Shared Service Center bündeln Prozesse, Systeme und Daten aus verschiedenen Unternehmensbereichen und Gesellschaften. Das schafft Effizienz und einheitliche Abläufe, erhöht aber gleichzeitig die Anforderungen an den Datenschutz im Shared Service Center (SSC) und an die Governance. Gerade bei HR-, Finance- oder IT-Prozessen werden häufig personenbezogene Daten zentral verarbeitet. Datenschutz sollte deshalb bereits bei der Konzeption und Weiterentwicklung eines Shared Service Centers berücksichtigt werden. Wir zeigen, worauf es ankommt – und wie unser Fachbereich IT & Controls Assurance (ITCA) Sie dabei mit Prüfung und Beratung unterstützt.

Zentralisierung verändert Datenflüsse und Verantwortlichkeiten

In einem Shared Service Center werden Prozesse aus verschiedenen Gesellschaften oder Fachbereichen gebündelt. Das schafft einheitliche Abläufe und kann Prozesse effizienter machen. Gleichzeitig verändern sich dadurch auch die Datenflüsse.

Personenbezogene Daten werden zum Beispiel aus lokalen Systemen an zentrale Anwendungen übertragen und dort verarbeitet. Dabei muss klar sein, welche Daten für den jeweiligen Prozess benötigt werden, wer darauf zugreifen darf und wer für die Verarbeitung verantwortlich ist.

Besonders relevant wird das bei internationalen SSC-Strukturen oder wenn externe Dienstleister eingebunden sind. Dann müssen Rollen und Verantwortlichkeiten sauber geregelt sein. Zusätzlich können Fragen zu grenzüberschreitenden Datenübermittlungen entstehen.

Datenschutz und SSC-Governance gemeinsam betrachten

Viele Datenschutzthemen sind gleichzeitig typische Themen der SSC-Governance.

Dazu gehören klare Verantwortlichkeiten, transparente Datenflüsse, passende Berechtigungen und einheitliche Kontrollen. Auch die Frage, welche Daten überhaupt verarbeitet werden müssen, spielt eine wichtige Rolle.

Datenschutz sollte deshalb nicht getrennt von der SSC-Governance betrachtet werden. Beide Themen greifen direkt ineinander. Wenn Prozesse zentralisiert werden, sollten Datenschutzanforderungen von Anfang an mitgedacht werden.

Bei der Analyse oder Weiterentwicklung eines Shared Service Centers kann daher gleichzeitig geprüft werden, ob Datenschutzanforderungen in den Prozessen und Kontrollen ausreichend berücksichtigt sind. Das betrifft zum Beispiel Zugriffsrechte, technische und organisatorische Maßnahmen oder die Einbindung weiterer Dienstleister.

Zwei Perspektiven, ein gemeinsamer Ansatz

Im Fachbereich IT & Controls Assurance (ITCA) bündelt BDO Know-how zu Shared Service Centern sowie zu Datenschutz und Datensicherheit – in einem Team und mit einem abgestimmten Vorgehen.

Im SSC-Umfeld geht es unter anderem um Governance, Rollen, Prozesse, Kontrollen und IT-Unterstützung. Die Datenschutzperspektive ergänzt diese Themen um den Umgang mit personenbezogenen Daten, technische und organisatorische Maßnahmen sowie die Bewertung von Dienstleistern und ausgelagerten Prozessen.

Gerade bei neuen SSC-Strukturen oder größeren Veränderungen ist es sinnvoll, beide Themen gemeinsam zu betrachten. So können Datenschutzanforderungen direkt in Prozesse, Systeme und Verantwortlichkeiten eingebaut werden. Das ist in der Regel einfacher, als Datenschutz erst im Nachgang zu ergänzen.

Auch bei bestehenden Shared Service Centern kann eine gemeinsame Betrachtung sinnvoll sein. Ein SSC-Assessment zeigt, wie Prozesse, Governance und Kontrollen aufgebaut sind. Eine ergänzende Datenschutzprüfung betrachtet, wie personenbezogene Daten verarbeitet werden und ob die bestehenden Maßnahmen dazu passen.

So lassen sich mögliche Schwachstellen früher erkennen und Maßnahmen gezielter ableiten.

Wie ITCA Sie unterstützt: Datenschutz-Prüfung und Datenschutzberatung aus einer Hand

Datenschutz im Shared Service Center bieten wir in zwei Formen an, die sich je nach Ausgangslage einzeln oder kombiniert beauftragen lassen: als unabhängige Prüfung, wenn Sie Gewissheit über den Status quo benötigen, und als Beratung, wenn Sie Ihr SSC aufbauen, verlagern oder weiterentwickeln.

Prüfung: Transparenz und belastbare Nachweise

  • Datenschutzprüfung der SSC-Prozesse: Wir prüfen, ob personenbezogene Daten in zentralisierten HR-, Finance- oder IT-Prozessen rechtmäßig, zweckgebunden und datensparsam verarbeitet werden und ob Verarbeitungsverzeichnis, Berechtigungs- und Löschkonzepte zur gelebten Praxis passen.
  • Prüfung der technischen und organisatorischen Maßnahmen: Wir beurteilen Angemessenheit und Wirksamkeit der Maßnahmen nach Art. 32 DSGVO – etwa Zugriffskontrollen, Protokollierung, Verschlüsselung und die Trennung der Daten verschiedener Gesellschaften.
  • Prüfung des SSC als Dienstleister: Erbringt das SSC Leistungen für andere Konzerngesellschaften oder externe Kunden, handelt es häufig als Auftragsverarbeiter. Ein Prüfungsbericht über die Datenschutzkontrollen schafft für die beauftragenden Gesellschaften Transparenz und kann aufwendige Einzelaudits reduzieren.
  • Prüfung von Dienstleistern: Wir bewerten eingebundene externe Dienstleister und Unterauftragsverarbeiter – von der Vertragsgestaltung nach Art. 28 DSGVO bis zu Datenübermittlungen in Drittländer.

Beratung: Datenschutz in die SSC-Governance integrieren

  • Privacy by Design: Bei Aufbau, Transformation oder Erweiterung eines SSC verankern wir Datenschutzanforderungen nach Art. 25 DSGVO direkt in Prozessdesign, Rollenmodell und Systemlandschaft.
  • Rollen und Verträge: Wir klären, wer Verantwortlicher, Auftragsverarbeiter oder gemeinsam Verantwortlicher ist, und unterstützen bei konzerninternen Datenschutzvereinbarungen sowie bei Drittlandtransfers, etwa über Standardvertragsklauseln.
  • Dokumentation und Risikobewertung: Wir unterstützen beim Verzeichnis von Verarbeitungstätigkeiten, bei Datenschutz-Folgenabschätzungen sowie bei Berechtigungs- und Löschkonzepten.
  • Readiness-Check: Vor einer Prüfung zeigt eine Gap-Analyse, wo Handlungsbedarf besteht, und hilft, Maßnahmen gezielt zu priorisieren.

Beide Leistungen lassen sich mit einem SSC-Assessment verbinden. Ob und in welcher Kombination Prüfung und Beratung möglich sind, klären wir vorab unter Beachtung der berufsrechtlichen Unabhängigkeitsanforderungen – insbesondere, wenn BDO zugleich Abschlussprüfer Ihres Unternehmens ist.

Datenschutz von Anfang an mitdenken

Shared Service Center leben von zentralen Prozessen und standardisierten Datenflüssen. Genau deshalb sollte Datenschutz von Beginn an Teil der SSC-Governance sein.

Durch die Verbindung von Shared Service Center Assessments und Datenschutzleistungen lassen sich Prozesse, Kontrollen und Datenschutzanforderungen gemeinsam betrachten. Unternehmen erhalten damit ein vollständigeres Bild ihrer SSC-Struktur und können organisatorische und datenschutzrechtliche Anforderungen besser miteinander verbinden. Ob Prüfung, Beratung oder beides: Das Team von IT & Controls Assurance unterstützt Sie dabei, Datenschutz im Shared Service Center wirksam und nachhaltig zu verankern. Sprechen Sie uns gerne an.

Dieser Artikel wurde verfasst von