Gap-Analyse

Ein Fragebogen, der jedem Unternehmen dieselben 2000 Fragen stellt, wird von niemandem zu Ende beantwortet. Die Gap-Analyse löst das über eine Relevanzlogik: Jedes der möglichen Themen trägt einen eigenen Auslösesatz, der bestimmt, ob es überhaupt erscheint. Ein Betrieb ohne Fuhrpark sieht keine Frage zum Fuhrparkmanagement – nicht weil sie übersprungen, sondern weil sie ihm gar nicht erst gestellt wird.

Wie sich der Fragebogen selbst zuschneidet

Jedes Thema gehört zu einem von dreizehn Themenbereichen und trägt eine von drei Stufen.

Kern-Themen sind so gut wie immer zu prüfen. Lohnabrechnungsprogramme etwa gelten als Kern-Thema, weil sie „für jedes Unternehmen mit Beschäftigten relevant” sind; dieselbe Einstufung tragen die Informationspflichten nach DSGVO oder der Schutz vor Schadsoftware, jeweils mit der Erläuterung „für jedes Unternehmen relevant”. Vereinzelt trägt auch ein Kern-Thema eine eigene Schwelle, wenn schon die gesetzliche Pflicht selbst so beginnt – die Benennung eines Datenschutzbeauftragten etwa ist als Kern-Thema markiert, aber „relevant, wenn: ab 20 Personen mit regelmäßiger automatisierter Verarbeitung”.

Erweiterte Themen kommen hinzu, sobald ein bestimmtes Werkzeug oder eine bestimmte Praxis im Einsatz ist – nicht bei jedem, aber bei den meisten. Mobile Betriebssysteme sind relevant „bei geschäftlicher Nutzung von Smartphones/Tablets”, Webkonferenzen „für jedes Unternehmen mit Videokonferenz-Einsatz”, Künstliche Intelligenz „sobald KI-Systeme im Unternehmen eingesetzt oder erprobt werden”.

Situative Themen tauchen nur bei einem ganz bestimmten Umstand auf: einer Branche, einem System, einem einzelnen Vorgang. Das betriebliche Eingliederungsmanagement wird relevant, „sobald Beschäftigte länger als 6 Wochen im Jahr arbeitsunfähig waren”, der Drittland-Datentransfer, „sobald Dienstleister, Konzerngesellschaften oder Empfänger außerhalb der EU beteiligt sind”, Videoüberwachung „beim Einsatz von Kameras”. Wer nichts davon betreibt, bekommt die Frage nie zu sehen.

Zu jedem Thema gehören dieselben drei Angaben: der Name, die Stufe und ein Satz, der in eigenen Worten erklärt, worum es geht – gefolgt vom Auslösesatz, der die Relevanz entscheidet.

Die dreizehn Themenbereiche

Die dreizehn Themenbereiche
Themenbereich	Worum es geht
Beschäftigte	Personalakte, Lohnabrechnung, Zeiterfassung, betriebliches Eingliederungsmanagement, Fuhrpark
Betroffenenrechte	Auskunft, Informationspflichten, Beschwerden, Widerspruch
Branche	Zusatzfragen für einzelne Branchen, etwa die Immobilienwirtschaft
Cloud & Betrieb	SaaS/IaaS/PaaS, Cloud-Migration, mobile und Windows-Systeme, Dokumentenmanagement
Endgeräte & Mobil	Homeoffice, WLAN, Bring Your Own Device, dienstliche Apps
IT-Sicherheit	Datensicherung, Verschlüsselung, Netzwerksicherheit, Notfallkonzept, Passwortrichtlinie
Kommunikation	Telefonie und VoIP, Messenger, E-Mail, Newsletter
Marketing & Kunden	Social Media, Kundenbindungsprogramme, Werbung in sozialen Netzwerken
Organisation	Benennung des Beauftragten, Folgenabschätzung, Verarbeitungsverzeichnis, Datenschutzmanagementsystem
Spezialverfahren	Künstliche Intelligenz, Biometrie, Videoüberwachung, Ortung, vernetzte Fahrzeuge
Verarbeitung	Auftragsverarbeitung, Löschung, Archivierung, Drittlandtransfer
Website & Online	Cookie-Consent, CMS, Online-Shop, Tracking, Bewertungsportale
Zahlung & Finanzen	Online-Banking, E-Payment, mobiles Bezahlen

Vom Fragebogen zum Bericht

Ausgefüllt wird der Fragebogen nicht an einem Stück und nicht von einer Person. Er lässt sich nach Fachbereich aufteilen – Marketing beantwortet die eigenen Themen, Personal die eigenen, IT die eigenen –, und der Zugang lässt sich mit Kolleginnen und Kollegen teilen. Ein Assistent führt durch die zutreffenden Themen; zu jedem lässt sich vermerken, ob es aufgenommen wird, nicht anwendbar ist oder noch offen bleibt. Der Gesamtfortschritt zeigt jederzeit, wie viel Prozent der relevanten Themen beantwortet sind – relevant, nicht insgesamt, denn die nicht zutreffenden zählen gar nicht erst mit.

In einem Beispielbericht mit einem Platzhalterunternehmen markierte die Relevanzlogik 124 der geprüften Themen als zutreffend, keines als nicht anwendbar und ließ eine einzige Frage offen. Das zeigt, wie granular die Auswertung mitläuft – nicht erst am Ende als Gesamturteil, sondern Thema für Thema.

Aus den beantworteten Angaben entsteht automatisch ein Gap-Analyse-Bericht: eine Liste dessen, was vorhanden ist, was fehlt, und wo der größte Handlungsbedarf liegt. Die Ergebnisse fließen anschließend in ein Kick-off-Gespräch mit dem Berater und in das Audit-Modul, in dem der Handlungsbedarf zu Aufgaben mit Termin und Verantwortlichem wird.

Bis zu 2000 Fragen – aber nicht für jeden

Die Themenbereiche selbst sind die grobe Gliederung; hinter jedem stehen weitere Einzelfragen. Über die gesamte Bibliothek summiert sich das auf bis zu 2000 mögliche Fragen – erreicht wird diese Zahl nur, wenn praktisch jede Erweiterte und jede Situative Bedingung zugleich zutrifft: ein großes Unternehmen mit mehreren Gesellschaften, eigenem Fuhrpark, KI-Einsatz, Videoüberwachung und Datenübermittlung ins Ausland. Ein kleiner Betrieb ohne diese Besonderheiten beantwortet einen Bruchteil davon. Genau das ist der Unterschied zwischen einer Prüfliste, die alles fragt, und einer, die weiß, was sie fragen muss.

Grenzen

Die Relevanzlogik ersetzt keine rechtliche Bewertung im Einzelfall. Sie entscheidet, ob ein Thema überhaupt zur Sprache kommt – ob eine konkrete Antwort ausreicht, klärt das Kick-off-Gespräch mit dem Berater.

Ehrlich beantwortet werden muss er trotzdem. „Nicht anwendbar” ist eine Einschätzung, keine Garantie. Falsch beantwortet verschiebt sich nur der Zeitpunkt, an dem eine Lücke auffällt – auf einen ungünstigeren.