Wenn traditionelle Systeme auf Datenschutz treffen: Branchen außerhalb der Digitalisierung kämpfen mit Datenverwaltung und Einwilligung

Trotz des weltweiten Wachstums von Datenschutzgesetzen in den USA hinken viele Unternehmen – insbesondere solche außerhalb des digitalen Technologiesektors – noch hinterher. Ein aktueller Bericht zeigt, dass weniger als die Hälfte der US-amerikanischen Organisationen die grundlegendsten Schritte zur Einhaltung der staatlichen Datenschutzgesetze unternommen hat. Branchen wie die Fertigungsindustrie, die Landwirtschaft, das Baugewerbe und das Bildungswesen, die sich traditionell eher auf physische Infrastruktur und materielle Abläufe als auf personenbezogene Daten konzentrierten, verarbeiten nun zunehmend sensible Informationen – verfügen aber oft nicht über die Systeme, Richtlinien und die Unternehmenskultur, die für einen robusten Datenschutz und ein effektives Einwilligungsmanagement erforderlich sind.

Organisationen, die an traditionellen Praktiken festhalten, verlassen sich häufig auf veraltete und unflexible Infrastrukturen. Daten wie Mitarbeiterakten, Lieferanteninformationen oder Kundendaten befinden sich in fragmentierten Speichern: physischen Papierakten, isolierten Datenbanken oder jahrzehntealten Legacy-Systemen. Diesen Systemen fehlen typischerweise integrierte Funktionen zur Datenbereinigung, Auditierbarkeit oder rechtssichere Methoden zur Datenlöschung. Sichere Löschprotokolle fehlen oft oder werden uneinheitlich angewendet, wodurch Organisationen anfällig für regulatorische Eingriffe oder Datenschutzverletzungen werden. Studien zeigen jedoch, dass selbst in Branchen mit bestehenden Richtlinien zur Datenbereinigung nur 62 % der Meinung sind, dass diese Richtlinien in ihren Betrieben ausreichend kommuniziert werden.

Auch wenn diese traditionellen Branchen Schritte in die digitale Welt unternehmen – sei es durch die Einführung von Websites oder grundlegende digitale Marketingmaßnahmen –, sind sie unzureichend vorbereitet und über ihre rechtlichen und regulatorischen Verpflichtungen in Bezug auf Datenschutz, Datensicherheit, Cookies, Einwilligung und Compliance nicht ausreichend informiert.

Fertigungsunternehmen, die wohl typischsten Vertreter nicht-digitaler Branchen, geraten zunehmend ins Visier von Cyberkriminellen. Einem Bericht aus dem Jahr 2023 zufolge entfielen über 25 % aller Cyberangriffe weltweit auf die Fertigungsindustrie – sie ist damit die am häufigsten angegriffene Branche. Allein im Jahr 2022 betrafen über 130 Datenschutzverletzungen Fertigungsunternehmen und legten 38 Millionen Datensätze offen.

Angesichts dieser Datenunsicherheit ist Datenschutz praktisch unmöglich. Selbst grundlegende Cybersicherheitsmaßnahmen, wie die Entscheidung von Website-Besuchern über die Verwendung von Cookies, werden nicht ordnungsgemäß umgesetzt.

Anders als die DSGVO in Europa – ein umfassendes, einheitliches Rahmenwerk – sind die US-amerikanischen Datenschutzgesetze ein Flickenteppich aus einzelstaatlichen Gesetzen (wie dem CCPA) und branchenspezifischen Regelungen wie HIPAA oder COPPA. Viele traditionelle Branchen haben dadurch keinen einheitlichen Standard, an dem sie sich orientieren können.

Hinzu kommt, dass sich die Anforderungen rasant weiterentwickeln. In der EU führen Richtlinien wie NIS2 (Network Information Security 2) und DORA strenge Cybersicherheits-, Resilienz- und Meldepflichten für eine breite Palette von Branchen ein – darunter die Fertigungsindustrie, die Lebensmittelverarbeitung und die Energieversorgung. Nicht-digitale Unternehmen sind oft nicht ausreichend auf solch weitreichende Vorgaben vorbereitet. Ohne die grundlegendste Vorbereitung auf Cyberresilienz wird der Fokus auf Datenschutz und Einwilligungserfüllung vernachlässigt, trotz der finanziellen und Reputationsrisiken, die eine Nichteinhaltung mit sich bringen kann.

Neben Systemen und Vorschriften stoßen viele traditionelle Unternehmen auf kulturelle Trägheit. Prioritäten lagen historisch gesehen auf Produktionseffizienz oder veralteten operativen KPIs – nicht auf Datenschutz, Einholung von Einwilligungen oder digitale Risiken. Ohne einen Auslöser – wie etwa eine behördliche Untersuchung oder einen schwerwiegenden Datenverstoß – besteht wenig Bereitschaft, in Teams, Tools oder Prozesse zu investieren, um Datenschutz von Anfang an zu gewährleisten. Auch wenn es sich nur um Einzelfälle handelt, haben viele von uns in traditionellen Branchen gearbeitet, in denen selbst Rechts- und IT-Abteilungen angesichts der sich ständig ändernden Datenschutz- und Governance-Vorschriften auf der Stelle zu treten scheinen.

Obwohl diese Teams sowohl für die rechtliche als auch für die technische Umsetzung zuständig sind, kann ein erheblicher Teil des Widerstands auf dieser Ebene liegen. Ein Beispiel ist ein Infrastruktur-Bauunternehmen, das zaghafte Schritte im digitalen Marketing unternimmt. Zwar hatten die Websites endlich ihre Cookie-Richtlinien und Cookie-Einwilligungsbanner an die DSGVO angepasst, aber es gab keinen klaren Ansatz für das darüber hinausgehende Einwilligungsmanagement. Die Vertriebsteams, begeistert von den Möglichkeiten des digitalen Marketings, aber uninformiert über die DSGVO und die Einwilligung, bestanden darauf, Newsletter und E-Mail-Marketing zu versenden, ohne eine entsprechende Einwilligung eingeholt zu haben. Das Marketing argumentierte dagegen (gestützt auf Kenntnisse der DSGVO und die Tatsache, dass kein CRM-System existierte, das die Erfassung von Einwilligungen und Opt-ins ermöglichte), doch das IT-Team, dessen Vorgehensweise über ein Jahrzehnt alt war, stellte sich auf die Seite des Vertriebs, bis das Marketing einen Anwalt konsultierte, der dringend davon abriet. Dies verdeutlicht die Spannungen und den Tonfall der Auseinandersetzung – die größtenteils von gutmeinenden Personen angeheizt wurde, die noch nie in einem digital geprägten Umfeld gearbeitet haben.

Ob bei der Gründung eines neuen Unternehmens oder mit einer geringen digitalen Präsenz – traditionelle Branchen können mit wenigen wichtigen Schritten den richtigen Weg in Sachen Datenschutz und Einwilligung einschlagen:

Sorgen Sie dafür, dass alle Mitarbeitenden im Unternehmen für Datenschutz sensibilisiert und verantwortlich gemacht werden. Ob durch formale Schulungen oder durch die kontinuierliche Integration dieses Wissens in die interne Kommunikation – dies ist ein wichtiger Schritt, um Widerstände gegen Veränderungen abzubauen.

Datenschutz ist nicht nur ein Anliegen digitaler Konzerne. Auch die sogenannten „analogen“ Branchen – Produktionsbetriebe, Bildungseinrichtungen, Bauunternehmen, landwirtschaftliche Betriebe – erkennen die Realität: Auch sie speichern personenbezogene Daten, können Ziel von Cyberangriffen werden und müssen, sofern sie überhaupt digital präsent sind, die Datenschutzbestimmungen einhalten.

Der Weg in die Zukunft erfordert Investitionen – nicht nur in Technologie, sondern auch in Governance, Unternehmenskultur und Strategie. Indem sie datenbewusste Prozesse entwickeln und Datenschutz als Verantwortung und Chance begreifen, können traditionelle Branchen die ehemals lähmende Compliance-Pflicht in eine Grundlage für Vertrauen, Resilienz und Innovation verwandeln.

Ein praktischer Schritt für traditionelle Unternehmen ist die Einführung einer Consent-Management-Plattform (CMP). Diese Plattformen zentralisieren die Erfassung, Speicherung und Berücksichtigung individueller Einwilligungspräferenzen über Websites, Anwendungen und sogar Offline-Systeme hinweg.

Für Branchen mit fragmentierter, veralteter Infrastruktur bietet eine CMP eine zentrale Datenquelle und gewährleistet so, dass Einwilligungssignale unabhängig von der Datenherkunft konsequent berücksichtigt werden. Dies vereinfacht nicht nur die Einhaltung von Rahmenwerken wie DSGVO, CCPA und den verschiedenen US-Bundesstaatengesetzen, sondern schafft auch Vertrauen bei Mitarbeitern, Partnern und Kunden, die zunehmend Transparenz und Kontrolle über ihre personenbezogenen Daten erwarten. Durch die Integration einer CMP in bestehende Systeme können selbst Unternehmen, die nicht von Anfang an digital ausgerichtet sind, ihre Datenschutzpraktiken modernisieren, ohne ihre gesamte IT-Umgebung umstellen zu müssen.