Henry (Michael) Hanau-Interim CISO, Datenschutzbeauftragter, KI-Beauftragter

• Branche: Maschinenbau, Fahrzeugbau
• Regulierungen: Data Act
• Projektschwerpunkt: Datengovernance, rechtskonforme Maschinendatennutzung, Datenplattformen
• Beauftragt durch: CFO, Plattform Product Owner

Erfolge/Ergebnisse (Frühphase):

• Compliance-Begleitung beim Aufbau einer int. vereinheitlichten Datennutzungsplattform auf Basis von Databricks.
• Schaffung der Voraussetzungen für die rechtskonforme und effektive Maschinendatennutzung, u.a.:
• Technisch: Gap-Analyse und Schließen von Lücken in der Segmentierung und Pflege der erhobenen Maschinendaten.
• Technisch: Berücksichtigung von Datenausleitungen aus der Plattform an Nutzer und Dritte.
• Organisatorisch: Entwurf und Abschluss der erforderlichen Datennutzungsverträge.

• Branche: Fahrzeugfertigung, Schwermaschinenbau
• Regulierungen: DSGVO, NIS-2, SOX, BetrVG, ISO 27001, TISAX
• Projektschwerpunkt: Datenschutz, IT-Sicherheit, IT-Risikomanagement, Organisationsentwicklung, digitale Transformation
• Beauftragt durch: Geschäftsführung (CFO)
• Personalverantwortung: 4 FTE (ad interim)

Erfolge/Ergebnisse:

• Personelle und inhaltliche Neustrukturierung der IT-Funktion und Verzahnung des IT-Betriebs (Netze, Arbeitsplatz, SAP) mit der neu geschaffenen IT-GRC-Funktion.
• Verhinderung der Kündigung von Schlüsselpersonal (2 FTE), Personalanpassung (1 FTE).
• Aufbau und Skalierung einer unternehmensweiten IT-GRC-Funktion, Einstellung und Schulung eines 4-köpfigen Teams und Reduzierung der Compliance-Lücken um 70 % innerhalb der Laufzeit: Gewährleistung der SOX-Compliance, Lizenz-Compliance und Erhöhung der IT-Sicherheit um 80 % gegenüber dem vorherigen Zustand.
• Integration der deutschen IT-GRC-Einheit in die nationale Organisation. Anbindung der deutschen GRC-Einheit an die int. Mutterorganisation. Einrichtung von permanenten Austauschgremien und Erhöhung der Sichtbarkeit der Interessen der deutschen Niederlassung um 100 %.
• Leitung der Einführung von Microsoft 365 (M365) in allen EU-/internationalen Niederlassungen, Verhandlung von Unternehmensverträgen und Ergänzung von Betriebsratsvereinbarungen.
• Strukturierte Analyse zur Feststellung der NIS-2-Betroffenheit. Schulung der Führungskräfte zu sich ergebenden Pflichten.
• Einführung eines ISO-27001-ISMS, Vorbereitung der Organisation auf NIS-2-Compliance und Reduzierung des 3rd-Party-Risikos. Abstimmung mit der Deckung durch bestehende Cyber-Risk-Insurance-Police.
• Verhandlung von mehr als 10 Betriebsratsvereinbarungen zu Plattformdiensten und HR-Tools; Einhaltung gesetzlicher Vorschriften bei gleichzeitiger Wahrung der betrieblichen Flexibilität.

• Branche: Banken
• Regulierungen: DSGVO, BDSG
• Projektschwerpunkt: Datenschutz, IT-Compliance, IT-Audit, IT-Risikomanagement
• Beauftragt durch: Gruppendatenschutzbeauftragter

Erfolge/Ergebnisse:

• Leitung eines 18-monatigen unternehmensweiten GDPR-Compliance-Audits, bei dem mehrere Lücken mit hohem und mittlerem Risiko identifiziert wurden; Umsetzung von Abhilfemaßnahmen, die das regulatorische Risiko auf 0 reduzierten. Einhaltung des Zeit- und Budgetrahmens mit vollständiger positiver Abschlussfreigabe.
• Entwurf und Einführung eines einheitlichen Datenschutz-Kontrollrahmens -> deutliche Reduktion der Reaktionszeit in Audits und Betroffenenanfragen.
• Überarbeitung des kompletten CMS im Hinblick auf Akzeptanz und Wirksamkeit, vollständige Übersetzung in die englische Sprache.
• Durchführung von komplexen Datenschutz-Folgenabschätzungen (DSFA).

• Branche: Banken
• Regulierungen: KWG, GWG, MaRisk, eIDAS, BAIT, DORA, DSGVO, ISO 27001
• Projektschwerpunkt: Datenschutz, IT-Sicherheit (2nd line of defense), IT-Audit, IT-Compliance, IT-Risikomanagement
• Beauftragt durch: GF, Gruppendatenschutzbeauftragter, fachliche Projektmanager

Erfolge/Ergebnisse:

• Analyse & Bewertung von spezifischen Apps und ihres Anbieter-/Nutzerverhältnisses im Auftrag der 2nd line (of defense) und im Lichte von Datenschutz, Informationssicherheit, AGB, DORA.
• Analyse & Bewertung von spezifischen Videoldent-Lösungen im Auftrag der 2nd line und im Lichte von Datenschutz, Informationssicherheit, AGB und GWG.
• Analyse & Bewertung von spezifischen Lösungen der digitalen Signatur im Auftrag der 2nd line und im Lichte von Datenschutz, Informationssicherheit, AGB und eIDAS.
• Durchführung struktureller Audits im Auftrag der 2nd line des implementierten ISO 27001 ISMS (Schutzbedarf der IT-Assets, Gap-Analysen, Risikoanalysen). Entsprechende Toolerfahrung: OneTrust, Schleupen R2C.
• Überarbeitung der Beschaffungsablaufs für IT-Produkte und IT-Dienstleistungen unter dem Gesichtspunkt der Informationssicherheit, Konzeption eines gestrafften Prozesses / spezifischer Vorgaben im Auftrag der 2nd line; akzeptierter Roll-Out einer neuen abgestimmten Beschaffungsrichtlinie, Aufnahme relevanter Klauseln in die Unternehmens-AGB unter Einbeziehung künftiger gesetzlicher Anforderungen (v.a DORA).
• Unterstützung der 1st line of defense bei wiederkehrenden Asset-Einwertungen.
• Analyse der technischen Ausstattung verschiedener Cloud-Dienste im Hinblick auf die Compliance: Microsoft O365, SAP auf Hyperscalern.
• Weiterentwicklung des bestehenden Rahmens zur Konformität mit der EU-DSGVO. Unterstützung des projektleitenden Syndikusanwalt in alle datenschutzrechtlichen Belangen.
• Entwicklung und erfolgreiche Einführung einer halb-automatisierten Vorlage zur Einschätzung von Datenschutzrisiken von Verarbeitungstätigkeiten. Durchführung von Datenschutz-Folgenabschätzungen und Transfer Impact Assessments bei Datenübermittlungen in unsichere Drittländer.
• Entwicklung und Implementierung eines ISO 19600-orientierten Datenschutzmanagementsystems (DSMS) -> Erreichung einer 90%-prozentigen Konformitätsquote zum ersten Tag der Anwendbarkeit der DSGVO.
• Stellung des betrieblichen Datenschutzbeauftragten für eine Tochtergesellschaft.

• Branche: Großhandel, Spezialprodukte
• Regulierungen: DSGVO, HGB
• Projektschwerpunkt: Datenschutz, IT-Sicherheit, IT-Audit, IT-Risikomanagement, Organisationsentwicklung
• Beauftragt durch: Corporate Compliance Officer (Rechtsabteilung)
• Personalverantwortung: 2 FTE (unmittelbar), 8 (mittelbar)

Erfolge/Ergebnisse:

• Vorsitzender einer internationalen Datenschutzorganisation in 8 Ländern, Anpassung lokal unterschiedlicher Vorgehensweisen an EU-Standards und deutliche Reduktion grenzüberschreitender Compliance-Risiken.
• Aufbau der IT-Audit-Abteilung im Bereich Konzernrevision / Festlegen des jährlichen Prüfprogramms.
• Leitung der Prüfung: Cut-Over zu SAP ERP 6.0 Global (keine Beanstandungen in JA-Prüfung).
• Management komplexer grenzüberschreitender IT-Prüfungen.
• Verfassen zielgruppengerechter Audit-Berichte (C-Level, IT, Rechnungswesen, Steuer).
• Follow-up-Management.
• Ausbildung einer klassischen Revisorin zur IT-Prüferin inkl. CISA-Abschluss.