DSGVO im Alltag der Architekten und Entwickler von Software

Die DSGVO hat die Herangehensweise in Softwareprojekten grundlegend verändert – sollte man zumindest meinen, nachdem man sich einen ersten Überblick über die Vorgaben verschafft hat. Vor allem die Cookie-Meldungen auf Webseiten erinnern uns ständig daran, dass Unternehmen und Behörden an ihren IT-Lösungen gearbeitet haben. Doch der Geist der DSGVO wollte mehr erreichen: ein grundsätzliches Bewusstsein um den Umgang mit personenbezogenen Daten. Und das sollte sich auf (fast) jedes Softwareprojekt auswirken.

Aber hat es das auch? Sind die Grundsätze bei Softwarearchitekten, Datenanalysten und Softwareentwicklern angekommen? Ist es bereits zu einer Gewohnheit geworden, Verfahrensverzeichnisse zu pflegen und die Lebensdauer eines Datensatzes zu definieren, der personenbezogene Informationen enthält?

Dieser Artikel richtet sich an alle Experten, die Software erstellen, pflegen und betreiben. Darüber hinaus versuche ich den Artikel auch für Nicht-ITler verständlich zu halten, denn gerade auch die Kollegen aus dem Marketing oder aus HR/Personal stellen an die IT regelmäßig Anforderungen, die die Verwendung von personenbezogenen Daten einschließen. Der Artikel soll helfen, sich und das eigene Team zu sensibilisieren und den Geist der Verordnung zu verstehen. So ist es möglich, die Verordnung in der täglichen Arbeit einzuhalten. Dann kann man bei der Umsetzung des Datenschutzes agieren – anstatt gezwungen zu werden, kurzfristig zu reagieren.

Das Auskunftsbegehren

Früher oder später wird der Zeitpunkt kommen, wo ein Unternehmen zu reagieren hat. Da kommt eine E-Mail dem Sinne nach:

„Sehr geehrte Damen und Herren,

 

auf Grundlage des Artikel 15 der DSGVO bitte ich um Auskunft, welche Daten zu meiner Person bei Ihnen gespeichert sind, zu welchen Zwecken Sie diese speichern und verarbeiten, wann Sie diese löschen werden und an wen meine Daten weitergegeben wurden.“

Eine andere Variante könnte lauten:

„Auf der Grundlage des Artikel 15 Abs. 3 bitte ich um Kopien der Daten, die sich auf meine Person beziehen.“

Noch spannender wird es, wenn bezugnehmend auf Artikel 17 eine Person die Einwilligung zur Verarbeitung der Daten widerruft oder die unverzügliche Löschung bestimmter oder aller auf sie bezogenen Daten fordert.

Der Hintergrund des Auskunftsrechts

Das Auskunftsrecht ist nicht dazu da, Rechtsabteilungen mit der Abwehr zu beschäftigen oder damit enttäuschte Kunden Unternehmen schikanieren können. Tatsächlich stehen nachvollziehbare Gründe hinter diesem Recht. Zur DSGVO existieren zahlreiche „Erwägungsgründe“, die helfen, Regelungen zu verstehen und diese umzusetzen. So lautet der Erwägungsgrund 63 auszugsweise:

„Eine betroffene Person sollte ein Auskunftsrecht hinsichtlich der sie betreffenden personenbezogenen Daten, die erhoben worden sind, besitzen und dieses Recht problemlos und in angemessenen Abständen wahrnehmen können, um sich der Verarbeitung bewusst zu sein und deren Rechtmäßigkeit überprüfen zu können. … Jede betroffene Person sollte daher ein Anrecht darauf haben zu wissen und zu erfahren, insbesondere zu welchen Zwecken die personenbezogenen Daten verarbeitet werden und, wenn möglich, wie lange sie gespeichert werden, wer die Empfänger der personenbezogenen Daten sind, nach welcher Logik die automatische Verarbeitung personenbezogener Daten erfolgt und welche Folgen eine solche Verarbeitung haben kann, zumindest in Fällen, in denen die Verarbeitung auf Profiling beruht. Nach Möglichkeit sollte der Verantwortliche den Fernzugang zu einem sicheren System bereitstellen können, der der betroffenen Person direkten Zugang zu ihren personenbezogenen Daten ermöglichen würde. Dieses Recht sollte die Rechte und Freiheiten anderer Personen, etwa Geschäftsgeheimnisse oder Rechte des geistigen Eigentums und insbesondere das Urheberrecht an Software, nicht beeinträchtigen. Dies darf jedoch nicht dazu führen, dass der betroffenen Person jegliche Auskunft verweigert wird. Verarbeitet der Verantwortliche eine große Menge von Informationen über die betroffene Person, so sollte er verlangen können, dass die betroffene Person präzisiert, auf welche Information oder welche Verarbeitungsvorgänge sich ihr Auskunftsersuchen bezieht, bevor er ihr Auskunft erteilt.“

Die Erwartung von Datenschutzbehörden

Wie die Antwort auf ein Auskunftsbegehren aussehen sollte, haben Datenschutzbehörden inzwischen konkretisiert. Das Bayerische Landesamt für Datenschutzaufsicht hat beispielsweise ein Musterantwortschreiben veröffentlicht.

Das Verzeichnis von Verarbeitungstätigkeiten

Um ein Auskunftsbegehren beantworten zu können, muss ein Unternehmen zunächst einmal wissen, in welchen IT-Lösungen und Datenbanken potentiell personenbezogene Daten gespeichert sein können. Das war früher, als es eine zentrale Unternehmenssoftware gab, schon nicht gerade leicht zu beantworten. Heute, wo die Vorteile der Microservice-Architektur dieser zu einem Siegeszug verholfen hat, können Daten zu einer Person von mehreren Programmen (Services) verarbeitet und gespeichert werden. Was in vielen Fällen Vorteile mit sich bringt, wird hier zu einem Nachteil: dass Prinzip der Microservices, dass jeder Service seinen eigenen Datenspeicher bzw. seine eigene Datenbank haben sollte, statt auf eine einzige zentrale Datenbank zuzugreifen.

Doch genau dabei, nämlich bei der Suche nach potentiellen Speicherorten, sollte eine weitere Vorschrift helfen: das Verzeichnis von Verarbeitungstätigkeiten. Es wird in Artikel 30 beschrieben. Dieses Verzeichnis zu haben und es aktuell zu halten, ist nicht nur hilfreich; Aufsichtsbehörden, wie das bereits zitierte Bayrische Landesamt für Datenschutzaufsicht, können Einsicht in das Verzeichnis eines Unternehmens fordern. Dass die Behörden das auch zunehmend tun, verrät ein Blick auf deren Internetseiten.

Den Teufel nicht an die Wand malen

Dann ist da noch das gestiegene Risiko, dass vertrauliche Daten an die Öffentlichkeit oder an Unbefugte gelangen. Man spricht dann von einem „data breach“, einer Datenpanne oder einem Datenleck. Wer seine öffentlichen IP-Adressen überwacht, dürfte bestätigen: die Anzahl der Eindringversuche durch Hacker hat 2019 massiv zugenommen. Doch das Risiko, dass Daten des Unternehmens in unbefugte Hände gelangen, lässt sich nicht alleine an der Firewall eliminieren: immer häufiger gelangen Daten von innen nach außen, weil Mitarbeiter E-Mail-Anhänge oder Webseiten geöffnet haben, durch die auf Rechnern im Unternehmen – hinter der Firewall – Schadsoftware installiert wurde, die dann fleißig Daten sammelt und nach draußen weiterleitet.

Dann ist da noch das Risiko, dass Mitarbeiter Daten nach außen geben, entweder aufgrund von menschlichem Versagen oder Sabotage. In der englischen Wikipedia existiert der Artikel „List of data breaches“, der sicher nur die Spitze des Eisberges auflistet. Interessant ist dabei die Spalte „Method“. Es überrascht, wie häufig „accidentally published“ oder „inside job“ zu finden sind.

Auffällig ist ebenfalls, dass für 2019 kaum Unternehmen mit Sitz in der EU zu finden sind. Dabei schreibt Artikel 33 vor, dass eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden an die Aufsichtsbehörde zu melden ist – was natürlich nicht bedeutet, dass eine Verletzung auch öffentlich bekannt wird. Der Artikel definiert außerdem, welche Angaben die Meldung zu enthalten hat. Darüber hinaus sind gemäß Artikel 34 von einem Datenleck betroffene Personen zu verständigen, sofern von einem hohen Risiko für die persönlichen Rechte und Freiheiten auszugehen ist.

Damit eine Meldung frist- und formgerecht erfolgen kann und ggf. auch Betroffene informiert werden, sollten unternehmensinterne Prozesse existieren. Auch muss bekannt sein, welche Art von Daten in welchem IT-System verarbeitet werden, um im Fall eines Schadens auch handeln zu können. Auch dabei hilft ein aktuelles Verzeichnis von Verarbeitungstätigkeiten.

DSGVO in Fleisch und Blut

Für erfahrene Architekten und Entwickler ist es in Fleisch und Blut übergegangen, auf Wartbarkeit, Einfachheit, Kompaktheit und Robustheit/Qualität von Code zu achten. DRY ist nur eines der Konzepte, Unit Tests ein Weiteres. Auch wenn es zunächst einmal zusätzliche Zeit kostet, Unit Tests zu entwerfen und zu schreiben, so hat sich die Erkenntnis durchgesetzt, dass man letztendlich Zeit und Kosten spart. Zeit und Kosten, vor allem auch empfindliche Strafen, kann man auch sparen, wenn Architekten und Entwickler noch ein weiteres Prinzip verinnerlichen: das Bewusstsein um die besondere „Empfindlichkeit“ von personenbezogenen Daten. Um dieses Bewusstsein aufzubauen, sollte man sich mindestens diese drei Artikel der DSGVO zu verinnerlichen:

• Artikel 5
  Hier werden 6 Grundsätze genannt, die bei der Verarbeitung personenbezogener Daten einzuhalten sind. Diese sind:

   

  • Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
  • Zweckbindung
  • Datenminimierung, also Datensparsamkeit
  • Richtigkeit
  • Speicherbegrenzung, was bedeutet, jede gespeicherte Information mit einem Löschdatum zu versehen
  • Integrität und Vertraulichkeit

Der Artikel erinnert auch daran, dass ein Unternehmen, bzw. um genau zu sein, die dort verantwortliche Person, rechenschaftspflichtig ist.

• Artikel 6
  Zählt 6 Umstände auf, unter denen die Verarbeitung und Speicherung personenbezogener Daten überhaupt legal ist. Artikel 8 erweitert diese noch um besondere Bedingungen für die Daten von Kindern.
• Artikel 32
  beschreibt Grundsätze, Verfahren und Verhaltensregeln, um die Sicherheit der Daten sicherzustellen. Dazu gehören Pseudonymisierung, Verschlüsselung aber auch Konzepte, zur Wiederherstellung der Daten bei einem physischen oder technischen Zwischenfall.

DSGVO in der täglichen Routine

Zusammengefasst sollte ein Architekt oder ein Entwickler folgendes bedenken, wenn ein Stück Software entsteht, das personenbezogene Daten verarbeitet oder speichert:

• Diese Information kann durch eine Person durch ein Auskunftsbegehren abgefragt werden und muss dann in der Auskunft aufgeführt werden.
• Die Person oder eine Aufsichtsbehörde können einen Nachweis verlangen, dass die Verarbeitung einer Information rechtens war.
• Die Person kann die Löschung einzelner oder aller Daten verlangen, wobei Ausnahmen bestehen und gewisse Daten aufgrund anderer regulatorischer Vorgaben erst nach Ablauf einer Aufbewahrungsfrist gelöscht werden dürfen.
• Die Information muss nach einer gewissen Zeit automatisch gelöscht werden.
• Die Information kann unberechtigt offengelegt werden. Dann sind Melde- und ggf. Informationspflichten einzuhalten.
• Personenbezogene Daten sind zu pseudonymisieren und zu verschlüsseln.
• Eine Wiederherstellung der Daten ist bei einem physischen oder technischen Zwischenfall sicherzustellen.

Wie lassen sich diese Anforderungen erfüllen? Auch hier führen viele Wege nach Rom. Besonders spannend wird es, wenn individuelle Softwarelösungen nach einer Microservice-Architektur entworfen wurden und/oder diese in der Cloud betrieben werden.

Sie wollen auf meine Erfahrung zurückgreifen?

Dann freue ich mich auf Ihren Kontakt.

Disclaimer 

Der Artikel schöpft aus meinen Erfahrungen aus unterschiedlichen Projekten bei verschiedenen Kunden aus 20 Monaten in Vorbereitung auf die DSGVO und in deren Umsetzung. Ich bin kein Jurist und kann daher auch keine verbindlichen Aussagen treffen. Dieser Artikel ist keine Rechtsberatung und ersetzt auch keine. Entsprechend muss ich eine Haftung aufgrund meiner Aussagen ausschließen.

Meine Entscheidung für die Cloud

Cloud-Computing ist inzwischen fast selbstverständlich. Privat nutzt fast jeder Internetbenutzer die Cloud, z. B. für seine E-Mails oder Online-Banking. Viele Cloud-Produkte haben den Charme, dass man lediglich einen aktuellen Web-Browser und Zugangsdaten benötigt, um auf eine Lösung zugreifen zu können. Ein weiterer Vorteil ist, dass man sich nicht mehr um Betrieb, Datensicherung und Updates kümmern muss. Das macht der Cloud-Anbieter. Auch wenn die Popularität von Cloud-Lösungen in den letzten Monaten aufgrund der Aktivitäten der Geheimdienste einen Dämpfer erhalten haben: ich persönlich habe das subjektive Empfinden, dass meine Daten in der Cloud sicherer aufgehoben sind, als auf der Festplatte auf meinem privaten PC oder Server. Denn wenn die eigene Datensicherung nicht aktuell ist und mir mein Notebook runter fällt, könnten die Daten weg sein. Außerdem sind Cloud-Lösungen auch von den Kosten interessant. Man zahlt in der Regel monatliche Nutzungsentgelte. Hohe Investitionen und der Kauf von Softwarelizenzen, die dann irgendwann wieder etwas für ein Update kosten, gibt es nicht.

Natürlich stelle ich mir auch die Frage, ob meine Daten in der Cloud auch sicher sind. Darauf gehe ich am Ende dieses Artikels ein.

Projekte mit der Cloud

Einmal in der Cloud, bieten sich viele Möglichkeiten. So kann man Inhalte gezielt auch für andere freigeben. Genau diese Möglichkeit nutze ich für Projektseiten. Hier liegen zentral alle Informationen zu einem Projekt: Dokumente, Gesprächsprotokolle, Projektpläne, Aufgaben. Dadurch, dass alle Projektmitglieder Zugriff auf diese zentralen Informationen haben, sind alle auf dem gleichen Stand. Das Rumschicken von Dokumenten entfällt.

Erstmaliger Zugriff auf eine Projektseite

Um auf eine Projektseite zugreifen zu können, benötigt man zunächst eine Einladung und Zugangsdaten. Bei den Zugangsdaten geht Microsoft einen etwas anderen Weg. Nicht der Inhaber der Projektseite stellt die Zugangsdaten aus – also Benutzername und Passwort für die erste Anmeldung – sondern Anwender legen sich zunächst ein Konto an und erhalten dann die Einladung, dieses Konto mit der Projektseite zu nutzen. Das hat mehrere Vorteile. So braucht man sich als Anwender nicht viele verschiedenen Zugangsdaten zu merken, sondern hat ein Konto, dass man dann in der Microsoft-Welt für verschiedene Inhalte nutzen kann, z. B, auch für seinen Windows 8/10-PC, sein Windows Phone, seine X-Box oder was sonst noch künftig an Services kommen wird.

Microsoft Konto vs. Organisationskonto

Vor dem ersten Zugriff auf die Projektseite braucht man also zunächst ein Konto. Hier bietet Microsoft zwei verschiedene Typen von Konten an – und tut sich meiner Meinung nach damit keinen Gefallen, weil dies sehr verwirren kann:

• ​Microsoft Konto
• Organisationskonto

Hier können Sie dann ein Microsoft-Konto anlegen. Dazu erhalten Sie ein Konto mit der Adresse @outlook.com oder @outlook.de. Alternativ können Sie eine bestehende E-Mail Adresse als Identifikation für das Konto verwenden. Auch wenn sich hier die geschäftliche Mailadresse anbieten würde, empfehle ich, ein privates Konto für das Microsoft-Konto zu nutzen. Schließlich möchte man z. B. seine Xbox auch noch nutzen können, wenn man mal den Arbeitgeber wechseln sollte. Und das Microsoft-Konto hat hier eher den Gedanken eines Reisepasses.

Bei der Registrierung werden Sie unter anderem nach einer Handynummer und einer alternativen E-Mail Adresse gefragt. Microsoft nutzt diese zur Absicherung Ihres Kontos. Gelegentlich werden Sie bei einer Anmeldung zu einem Microsoft-Dienst darum gebeten, einen Code einzugeben, der Ihnen als SMS oder per E-Mail zugesandt wurde. So realisiert Microsoft eine sogenannte zwei-Faktor-Authentifizierung, die die Sicherheit Ihres Kontos erhöht. Aus diesem Grund empfiehlt es sich, bei der Registrierung auch eine private E-Mail Adresse und private Handynummer anzugeben, so dass Sie auf Ihr Microsoft-Konto auch im Falle eines Wechsels des Arbeitgebers Zugriff behalten.​

E-Mail Einladung zur Projektseite

Nachdem entweder ein Microsoft-Konto oder ein Organisationskonto eingerichtet wurde, kann man nun den Zugriff auf die Projektseite angehen. Hierzu erhält man per E-Mail – in der Regel an die Firmenmailadresse – eine Einladung. Die E-Mail wird vom Absender msonlineservicesteam@email.microsoftonline.com versandt. Hier sollte man also sicherstellen, dass der eigene Spamfilter diesen Absender auch nicht blockiert.

Die Einladung per E-Mail sieht z. B. so aus:

Klickt man dann auf den Link in der Mail, so ruft der Webbrowser die Login-Seite von SharePoint Online auf, einem Dienst von Office 365:

Hier wählt man jetzt, je nachdem was zuvor eingerichtet wurde, das Microsoft-Konto oder Organisationkonto aus. Wer bislang noch kein Microsoft-Konto anglegt hat, kann dies hier auch noch tun (unterer Pfeil in der Abbildung).​

Im nachfolgenden Dialog meldet man sich dann mit seinen entsprechenden Zugangsdaten an. In diesem Moment, bei der ersten Anmeldung, wird dann Ihr Windows- bzw. Organisationskonto mit der E-Mailadresse verknüpft, für die Sie die Einladung erhalten haben. Innerhalb der Projektseite sind sie also für andere z. B. max.mustermann@siemens.de und auch alle E-Mails, die durch die Projektseite verschickt werden, gehen an diese E-Mailadresse, Ihr Zugang auf die Projektseite erfolgt aber über max.mustermann@oulook.de.

Erneuter Besuch der Projektseite

Für den zweiten Besuch der Projektseite hat Microsoft für Anwender eine unscheinbare Hürde aufgebaut, die den Anwender schon mal verzweifeln lassen kann. Denn natürlich muss man sich bei dem Zugriff auf die Seite erneut mit seinen Zugangsdaten anmelden. Dazu erhält man folgende Seite:

Wer hier versucht sich mit seinem Microsoft-Konto z. B. xyz@live.de anzumelden, verzweifelt, denn auch wenn man seine Benutzer-ID und sein Passwort korrekt eingibt, wird der Zugriff verweigert. Die Ursache: Microsoft kennt zwei verschiedene Typen von Benutzerkonten: ein Organisationskonto und das Microsoft-Konto. Die Standardseite geht davon aus, dass man sich mit einem Organisationskonto anmelden möchte, tatsächlich möchten Sie sich aber mit einem Microsoft-Konto anmelden. Das geht auch, nur versteckt sich der Hinweis klein als Link am Ende der Seite. Klicken Sie diesen, kommen Sie zu einer Seite, die fast identisch aussieht – nur jetzt werden Ihre Zugangsdaten akzeptiert. Das Ganze ist unglücklich – wie ich finde – und ich frage mich, warum Microsoft den Anwender hier so verwirrt anstatt ihn auch hier zuerst auswählen zu lassen, mit welchem Konto er sich anmelden möchte.

Das Wirtschaftswunder der 50er-Jahre

Die wenigsten von uns waren Zeitzeugen, aber wir haben es im Geschichtsunterricht oder später im Rahmen der Volkswirtschafslehre gelehrt bekommen: das Wirtschaftswunder unter der Regie von Ludwig Erhard. Unter www.wirtschaftswundermuseum.de gibt es sogar ein virtuelles Museum, das eine Reihe der für diese Zeit typischen Werbemotive zeigt und so die Stimmung jener Zeit einfängt.

Die Grundlagen für diesen Aufschwung legte Erhard als einer der Vordenker der Währungsreform vom 20. Juni 1948. Der Erfolg der Währungsreform gründete auf verschiedenen Faktoren. Da war zum einen der psychologische Effekt neues Geld in den Händen zu halten. Das konnte dann auch wirklich jeder anfassen, denn jeder Bürger bekam 40 DM ausgezahlt, das sogenannte Kopfgeld. Ein wesentlicher Faktor war jedoch eine mutige Entscheidung Erhards: die Zwangsbewirtschaftung und die Preisbindungen für einen Teil der industriellen Fertigprodukte wurde mit der Währungsreform aufgehoben.

Das war nicht ohne Risiken und tatsächlich stiegen die Preise danach, konnten aber schließlich durch eine kluge Geldmarktpolitik der Zentralbank stabilisiert werden. Die positiven Effekte wurden jedoch sofort sichtbar: über Nacht waren die Schaufenster plötzlich wieder gefüllt. Was bis dahin nur mit viel Glück auf dem Schwarzmarkt zu erhalten war, konnte man geregelt und legal gegen das neue Geld tauschen. Und die freien Preise waren für die Produzenten nun auch Anreiz, die Produktion zu erhöhen. Mit steigender Kaufkraft war es dann auch interessant, neue Produkte auf den Markt zu bringen, d. h. in Forschung und Entwicklung zu investieren. Der Innovationsgeist war angefacht, „Made in Germany“ wurde zu einer Qualitätsaussage und das Wirtschaftswunder nahm seinen Lauf.

Das Wirtschaftswunder in der eigenen Organisation

Dieser kleine Rückblick soll der Einstieg in die Fortsetzung zu meiner Blog-Artikelreihe über den „Marktplatz der Verbesserung“ gewesen sein. Darin stelle ich ein Konzept vor, wie Organisationen Mechanismen eines Marktplatzes nutzen können, um passende Lösungen für Anforderungen zu finden und die Innovationskraft der eigenen Mitarbeiter zu stärken.

Mein letzter Artikel lies die Frage offen: Wie bekommt man diesen Marktplatz in Gang? Von Erhard können wir hier einiges abschauen. Darüber hinaus gibt es in der Kommunalpolitik einige Ansätze, denen man sich bedienen kann. Und nicht zuletzt zeigen auch erfolgreiche Plattformen für Innovationsmanagement spannende Möglichkeiten. So kann man sich Inspiration verschaffen, welche Konzepte und Methoden am besten für die eigene Organisation geeignet sind.

Erhard – die Ikone

Eine Bewegung braucht ein Gesicht. Ludwig Erhard war das Gesicht des Wirtschaftswunders. Er wusste, dass er die Massen für seine Vision der sozialen Marktwirtschaft gewinnen musste. Dies gelang ihm als Autor seines Buches „Wohlstand für alle“, das er in der Sprache des kleinen Mannes verfasste.

Quelle: Bundesarchiv, B 145 Bild-F004204-0003 / Adrian, Doris / CC-BY-SA

Was für das Wirtschaftswunder gut war, funktioniert auch, um den Enthusiasmus der eigenen Mitarbeiter zu entfesseln und die Identifikation mit dem eigenen Unternehmen zu steigern: auch hier braucht es ein Gesicht. Die Kampagne der Einführung eines Marktplatzes der Verbesserung braucht ein Gesicht und zwar eines, dem die Mitarbeiter zutrauen, dass diese Person kraft seiner Ausstrahlung, Kompetenz und Position bzw. Macht im Unternehmen diese Kampagne auch zum Erfolg führen kann. Und diese Person sollte die Idee seinen Mitarbeitern in einer Sprache vermitteln, die sie verstehen. So können sie den Nutzen erkennen und lassen sich davon anstecken, mitzumachen.

OK, so einleuchtend diese Forderung klingen mag, so schwer wird sie in der Praxis umzusetzen sein. Das Top Management hat viel zu tun, zu viel, um jetzt auch noch als Community Manager tätig zu werden. Anfänglich wird der auserkorene Manager – das Gesicht des Marktplatzes der Verbesserung – durch persönliche Präsenz die Mitarbeiter von der Idee überzeugen müssen. Nach diesem Anfang wird er auch weiterhin zeigen müssen, dass er sich für den Marktplatz interessiert und ihn unterstützt. Dazu kann er dann auch eine Assistenz als Community Manager einspannen. Diese schreibt dann im firmeninternen Blog in seinem Namen. Alternativ kann sie in eigenem Namen schreiben und das Management kommentiert dann regelmäßig diese Beiträge.

Von Auswertungen und Metriken

Wer soziale Netzwerke nutzt kennt das: Likes oder +1 oder ähnliches, womit Nutzer ihr Gefallen an einem Inhalt ausdrücken. Diese Möglichkeiten sollten auch auf einer Plattform genutzt werden, auf dem der Marktplatz der Verbesserung abgebildet wird. Stellt jemand eine Idee, eine Innovation ein, aber niemand liket diesen Beitrag, so ist die Idee möglicherweise nicht klar und verständlich formuliert, so dass man auch den Nutzen nicht erkennen kann. Gleiches gilt, wenn jemand eine Anforderung beschreibt, also der Kaufinteressent an einer Lösung sich auf den Marktplatz der Verbesserung begibt. Kommt auf sein Beitrag keine Resonanz, so kann er nochmals seine Anforderung reflektieren oder sich persönliches Feedback bei Kollegen holen, um dann nochmals an der Anforderungsbeschreibung zu feilen. Wer schon mal versucht hat ein Auto über das Internet zu verkaufen kennt das: bleibt das Interesse aus, stellt man vielleicht noch ein paar weitere coole Bilder des Autos ein, bietet an die Winterreifen mit dazu zu geben oder geht sogar mit dem Preis runter.

Neben dem Liken für einen Beitrag sollte natürlich auch das Kommentieren möglich sein. Das ist ja auch gerade das, was einem realen Wochenmarkt die Atmosphäre verleiht. „Herr Matt, Ihr Apfelmost von letzter Woche hat wieder genau meinen Geschmack getroffen. Leicht moussierend aber noch süß.“ Über ein solches Feedback freut sich der Mann am Obststand und er belohnt seinen Kunden eventuell mit einem Tipp der Woche oder einem Apfelkuchenrezept seiner Großmutter. Kommentare zu Ideen- oder Anforderungsbeiträgen sogen ebenfalls dafür, dass die Teilnehmer am Ball bleiben, erst Recht wenn die Kommentare „von Herrn Erhard“ kommen. Kommentare tragen also ganz wesentlich dazu bei, dass auf dem Marktplatz der Verbesserung eine Atmosphäre herrscht, die dazu einlädt, wiederzukommen.

Das ganze Feedbacksystem funktioniert natürlich nur dann richtig gut, wenn die technische Plattform, auf der der Marktplatz der Verbesserung realisiert wird, auch Metriken anbietet, die erkennen lassen, wie groß das Interesse an einem Beitrag ist und wie sich das Interesse über die Zeit streut. Einfache Metriken kennt jeder, der schon mal ein Angebot bei eBay eingestellt hat. Da interessiert man sich dafür, wie viele sich das Angebot bereits angesehen oder gar gemerkt haben.

Von Bürgergutachten und Planungszellen

Manchmal mag es vorkommen, dass für eine wirklich wichtige und dringende Anforderung einfach keine Lösung kommen mag – und das, obwohl an der Formulierung der Anforderung bereits gefeilt wurde. Was dann? Hier kann man sich von einem Vorgehen inspirieren lassen, das bereits so manche kommunale Verwaltung erfolgreich genutzt hat, um eine Lösung mit einer breiten Akzeptanz zu finden: die Planungszelle, die ein Bürgergutachten erstellt.

Eine Planungszelle besteht aus bis zu 25 Bürgern. Wesentlich dabei ist, dass diese zufällig aus dem Melderegister ausgewählt werden und dennoch einen repräsentativen Querschnitt der Bürger bilden – Hausfrauen, Rentner, Angestellte, Arbeiter, Unternehmer und das aus möglichst unterschiedlichen Berufsgruppen. Die Gruppe arbeitet dann an vier bis fünf Tagen gemeinsam an einer Problemstellung. Hierzu werden sie anfänglich durch Experten an das Thema herangeführt, die verschiedene bekannte Lösungsvarianten auch kontrovers darstellen. In kleineren Gruppen von fünf Personen erfolgt dann die eigentliche Lösungsfindung. Anfänglich werden die Gruppen eventuell durch einen neutralen Moderator angeleitet, der sich auf die Arbeit mit Planungszellen spezialisiert hat. Um Meinungsführerschaften oder eine Dominanz einzelner Mitglieder entgegenzuwirken, werden die Gruppen nach einiger Zeit neu zusammengesetzt – also ähnlich, wie man es von der Workshopmethode World Café kennt.

Als Ergebnis erstellen die Teams ein Bürgergutachten. Der Auftraggeber ist natürlich an dieses nicht gebunden, kann jedoch bei der Umsetzung der Lösung auf das Bürgergutachten zugreifen oder dieses modifiziert realisieren. In größeren Projekten können mehrere Planungszellen parallel arbeiten, um ein noch repräsentativeres Gutachten zu erhalten.

Während Mitglieder einer Planungszelle vom kommunalen Auftraggeber eine Aufwandsentschädigung erhalten, dürfte sich in einem Unternehmen die Freistellung der ausgewählten Mitarbeiter leichter organisieren lassen. Hier kann man sich für die erste Planungszelle einen erfahrenen Moderator ins Haus holen, er gleich auch einen internen Mitarbeiter schult, der dann künftig Planungszellen moderieren kann. Dadurch, dass Mitarbeiter durch das Management eingeladen werden, an der Planungszelle mitzuwirken, haben sie quasi auch einen offiziellen Auftrag. Sie werden um ihre Meinung gebeten. Das kommt gerade Mitarbeitern zu Gute, die zwar gute Ideen haben aber zu zurückhaltend sind, um diese zu äußern. Andererseits beugt es auch möglichen Neid vor. So manchem wurde bereits vorgeworfen, sich mit einer Idee profilieren zu wollen. Wer aber darum gebeten wurde, an einer Planungszelle mitzuarbeiten, ist von diesem Verdacht aus dem Kollegenkreis befreit.

Gameplay auf der Arbeit

So manch einer mag irritiert geschaut haben, als er das erste Mal Gast bei einer Firma war, die Spielkonsolen für die Mitarbeiter aufgestellt hatte. Gameplay scheint förderlich zu sein. Auch für den Marktplatz der Verbesserung können spielerische Methoden zum Einsatz kommen. Das zeigt auch eine aktuelle Roadshow, die die Zeitschrift Wissensmanagement gemeinsam mit MindJet durchführt. Unter dem Motto „Kreativität mit System: Innovationsmanagement strategisch umsetzen“ wird neben theoretischen Grundlagen auch gezeigt, wie spielerische Elemente eingesetzt werden können, um Mitarbeiter zu begeistern, Ideen beizutragen. Die Roadshow läuft noch bis zum 04.06.2014. Infos, Orte und Termine finden sich hier.

Wem es nicht möglich sein sollte, die Veranstaltung zu besuchen – mein Blog wird fortgesetzt. Im nächsten Artikel wird es um den Marktplatz der Verbesserung als Spielplatz der Verbesserung gehen.

Anfang Februar hatte ich in diesem Blog-Artikel mein Konzept zum „Marktplatz der Verbesserung“ vorgestellt. Seither gab es Feedback und Detailanregungen – auf einiges möchte ich in diesem Artikel eingehen.

Status Quo: Der kontinuierliche Verbesserungsprozess

Einige Unternehmen, mit denen ich in den letzten Wochen gesprochen habe, arbeiten derzeit an einem Konzept für ein betriebliches Vorschlagswesen. Die Motivation ist weitgehend ähnlich: Man ist überzeugt vom Nutzen eines kontinuierlichen Verbesserungsprozesses (Stichwort „Kaizen“) und möchte die Innovationskraft anregen, das Wissen der eigenen Mitarbeiter nutzen und Vorschläge umsetzen. Mitarbeiter sollen die Möglichkeit haben Vorschläge einzubringen, die ein Gremium begutachtet, bewertet, ggf. prämiert und zur Umsetzung bringt. Neben dem Nutzen für das Unternehmen durch wirkungsvolle Vorschläge, versprechen sich Unternehmen von diesem Konzept auch ein höheres Engagement und eine höhere Identifikation der Mitarbeiter mit dem Unternehmen. Schließlich werden Mitarbeiter direkt an der Gestaltung beteiligt – können also etwas bewegen.

Die Idee an sich hat richtige und gute Ansätze. Wie so oft liegt die Herausforderung in der Realisierung. Hier zeichnen Gespräche mit einigen Unternehmen, die schon seit Längerem ein betriebliches Vorschlagswesen eingeführt haben, ein zweigeteiltes Bild. Einerseits wurden Vorschläge eingebracht und umgesetzt, durch die messbare Verbesserungen erzielt werden konnten. Andererseits hat die Anzahl der Vorschläge mit der Zeit abgenommen. Auch wird beobachtet, dass Vorschläge immer wieder von denselben Mitarbeitern eingebracht werden. Gemessen an der gesamten Belegschaft beteiligt sich ein recht kleiner Anteil der Mitarbeiter. Mitunter kommt es bei der Bekanntgabe von Prämierungen hinter vorgehaltener Hand zu recht menschliche Reaktionen: „Der schon wieder!“ Auch die Dauer zwischen Idee und Umsetzung wird teilweise als nicht optimal beurteilt. Die Gremien, die die Vorschläge prüfen, kommen teilweise vierteljährlich zusammen. Wird ein Vorschlag angenommen und zur Umsetzung weitergegeben, beginnt häufig erst die eigentliche Arbeit. Mancher Vorschlag bleibt auch in den betrieblichen Mühlen stecken – trotz einer ausgezahlten Prämie. Wie sich das letztendlich auf die Motivation des Vorschlagenden auswirkt liegt auf der Hand.

Vom Wesen und Charme eines Marktes

Das Konzept des Marktplatzes der Verbesserung nutzt die Vorteile eines betrieblichen Vorschlagswesens, erweitert dieses Modell aber um Grundsätze eines freien Marktes.

Auf einem Markt treffen Angebot und Nachfrage aufeinander. Optimal geschieht dies bei völliger Markttransparenz, wenn also jeder Anbieter auch jeden Nachfrager sehen kann und umgekehrt. Zwar kommen Anbieter und potentielle Käufer mit eigenen Vorstellungen auf den Markt was Preis und Beschaffenheit eines Gutes angeht, häufig aber ist der Möchtegern-Käufer bereit, seine Erwartungen an die Beschaffenheit und den Preis eines angebotenen Gutes anzupassen. Der Anbieter wiederum wird sein Warenangebot überdenken, wenn er feststellt, dass sich niemand dafür interessiert. Ein guter Verkäufer merkt, was Käufer tatsächlich wünschen. Er wird dann versuchen, entsprechende Waren anzubieten – vorausgesetzt er kann damit gut verdienen. Oder sagen wir es allgemeiner: vorausgesetzt, er hat etwas davon.

Diese Anpassung, dieses Angleichen von Angebot und Nachfrage, kommt nicht von selbst. Sie findet in einem Prozess statt, den viele besonders mögen: dem Handeln und Feilschen. Zwanglose Kommunikationsprozesse sind wesentlich für funktionierende Märkte.

Jetzt gibt es aber auch viele Zeitgenossen, die nicht unbedingt mit der Absicht zu Kaufen oder zu Verkaufen einen Markt besuchen. Ich selbst zähle mich auch dazu. Ich liebe es geradezu, über den Radolfzeller Wochenmarkt zu schlendern – auch ohne Einkaufzettel. Ein prosperierender Markt bietet nämlich nicht nur Güter. Er bietet eine Atmosphäre. Er ist einUmschlagplatz für Informationen. Man trifft sich, sieht und wird gesehen. Manche beliebte Märkte versprühen regelrecht einen eigenen Charme. Je entspannter man selbst beim Marktbesuch ist und je weniger man unter Zeitdruck steht, umso angenehmer wird das Erlebnis. Nicht ohne Grund freuen sich viele darauf im Urlaub einen beliebten Markt besuchen zu können.

Marktplatz vs. betriebliches Vorschlagswesen

Diese Grundsätze und Erlebnisse eines Marktes haben jetzt nur noch sehr wenig mit den bekannten Modellen eines betrieblichen Vorschlagswesens zu tun. Diesem mangelt es häufig an Transparenz. Die Wirkung ist einseitig: es ist ein Markt der Anbieter. Diese erfahren aber selten, was derzeit tatsächlich nachgefragt wird. Denn wenn Unternehmen nach Lösungen für akute Anforderungen suchen, so wird häufig in dem gleichen keinen Personenkreis nach einer Lösung gesucht. Auch findet selten eine zwanglose Kommunikation zwischen dem Anbieter und dem Nachfrager statt. In vielen Fällen gibt es gar keinen Nachfrager. Es gibt lediglich ein Gremium, das ein Angebot bewertet. Dabei kann es vorkommen, dass auch das Gremium einen potentiellen Käufer einer Idee gar nicht kennt, denn derjenige, der nach einer Lösung für eine Anforderung sucht, mag darüber das Gremium gar nicht informiert haben. Die Schlussfolgerung führt wieder zur Idee des Marktes: dort braucht es kein zwischengeschaltenes Gremium, aber Transparenz, damit Anbieter und Nachfrager zueinander finden können. So erfährt der Anbieter, was genau der Nachfrager braucht und der Nachfrager erfährt, welche Beschaffenheit das angebotene Gut hat. Durch den Handel gleichen sich beide einander an, oder aber der Nachfrager wird auf einen anderen Anbieter aufmerksam, der den Bedarf erkennt und schnell genug ist, ein passendes Angebot zu machen.

Der Traum vom vollkommenden Markt

Optimal funktioniert ein Markt wenn er frei und vollkommen ist. Allerdings ist ein freier, vollkommener Markt Illusion – und das gilt auch für einen vollkommenen Marktplatz der Verbesserung. Auf einem vollkommenen Markt sind Anbieter und Nachfrager zahlreich, die angebotenen Güter sind gleich und es herrscht Transparenz. Zumindest die ersten beiden Grundsätze treffen kaum auf einen Marktplatz der Verbesserung zu, selbst bei großen Organisationen. Und die Schaffung von Transparenz dürfte bei der Umsetzung so manchem Bauchschmerzen bereiten. Auch der bekannte Mechanismus, dass Angebot und Nachfrage den Preis regelt, dürfte auf einem Marktplatz der Verbesserung kaum in Gang kommen. Das gilt selbst dann, wenn eine Idee durch einen Käufer ähnlich dem betrieblichen Vorschlagswesen mit einer Prämie belohnt wird. Schließlich sind die Käufer innerhalb eines Unternehmens selten zahlreich und ein Wettbewerb um eine Idee wird nicht stattfinden. Auch ist eine Idee nicht zahlenmäßig begrenzt, dieselbe Idee lässt sich beliebig oft umsetzen, sofern eine Nachfrage besteht. Umgekehrt wird der Markt jedoch in Gang kommen können. Denn eine Anforderung wird das Interesse von mehreren Marktteilnehmern wecken, die sich dann auch mit einer eigenen Lösungsidee melden.

Obwohl kein realer Markt ein vollkommener Markt ist (zumindest kenne ich keinen), nutzen wir alle Märkte. Also spricht ein gewisser Mangel gemessen am Ideal auch nicht gegen einenMarktplatz der Verbesserung. Unvollkommene Märkte unterliegen einer gewissen Regulierung und Aufsicht und genießen auch einen gewissen Schutz, um überhaupt prosperieren zu können. In früheren Jahrhunderten wurde das Marktrecht durch einen Fürsten, häufig durch eine hohe Instanz wie dem König oder gar Kaiser verliehen. Er war auch der Schirmherr des Marktes, gewährte ihm seinen Schutz und er gab auch Regeln und Maßstäbe vor. Nicht selten hatte er sogar das nötige Umfeld einzurichten und eine Infrastruktur aufzubauen. Dabei handelte der Herrscher auch in eigenem Interesse. Gut gehende Märkte warfen nicht nur für Kaufleute Gewinne ab und stellten die Bevölkerung zufrieden. Sie stärkten die Wirtschaft insgesamt und sorgten für höhere Steuereinnahmen.

Marktgrundsätze angewandt

Diese Analogie besteht auch für den Marktplatz der Verbesserung. Dieser Markt kann nur funktionieren, wenn das oberste Management das Marktrecht verleiht, den Markt also selbst will. Damit sind auch die Verantwortlichkeiten klar definiert und es ist bestimmt, wer den Markt in Gang zu bringen hat. Und wie auch in früheren Zeiten obliegt es dem obersten Management, das entsprechende Marktumfeld zu schaffen. Dieses Umfeld besteht primär aus drei Säulen:

• einer angenehmen Markt-Atmosphäre;
  diese findet ihre Grundlage in einer angepassten Arbeits- und Führungsphilosophie.
• einer Infrastruktur, um den Markt nutzen zu können
  d. h. die Bereitstellung entsprechender Werkzeuge, in der Regel innerhalb des Intranets des Unternehmens
• Regeln und Maßnahmen, um einen Markt in Gang zu bringen und in Gang zu halten,
  also Methoden und Prozesse.

Der Architekt

Ein König oder Kaiser hat sich in früheren Zeiten nicht selbst darum gekümmert, ein entsprechendes Marktumfeld zu schaffen. Er hat zwar seine Vorstellungen eingebracht und mit Interesse die Entstehung des Umfelds und das spätere Marktgeschehen verfolgt – die Realisierung des Marktes hat er jedoch anderen überlassen. In dieser Rolle sehe ich mich, gewissermaßen als der Architekt eines Marktes, nicht aber als der Bauherr. Der Bauherr ist der CEO, der geschäftsführende Gesellschafter, der Inhaber. Meine Leistung liegt darin, die interne Auseinandersetzung mit der Arbeits- und Führungsphilosophie zu moderieren, damit eine angenehme Markt-Atmosphäre entstehen kann. Ich unterstütze beim Aufbau der Infrastruktur, indem ich meine Erfahrung einbringe, welche Anforderungen an eine geeignete Marktplattform bestehen. Hierfür habe ich begonnen Gespräche mit unterschiedlichen Softwarelösungsanbietern zu führen. Dort, wo bereits ein Intranet lebt, arbeite ich Vorschläge aus, wie dieses erweitert werden kann, um als Marktplattform genutzt werden zu können. Wo gewünscht, übernehme ich für die Implementierung auch das Projektmanagement oder unterstütze den internen Projektmanager. Und nicht zuletzt steuere ich meine Erfahrung zu Methoden und Grundsätzen bei, um individuell auf das Unternehmen angepasste Prozesse, Methoden und Regeln zu entwerfen. Schließlich soll der Markt in Gang kommen und in Gang bleiben.

Damit, wie man den Markt in Gang bekommt und welche Rolle dabei das Stichwort „Planungszelle“ spielen kann, wird sich mein nächster Blogbeitrag zum Marktplatz der Verbesserung befassen. Für diesen Beitrag freue ich mich auf offenes Feedback, praktisch als erste Übung zu einem Marktplatz.