleine Unternehmen müssen also im Umgang mit Change effizienter arbeiten: "Man könnte in einem kleinen Unternehmen die Dienste eines Beraters einkaufen, um erstmal abzusehen, was genau die Veränderung für Folgen haben wird", sagt Klaus Kuenen. Je nachdem, was herauskommt, muss man dann einen Anwalt konsultieren - und dabei hängt es dann stark davon ab, wie genau das datengestützte Geschäftsmodell strukturiert ist.

• "Werden in verschiedenen Abteilungen Daten gesammelt und dann geteilt und zusammengeführt, ist es aufwändiger die Verordnung umzusetzen: Da ist man dann eventuell gut beraten, einen Justiziar anzuheuern", sagt Kuenen
• Bekommt man die wichtigsten Weichenstellungen intern hin, kann man auf einen geschulten Mitarbeiter verzichten. "Einen externen Anwalt sollte man wirklich nur für die Details anheuern: Es gibt wenige kompetente Fachleute - und die haben dann auch einen entsprechenden Tagessatz."

Das ist eine grundsätzliche Herangehensweise für das Handhaben von Change: Je tiefer eine Disruption - beispielsweise eine juristische wie die DSGVO - in Geschäftsmodell und Organisation eingreift, desto länger muss der zeitliche Vorlauf sein - wenn man denn Zeit hat. Sonst muss man sich umso öfter treffen oder umso mehr Mitarbeiter an die Change-Aufgabe setzen - und dabei obendrein noch Expertise für den Change-Prozess einkaufen (indem man externen Sachverstand hereinholt).