Zuständigkeiten an Gruppen statt an Einzelpersonen

So läuft es heute in den meisten Unternehmen

Zuständigkeit bedeutet in den meisten Unternehmen: ein Name. Die Wiedervorlage für den Auftragsverarbeitungsvertrag mit dem Lohnabrechner steht bei Frau Becker aus der Personalabteilung. Die Aufgabe „Berechtigungskonzept Warenwirtschaft prüfen" steht bei Herrn Yilmaz aus dem IT-Betrieb. Die Auskunftsanfrage einer ehemaligen Bewerberin hat die Datenschutzkoordinatorin übernommen, weil sie gerade am Schreibtisch saß. Und das Risiko „Zugriff externer Dienstleister auf das Ticketsystem" hat eine Risikoeigentümerin, die es vor zwei Jahren eingetragen hat.

Das funktioniert, solange alle da sind. Im Alltag sind sie es nicht. Frau Becker ist drei Wochen im Urlaub, und die Erinnerung zum Vertrag landet in einem Postfach, das niemand liest. Herr Yilmaz ist krank, und die Aufgabe bleibt mit Fälligkeit „gestern" offen, obwohl zwei Kollegen sie in einer Stunde erledigen könnten. Niemand sieht sie, weil sie nicht bei ihnen steht.

Viele Unternehmen behelfen sich mit einem Funktionspostfach. Anfragen gehen an „datenschutz@", Benachrichtigungen ebenfalls, und vier Personen lesen mit. Das löst das Erreichbarkeitsproblem und schafft ein neues: Wer hat die Anfrage beantwortet? Wer hat entschieden, die Frist zu verlängern? Im Postfach steht nur, dass „datenschutz@" geantwortet hat. In der Dokumentation steht als Zuständige weiterhin die Person, die das Postfach eingerichtet hat.

Der dritte Behelf ist die Übergabeliste. Wenn jemand das Unternehmen verlässt, entsteht eine Datei wie „Übergabe_Becker_final.docx" mit allem, was diese Person verantwortet hat. Vollständig ist sie selten, denn niemand weiß aus dem Kopf, in welchen Wiedervorlagen, Löschregeln und Risikobewertungen der eigene Name steht.

In der Informationssicherheit sieht es nicht anders aus. Die Maßnahme „Patchmanagement für Server dokumentieren" ist einem Administrator zugewiesen, der Rest des IT-Betriebs erfährt davon erst in der Teambesprechung. Wer im Kalender nachsieht, findet eine Serienerinnerung im Postfach des Vorgängers, die seit seinem Wechsel in die Entwicklung ins Leere läuft. Jeder einzelne dieser Behelfe ist vernünftig. Zusammen ergeben sie eine Dokumentation, die Namen kennt, aber keine Teams.

Der Moment, in dem es auffällt

Auffällig wird das fast immer bei einem Personalwechsel. Die Datenschutzkoordinatorin kündigt, ihr Konto wird deaktiviert, und plötzlich fehlen an Dutzenden Stellen Zuständige. Oder es fällt im Audit auf: Die Prüferin fragt, wer die offene Maßnahme aus dem letzten Bericht verantwortet, und die Antwort lautet „die Kollegin, die nicht mehr bei uns ist".

In beiden Fällen war die Arbeit nie an eine Person gebunden. Gebunden war nur der Eintrag. Die Aufgabe gehörte von Anfang an einem Team, das in der Dokumentation nicht vorkam. Genau dieses Team fehlt in den meisten Werkzeugen als Zuständiger.

Der Soll-Prozess in sechs Schritten

Ein tragfähiges Zuständigkeitsmodell trennt zwei Fragen, die heute in einem Namen zusammenfallen: Welches Team ist für ein Thema zuständig, und wer gehört gerade zu diesem Team? Diese sechs Schritte beschreiben den Ablauf, unabhängig vom Werkzeug.

1. Zuständigkeiten nach Funktion schneiden. Ausgangspunkt ist nicht die Personalliste, sondern die Frage, welche Funktionen im Datenschutz und in der Informationssicherheit tatsächlich arbeiten: etwa ein Datenschutzteam, der IT-Betrieb, die Personalabteilung und die Informationssicherheit. Jede Funktion wird eine Gruppe.

2. Gruppen anlegen und Mitglieder pflegen. Jede Gruppe bekommt einen Namen, eine kurze Beschreibung und ihre Mitglieder. In preeco | datenschutz und preeco | informationssicherheit, die sich eine Plattform teilen, legt die Administration diese Zuständigkeitsgruppen unter Einstellungen → Benutzer und Rechte an. Bei mehreren Gesellschaften bekommt jede Gruppe zusätzlich ihre Zugehörigkeit zu Organisationen.

3. Gruppen dort zuweisen, wo ein Team zuständig ist. Im Feld „Zugewiesen an" stehen die Zuständigkeitsgruppen neben den einzelnen Benutzern, und beides lässt sich kombinieren: die Gruppe „Personalabteilung" plus die Datenschutzkoordinatorin. Das gilt für Aufgaben ebenso wie für Wiedervorlagen, Anfragen, Löschregeln, Risiken, Anforderungen im ISMS und Zuständigkeiten in Geschäftsprozessen.

4. Alle Mitglieder informieren. Wird eine Gruppe eingetragen, erhält jedes Mitglied die Benachrichtigung per E-Mail, und die Gruppenaufgaben erscheinen im Dashboard unter „Meine Aufgaben". Wer zuerst Zeit hat, übernimmt. Wer im Urlaub ist, fehlt nicht mehr als einziger Empfänger.

5. Nachvollziehbar arbeiten. Die Gruppe ersetzt kein Protokoll. Am Dokument halten die Aktivitäten fest, wer eine Aufgabe oder Anfrage tatsächlich bearbeitet hat. Damit bleibt der Nachweis, den ein Funktionspostfach nicht liefern kann.

6. Ein- und Austritte über die Mitgliedschaft regeln. Wer neu ins Team kommt, wird Mitglied und ist ab sofort für alle Einträge der Gruppe zuständig. Wer deaktiviert wird oder den Zugriff verliert, verlässt automatisch alle Zuständigkeitsgruppen. Und wird eine Gruppe selbst aufgelöst, verlangt das System einen Nachfolger, an den alle ihre Zuweisungen übergehen.

Wann eine Person die bessere Wahl bleibt

Gruppen sind kein Ersatz für persönliche Verantwortung. Eine Risikoeigentümerin, die eine Behandlungsentscheidung trifft, oder ein Datenschutzbeauftragter, der eine Stellungnahme abgibt, sollte namentlich eingetragen bleiben. Gruppen gehören dorthin, wo die Arbeit verteilt ist: wiederkehrende Prüfungen, eingehende Anfragen, Wiedervorlagen für Verträge und Löschfristen.

Bewährt hat sich die Kombination aus beidem. Die Gruppe sorgt dafür, dass ein Eintrag nie verwaist, die zusätzlich eingetragene Person dafür, dass im Audit eine konkrete Ansprechperson genannt werden kann.

Vorher und nachher im direkten Vergleich