Unterstützt Ihr Datenschutzprogramm Ihre ESG-Bemühungen?

Philipp Rosenauer
Partner Legal, PwC Schweiz

Antonios Koumbarakis
Head Sustainability & Strategic Regulatory, PwC Schweiz

Die Agenda im Hinblick auf die Bereiche Umwelt, Soziales und Governance (ESG) hat in den letzten Jahren deutlich an Dynamik gewonnen. Weltweit konzentrieren sich Unternehmen auf die Einhaltung der verschiedenen Bestimmungen. Wenn es um ESG geht, sind jedoch die ersten Themen, die einem in den Sinn kommen, die Senkung von CO2-Emissionen, die Entwicklung des Humankapitals und die Geschäftsethik. Es reicht aber beispielsweise nicht aus, von Papier auf digitale Medien umzustellen, um die Umweltauswirkungen zu reduzieren.

Überblick

Häufig wird vergessen, dass Aufsichtsbehörden sich auch auf den Datenschutz und die Datensicherheit als wesentliche ESG-Themen konzentrieren. Künftig werden Unternehmen anhand zahlreicher, sich entwickelnder Kennzahlen beurteilt werden. Beispiele hierfür sind unter anderem die Wahrscheinlichkeit von Sicherheitsvorfällen wie Datenschutzverletzungen oder das von einem Unternehmen erfasste Volumen der personenbezogenen Daten.

Da all diese Bemühungen auf Unternehmensinitiativen ausgerichtet sind, die günstige soziale Ergebnisse erzielen sollen, ist dies ein guter Zeitpunkt für eine nähere Betrachtung, wie das Thema Datenschutz die ESG-Agenda unterstützen kann. Beim Datenschutz geht es um mehr als nur die Einhaltung massgeblicher Gesetze und Bestimmungen sowie die Risikominderung. Im Datenschutz führende Unternehmen können massgeblich dazu beitragen, ihren positiven Einfluss auf die Gesellschaft zu verdeutlichen.

Aber können Datenschutzprogramme auch das ESG-Rating verbessern?

Datenschutz im ESG-Bereich aufspüren

Es gibt viele ESG-Rahmen und -Modelle, bei einigen von ihnen ist der Datenschutz jedoch kaum abgedeckt. Trotz der grundlegenden Bedeutung personenbezogener Daten bei der Förderung positiver sozialer Ergebnisse taucht der Begriff «Datenschutz» nirgends auf. Auf Datenschutz und Datensicherheit wird bei wenigen führenden Fremderzeugnissen direkt hingewiesen. Der von Ihrem Unternehmen ausgewählte ESG-Standard entscheidet darüber, ob das Datenschutzergebnis direkt oder indirekt zu höheren ESG-Ratings beiträgt.

Für viele Unternehmen ist die Komponente Governance der einfachste Ausgangspunkt. Aufgrund der zunehmenden Bedeutung von Mitarbeiter- und Verbraucherdaten für Unternehmen in allen Branchen ist das Aufzeigen der wirksamen Governance von Datenschutzprogrammen nun eine Aufgabe der Geschäftsleitung. Es ist leicht vorstellbar, dass eines Tages formelle Bescheinigungen von Datenschutzprogrammen oder die Einführung verbindlicher Unternehmensvorschriften – in deren Rahmen die Geschäftsleitung unmittelbar für die Leistung der Datenschutzprogramme verantwortlich ist – zur Governance-Komponente der ESG-Wertungen beitragen.

Je nach Branche und Geschäftsmodell eines Unternehmens könnten die Ergebnisse im Bereich Datenschutz auch die Wertungen in der Komponente Soziales verbessern. Für die Implementierung von datenintensiven Technologien und künstlicher Intelligenz benötigen Unternehmen Programme für Datenschutz und Datenethik, die nicht nur darauf ausgelegt sind, die regulatorische Compliance zu gewährleisten. Sie müssen mittels ihrer Produkte und Dienstleistungen auch positive soziale Ergebnisse erzielen, wie etwa den Abbau von Ungleichheiten zwischen Geschlechtern sowie ethnischen und sozioökonomischen Gruppen.

Souveränität im Hinblick auf personenbezogene Daten

Der Beitrag eines Datenschutzprogramms kann auch durch Quantifizierung seiner Leistung in puncto Souveränität bei personenbezogenen Daten gemessen werden. Hierbei handelt es sich um die Fähigkeit von Personen, ihre personenbezogenen Daten zu kontrollieren. Warum ist das für ESG-Zwecke wichtig?

Zunächst einmal ist dies für eine verantwortungsvolle Governance grundsätzlich erforderlich. Mit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) der EU wurde das Recht eingeräumt, auf die eigenen personenbezogenen Daten zuzugreifen und diese zu löschen. Vor allem aber müssen insbesondere benachteiligte Personen in einer datengesteuerten Wirtschaft wissen, wie die Daten verwendet werden, um Entscheidungen darüber zu treffen, und wie sie darauf Einfluss nehmen können. Die Souveränität im Hinblick auf die personenbezogenen Daten kann – auch wenn sie durch unsere Fähigkeit, komplexe Datenökosysteme zu verstehen, noch eingeschränkt ist – Personen in die Lage versetzen, ihr volles Potenzial auszuschöpfen.

Aus Sicht des Datenschutzprogramms bedeutet dies dreierlei:

Allgemeine Abdeckung grundlegender Datenschutzrechte im Hinblick auf Zugang, Korrektur und Löschung,
Ermutigung zur Mitwirkung und Ausübung dieser Rechte und
Verwendung effektiver Methoden der Pseudonymisierung, damit Daten in einer tripolaren Datenschutzwelt mit zunehmender Datenlokalisierung und -beschränkung zur Schaffung sozialer Güter eingesetzt werden können.

Die ESG-Agenda könnte beispielsweise auch durch eine Zentralisierungstechnologie in der Cloud zur Senkung der Kosten für physische Serverräume oder die Förderung der Datenminimierung und die Reduzierung des Datenfussabdrucks unterstützt werden. Diese Massnahmen haben langfristige Auswirkungen auf die Umwelt: Wird der Datenspeicherbedarf gesenkt, reduziert sich auch der benötigte Speicherplatz auf dem Server und die für die Datenspeicherung erforderliche Energie.

So können sich Chief Privacy Officer in das ESG-Programm ihrer Unternehmen einbringen.

Ausblick für Datenschutzstrategien

Die meisten Unternehmen sind mit De-facto-Datenschutzstrategien zur Gewährleistung der Compliance und Risikominderung in das Jahrhundert gestartet. Die zunehmenden und vielfältigen Datenschutzgesetze weltweit sowie die beschleunigte Einführung neuer Technologien und Datenanalytik führten dazu, dass die Erfüllung dieser Strategien eine Herausforderung für sich darstellt.

Die weltweit immer lauter werdende Forderung der Öffentlichkeit nach einer sozial verantwortlichen Unternehmensführung hat eine dritte strategische Notwendigkeit für Datenschutzprogramme mit sich gebracht: das Vertrauen. In Verbindung mit ihren ESG-Initiativen können führende Unternehmen im Datenschutz aufzeigen, wie ihre Programme die verantwortliche Nutzung von Daten und Technologie ermöglichen, um nachhaltig Mehrwert zu schaffen.

Ausserdem betrachten Anleger den Datenschutz immer häufiger als einen Indikator für den ESG-Ansatz eines Unternehmens. Aktionäre sind auch am ethischen Wachstum eines Unternehmens interessiert.

Denken Sie daran, dass Datenschutz nicht verhandelbar ist. In Artikel 12 der Allgemeinen Erklärung der Menschenrechte haben die Vereinten Nationen den Datenschutz bereits als grundlegendes Menschenrecht erachtet. Unternehmen tragen nun mehr denn je eine soziale Verantwortung, personenbezogene Daten mit Respekt zu behandeln. Es ist daher zwischen der Reputation des Unternehmens und dem Gewinn infolge der Nutzung von Daten, die von Dritten erhoben wurden, abzuwägen. Um das verloren gegangene Vertrauen in den Datenschutz wiederherzustellen, muss Datenschutz als sozialer Wert positioniert werden.

Für weitere Informationen dazu, wie Sie das Thema Datenschutz am besten in Ihr ESG-Programm integrieren können, wenden Sie sich bitte an einen unserer Experten.