2026 - heute: Datengovernance, rechtskonforme Maschinendatennutzung, Datenplattformen

Kunde: Int. Fertigungsunternehmen (Maschinenbau, Fahrzeugbau)

Aufgaben:

• Compliance Begleitung des Aufbaus einer int. vereinheitlichten Datennutzungsplattform auf Basis Databricks.
• Schaffung der Voraussetzung für die rechtskonforme und effektive Maschinendatennutzung, u.a.:
  • Technisch: Gap-Analyse und Schließen von Lücken in der Segmentierung und Pflege der erhobenen Maschinendaten.
  • Technisch: Berücksichtigung von Datenausleitungen aus der Plattform an Nutzer und Dritte.
  • Organisatorisch: Entwurf und Abschluss der erforderlichen Datennutzungsverträge.
• Regulierungen:
  • Data Act

---

2021 - heute: Betriebsvereinbarungen, IT-Audit, KI-Governance

Kunde: Globales Healthcare Unternehmen

Aufgaben:

• Architekt des neuen, strukturierten Verhandlungsprozesses für digitale Vorhaben mit Mitbestimmungsbezug, Reduktion zeitaufwändiger Vorababstimmungen zwischen Arbeitgeber und Betriebsrat, Verbesserung der abteilungsübergreifenden Zusammenarbeit, signifikante Verkürzung der Verhandlungszyklen -> Verdoppelung der Projektgenehmigungsgeschwindigkeit.
• Architekt des ersten risikogesteuerten Prozesses zur Einwertung und anschließenden abgestuften Einführung von KI-Anwendungen.
• Merkmalsgetriebene KI Anwendungsinventarisierung und Beurteilung von KI Use Cases unter den Aspekten Datenschutz, KI-Regulierung und Mitbestimmung.
  • Ausgewählte Themen: ATS, Compliance Investigations, Mitarbeiterbewertung u.v.w.m.
  • Beurteilung der Notwendigkeit von DSFAs, FRIAs und vertraglicher Anbindung der Anbieter.
• KI-Lieferantenaudits im Hinblick Modell, Datenherkunft, Training, Verzerrung, Absicherung, datenschutzrechtliche Eignung sowie sonstige Garantien (v.a. IP-Schutz).
• Überprüfung des AI-Governance-Rahmens (Dokumentenpyramide) im Hinblick auf Risiken für Arbeitnehmerrechte (Überprüfungsstruktur ausgerichtet an Abschnitt 4 8 der ISO 42001) und Haftungsregelungen.
• Verhandlung von mehr als 20 Betriebsratsvereinbarungen zu KI, Plattformdiensten, Informationssicherheit und HR-Tools (insb. zur Leistungsbewertung); Einhaltung gesetzlicher Vorschriften bei gleichzeitiger Wahrung der betrieblichen Flexibilität.
• Regulierungen:
  • DSGVO, KI-VO, BetrVG, Arbeitsrecht

---

2017 - 2026: Datenschutz, IT-Sicherheit (2nd line of defense), IT-Audit, IT-Compliance, IT-Risikomanagement

Kunde: Internationale Bankengruppe

Aufgaben:

• Analyse & Bewertung von spezifischen Apps (v.a. M365) und ihres Anbieter-/ Nutzerverhältnisses im Auftrag der 2nd line (of defense) und im Lichte von Datenschutz, Informationssicherheit, AGB, DORA. Begleitung des M365 Piloteinsatzes.
• Analyse & Bewertung von spezifischen VideoIdent-Lösungen im Auftrag der 2nd line und im Lichte von Datenschutz, Informationssicherheit, AGB und GWG.
• Analyse & Bewertung von spezifischen Lösungen der digitalen Signatur im Auftrag der 2nd line und im Lichte von Datenschutz, Informationssicherheit, AGB und eIDAS.
• Durchführung struktureller Audits im Auftrag der 2nd line des implementierten ISO 27001 ISMS (Schutzbedarf der IT-Assets, Gap-Analysen, Risikoanalysen).Tools: OneTrust, Schleupen R2C.
• Überarbeitung der Beschaffungsablaufs für IT-Produkte und IT-Dienstleistungen unter dem Gesichtspunkt der Informationssicherheit, Konzeption eines gestrafften Prozesses/ spezifischer Vorgaben im Auftrag der 2nd line; akzeptierter Roll-Out einer neuen abgestimmten Beschaffungsrichtlinie, Aufnahme relevanter Klauseln in die Unternehmens-AGB unter Einbeziehung künftiger gesetzlicher Anforderungen (v.a DORA).
• Unterstützung der 1st line of defense bei wiederkehrenden Asset-Einwertungen.
• Analyse der technischen Ausstattung verschiedener Cloud-Dienste im Hinblick auf die Compliance: Microsoft O365, SAP auf Hyperscalern.
• Weiterentwicklung des bestehenden Rahmens zur Konformität mit der EU-DSGVO.
• Unterstützung des projektleitenden Syndikusanwalt in alle datenschutzrechtlichen Belangen.
• Entwicklung und erfolgreiche Einführung einer halb-automatisierten Vorlage zur Einschätzung von Datenschutzrisiken von Verarbeitungstätigkeiten. Durchführung von Datenschutz-Folgenabschätzungen und Transfer Impact Assessments bei Datenübermittlungen in unsichere Drittländer.
• Entwicklung und Implementierung eines ISO 19600-orientierten Datenschutzmanagementsystems (DSMS) -> Erreichung einer 90%-prozentigen Konformitätsquote zum ersten Tag der Anwendbarkeit der DSGVO.
• Stellung des betrieblichen Datenschutzbeauftragten für eine Tochtergesellschaft.
• Regulierungen:
  • ?KWG, GWG, MaRisk, eIDAS, BAIT, DORA, DSGVO, ISO 27001

---

2021 - 02/2025: Datenschutz, IT-Compliance, IT-Audit, IT-Risikomanagement

Kunde: Int. Bankengruppe

Aufgaben:

• Leitung eines 18-monatigen unternehmensweiten GDPR-Compliance-Audits, bei dem mehrere Lücken mit hohem und mittlerem Risiko identifiziert wurden; Umsetzung von Abhilfemaßnahmen, die das regulatorische Risiko auf 0 reduzierten. Einhaltung des Zeit- und Budgetrahmens mit vollständiger positiver Abschlussfreigabe.
• Entwurf und Einführung eines einheitlichen Datenschutz-Kontrollrahmens -> deutliche Reduktion der Reaktionszeit in Audits und Betroffenenanfragen.
• Überarbeitung des kompletten CMS im Hinblick auf Akzeptanz und Wirksamkeit, vollständige Übersetzung in die englische Sprache.
• Durchführung von komplexen Datenschutz-Folgenabschätzungen (DSFA).
• Regulierungen:
  • DSGVO, BDSG

---

2023 - 2024: Datenschutz, IT-Risikomanagement, Organisationsentwicklung

Kunde: Nationaler Energieversorger

Aufgaben:

• Aufbau eines organisationsweiten Datenschutzmanagementsystems (organisatorisch und technisch); Aufbau eines Vertrauensnetzwerks zwischen den Konzernunternehmen, wodurch schon im ersten Jahr (erster Durchlauf des Deming-Zyklus) eine hohe Akzeptanz und Einhaltungsquote erreicht wurde.
• Implementierung von OneTrust als zentrales Datenschutzmanagement-Tool, Vereinheitlichung der Datenschutzkontrollen in allen Tochtergesellschaften und Reduzierung des manuellen Berichtswesens um 50 %.
• Regulierungen:
  • DSGVO, KRITIS

---

2022 - 2024: Datenschutz, IT-Sicherheit, IT-Risikomanagement, Organisationsentwicklung, digitale Transformation

Kunde: Int. Konzern des Maschinenbaus (Fahrzeugfertigung, Schwermaschinenbau)

Aufgaben:

• Personelle und inhaltliche Neustrukturierung der IT-Funktion und Verzahnung des IT-Betriebs (Netze, Arbeitsplatz, SAP) mit der neu geschaffenen IT-GRC-Funktion.
• Aufhalten der Kündigung von Schlüsselpersonal (2 FTE), Personalanpassung (1 FTE).
• Aufbau und Skalierung einer unternehmensweiten IT-GRC-Funktion, Einstellung und Schulung eines 4-köpfigen Teams und Reduzierung der Compliance-Lücken um 70 % innerhalb der Laufzeit: Gewährleistung SOX-Compliance, Lizenzcompliance und Erhöhung IT-Sicherheit um 80% zum Zustand davor.
• Integration der deutschen IT-GRC-Einheit in die nationale Organisation. Anflanschung der deutschen GRC-Einheit an die int. Mutterorganisation. Einrichtung von permanenten Austauschgremien und Erhöhung der Sichtbarkeit der Interessen der deutschen Niederlassung um 100%.
• Leitung der Einführung von Microsoft 365 (M365) in allen EU-/internationalen Niederlassungen, Verhandlung von Unternehmensverträgen und Ergänzung von Betriebsratsvereinbarungen.
• Strukturierte Analyse zur Feststellung NIS-2 Betroffenheit. Schulung der Führungskräfte zu sich ergebenden Pflichten.
• Einführung von ISO 27001 ISMS, Vorbereitung der Organisation auf NIS-2-Compliance und Reduzierung des 3rd Party Risks. Abstimmung mit Deckung durch bestehende Cyber Risk Insurance Police.
• Datenschutzrechtliche Begleitung der dann erfolgreichen Neueinführung eines HR-Management-Systems (Zulässigkeit, Privacy by Design, Vertragsmanagement) sowie des daran angeschlossenen Zeiterfassungssystems.
• Verhandlung von mehr als 10 Betriebsratsvereinbarungen zu Plattformdiensten und HR-Tools
• Einhaltung gesetzlicher Vorschriften bei gleichzeitiger Wahrung der betrieblichen Flexibilität
• Regulierungen:
  • DSGVO, NIS-2, SOX, BetrVG, ISO 27001, TISAX

---

2018 - 2020: Datenschutz, IT-Sicherheit, IT-Risikomanagement, Organisationsentwicklung

Kunde: Globales Healthcare Unternehmen

Aufgaben:

• Nationaler Datenschutzbeauftragter aller deutschen Gesellschaften.
• Konzerndatenschutzbeauftragter.
• Entwicklung einer konzernweiten Datenschutzorganisation und Aufbau eines globalen Datenschutznetzwerks.
• Förderung einer Compliance-Kultur, die sich in der konformen Bearbeitung von zuvor nicht einheitlich verwalteten Betroffenenanfragen und Datenlöschungsaufforderungen widerspiegelt.
• Steigerung der Einhaltung gesetzlicher Fristen um 100%.
• Durchführung von Datenschutzrisikoanalysen und Datenschutz-Folgenabschätzungen für eine Reihe von Großanwendungen (Health Care Plattform, SAP Concur, SAP SuccessFactors, Online Bewerbungsplattform).
• Mitwirkung an der Nachbesetzung des Konzerndatenschutzbeauftragten.
• Abwendung von erheblichen Bußgeldern in zwei IT-Großprojekten durch frühzeitiges Risikomanagement und Aufzeigen von Alternativwegen zur Erreichen des Projektziels.
• Regulierungen:
  • DSGVO

---

2016 - 2017: Datenschutz, IT-Sicherheit, IT-Risikomanagement, Organisationsentwicklung

Kunde: Globales Healthcare Unternehmen

Aufgaben:

• Nationaler Datenschutzbeauftragter aller deutschen Gesellschaften.
• Konzerndatenschutzbeauftragter.
• Entwicklung einer konzernweiten Datenschutzorganisation und Aufbau eines globalen Datenschutznetzwerks.
• Förderung einer Compliance-Kultur, die sich in der konformen Bearbeitung von zuvor nicht einheitlich verwalteten Betroffenenanfragen und Datenlöschungsaufforderungen widerspiegelt.
• Steigerung der Einhaltung gesetzlicher Fristen um 100%.
• Durchführung von Datenschutzrisikoanalysen und Datenschutz-Folgenabschätzungen für eine Reihe von Großanwendungen (Health Care Plattform, SAP Concur, SAP SuccessFactors, Online Bewerbungsplattform).
• Mitwirkung an der Nachbesetzung des Konzerndatenschutzbeauftragten.
• Abwendung von erheblichen Bußgeldern in zwei IT-Großprojekten durch frühzeitiges Risikomanagement und Aufzeigen von Alternativwegen zur Erreichen des Projektziels.
• Regulierungen:
  • DSGVO

---

2008 - 2014: Datenschutz, IT-Sicherheit, IT-Audit, IT-Risikomanagement, Organisationsentwicklung

Kunde: Globales B2B Handelsunternehmen (Großhandel, Spezialprodukte)

Aufgaben:

• Vorsitzender einer internationalen Datenschutzorganisation in 8 Ländern, Anpassung lokal unterschiedlicher Vorgehensweisen an EU-Standards und deutliche Reduktion grenzüberschreitender Compliance-Risiken.
• Aufbau der IT-Audit-Abteilung im Bereich Konzernrevision / Festlegen des jährlichen Prüfprogramms.
• Leitung der Prüfung: Cut-Over zu SAP ERP 6.0 Global (keine Beanstandungen in JA-Prüfung).
• Management komplexer grenzüberschreitender IT-Prüfungen.
• Verfassen zielgruppengerechter Audit-Berichte (C-Level, IT, Rechnungswesen, Steuer).
• Follow-Up Management.
• Ausbildung einer klassischen Revisorin zur IT-Prüferin inkl. CISA Abschluss.
• Regulierungen:
  • DSGVO, HGB

---

1998 - 2005: IT-Sicherheit, IT-Audit, IT-Risikomanagement, Datenschutz, Organisationsentwicklung

Kunde: Namhaftes Beratungshaus für IT-Sicherheit

Aufgaben:

• Partner für IT-Sicherheitsberatung.
• Abteilungsleiter für IT-Sicherheitsaudits und Prozessmanagement.
• Entwicklung von Beratungsprodukten (Beratungspaketen) im Fachgebiet.
• Portfolio verschiedener Analysedienstleistungen: Geschäftsprozesse, Informationswert, Schutzbedarf, Risiken, Schwachstellen, Auswirkungen.
• Quantifizierung von IT-Risiken.
• Beratung bei der Implementierung von Informationssicherheits-Managementsystemen (ISMS).
• IT-Sicherheitsaudits einschließlich Penetrationstests.
• SAP-Sicherheitsberatung.
• Regulierungen:
  • AktG, BDSG, GmbHG