Sechs Vorhaben. Sechs echte Pläne.

Pflichten mit Vorlauf

• Gesetzlich2–6 Wochen vor dem Go-live
  Auftragsverarbeitungsvertrag mit Microsoft nach Art. 28 DSGVO prüfen, abschließen und vor der Verarbeitung echter Daten dokumentieren; Abschluss spätestens in Woche 9 vor dem Pilot mit Echtdaten
• Richtwert2–4 Wochen vor dem Go-live
  Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO an die neuen Azure- und Microsoft-365-Verarbeitungen anpassen und Datenschutz-Folgenabschätzung nach Art. 35 DSGVO prüfen beziehungsweise durchführen
• Richtwert4–8 Wochen vor dem Go-live
  NIS2-Anwendbarkeit anhand Tätigkeit, Sektor, Beschäftigtenzahl und Umsatz verbindlich bewerten; falls anwendbar, Cloud-Risikomanagement, Lieferkettensicherheit, Sicherheitsmaßnahmen und Nachweise dokumentieren
• Richtwert6–12 Wochen vor dem Go-live
  Betriebsrat frühzeitig beteiligen und bei bestehendem Betriebsrat eine Betriebsvereinbarung für Protokollierung, Auswertungen und potenzielle Leistungs- oder Verhaltenskontrolle nach § 87 Abs. 1 Nr.
• Pflicht
  Drittlandübermittlungen, Standardvertragsklauseln, technische Zusatzmaßnahmen und Unterauftragnehmer von Microsoft nach Art. 44 ff. DSGVO bewerten und freigeben

Größte Risiken

• hochUnvollständige Abhängigkeiten und nicht dokumentierte Schnittstellen
  Gegenmaßnahme: Cloud- und Infrastrukturarchitektur erstellt gemeinsam mit IT-Betrieb und Anwendungs verantwortlichen bis Ende Woche 5 einen vollständigen System-, Schnittstellen- und Abhängigkeitskatalog.
• hochInkompatibilität geschäftskritischer Fachanwendungen
  Gegenmaßnahme: Anwendungs verantwortliche und der externe Migrationspartner erstellen bis Ende Woche 12 eine Kompatibilitätsmatrix.
• hochDatenverlust oder längere Betriebsunterbrechung bei der Umschaltung
  Gegenmaßnahme: Projektleitung und Migrationsteam definieren bis Ende Woche 12 verbindliche Go-/No-Go- und Rückfallkriterien. Vor jeder Produktivsetzung werden mindestens ein Probelauf, ein Datenintegritätsabgleich

Beteiligte

Budgetrahmen

Pflichten mit Vorlauf

• Richtwert2–4 Wochen vor dem Go-live
  Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO für ERP, Lager, Produktion, Benutzerverwaltung, Protokollierung, DATEV-Schnittstelle und Migration ergänzen.
• Gesetzlich2–6 Wochen vor dem Go-live
  Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit ERP-Anbieter und gegebenenfalls weiteren Dienstleistern rechtlich prüfen, Anlagen zu Weisungen, Unterauftragnehmern, TOMs
• Richtwert6–12 Wochen vor dem Go-live
  Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG beteiligen, sofern ein Betriebsrat besteht. Rollen, Protokollierung, Auswertungen
• Richtwert4–8 Wochen vor dem Go-live
  GoBD-konforme Verfahrensdokumentation für Buchungen, Belege, Schnittstellen, Kontrollen, Berechtigungen, Änderungen, Aufbewahrung und Wiederherstellung erstellen.
• Pflicht
  Datenschutz-Folgenabschätzung nach Art. 35 DSGVO prüfen und, falls wegen systematischer Protokollierung, Auswertungen oder umfangreicher Verarbeitung erforderlich, durchführen.

Größte Risiken

• hochFehlerhafte oder unvollständige Stammdatenmigration
  Gegenmaßnahme: Die Leitung Materialwirtschaft benennt bis Woche 14 Datenverantwortliche je Objekt, definiert bis Woche 22 verbindliche Qualitätsregeln und führt mit IT und ERP-Partner mindestens drei …
• hochUngeeignete Abbildung der Produktionsplanung
  Gegenmaßnahme: Produktionsleitung und Produktionsplanung definieren mit den Key Usern bis Woche 10 verbindliche Planungsregeln.
• hochStörungen der DATEV- und Finanzintegration
  Gegenmaßnahme: Finanzbuchhaltung, Steuerberatung und DATEV-Ansprechpartner geben Kontierungs- und Übergaberegeln bis Woche 18 frei.

Beteiligte

Budgetrahmen

Pflichten mit Vorlauf

• Richtwert2–4 Wochen vor dem Go-live
  Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO ergänzen und Datenflüsse, Zwecke, Empfänger, Standortdaten, Berechtigungen sowie Speicherfristen dokumentieren
• Gesetzlich2–6 Wochen vor dem Go-live
  Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dem Anbieter abschließen; keine Verarbeitung von Echtdaten oder Datenmigration vor Vertragsabschluss
• Richtwert6–12 Wochen vor dem Go-live
  Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG beteiligen und bei bestehendem Betriebsrat eine Betriebsvereinbarung zur App, Datennutzung, Kontrolle, Korrektur und Auswertung abschließen; ohne Einigung kein Go-live
• Richtwert4–8 Wochen vor dem Go-live
  Prüfen, ob die Lösung buchhaltungs- oder steuerrelevante Daten verarbeitet; bei Anwendbarkeit Verfahrensdokumentation und revisionssichere Archivierung nach GoBD sicherstellen sowie E-Rechnung testen
• Gesetzlich2–4 Wochen vor dem Go-live
  Erfassungsregeln für Beginn, Ende, Pausen, Mehrarbeit, Korrekturen und mobile Arbeit nach ArbZG, § 16 Abs. 2 ArbZG und BAG 1 ABR 22/21 festlegen, technisch konfigurieren und im Pilot validieren

Größte Risiken

• hochVerzögerte Betriebsvereinbarung und Mitbestimmung
  Gegenmaßnahme: Die Projektleitung und Geschäftsführung klären den Betriebsratsstatus in Woche 1, binden den Betriebsrat unmittelbar ein und starten die Verhandlung spätestens in Woche 2.
• hochUnvollständige Datenschutzprüfung oder fehlender Auftragsverarbeitungsvertrag
  Gegenmaßnahme: Der Datenschutzbeauftragte und die IT erfassen in Woche 1 bis 2 alle Datenflüsse, Zwecke, Empfänger, Standortdaten und Berechtigungen und ergänzen das VVT.
• hochFehlerhafte Lohnabrechnungsschnittstelle oder fehlende Fachressourcen
  Gegenmaßnahme: Personalwesen und Lohnabrechnung definieren gemeinsam mit IT und Anbieter das Mapping bis Ende Woche 4. IT richtet bis Ende Woche 6 eine Testumgebung ein.

Beteiligte

Budgetrahmen

Pflichten mit Vorlauf

• Gesetzlich2–4 Wochen vor dem Umzug
  Gefährdungsbeurteilung der neuen Arbeitsstätte nach § 3 ArbStättV erstellen, dokumentieren und daraus abgeleitete Mängel an Arbeitsplätzen, Fluchtwegen
• Gesetzlichbis 1 Woche vor dem Umzug
  Beschäftigte nach § 12 ArbSchG spätestens bis eine Woche vor dem Umzug zu Flucht- und Rettungswegen, Notfallabläufen und den wesentlichen Änderungen am neuen Standort unterweisen.
• Richtwert8–16 Wochen vor dem Umzug
  Falls ein Betriebsrat besteht: Betriebsrat nach § 111 BetrVG unverzüglich über die Betriebsverlegung unterrichten und den Versuch eines Interessenausgleichs vor der Durchführung dokumentiert aufnehmen.
• Richtwert1–2 Wochen vor dem Umzug
  Akten und Datenträger nach DSGVO-Grundsätzen, insbesondere Vertraulichkeit und Integrität, inventarisieren, sicher verpacken

Größte Risiken

• hochVerzögerung durch Betriebsratsbeteiligung
  Gegenmaßnahme: Die Geschäftsführung stellt gemeinsam mit der Projektleitung in Woche 1 fest, ob ein Betriebsrat besteht, unterrichtet ihn unverzüglich nach § 111 BetrVG und dokumentiert den Versuch eines …
• hochFehlende Betriebsbereitschaft durch verzögerte IT- und Netzwerkbereitstellung
  Gegenmaßnahme: Die IT-Leitung beauftragt Anschlüsse und Komponenten bis Ende Woche 6, erstellt bis Ende Woche 4 ein Umschalt- und Rückfallkonzept und führt mit den IT-Dienstleistern bis Ende Woche 9 …
• hochNicht erfüllte Anforderungen an Arbeitsstätte und Arbeitsschutz
  Gegenmaßnahme: Die Fachkraft für Arbeitssicherheit erstellt gemeinsam mit der Projektleitung die Gefährdungsbeurteilung ab Woche 7

Beteiligte

Budgetrahmen

Pflichten mit Vorlauf

• Gesetzlich4–8 Wochen vor dem Inverkehrbringen
  Pflichtangaben nach LMIV beziehungsweise VO (EU) 1169/2011 erstellen, insbesondere Bezeichnung, Zutatenverzeichnis, hervorgehobene Allergene, Nettofüllmenge, Mindesthaltbarkeitsdatum
• Gesetzlich2–6 Wochen vor dem Inverkehrbringen
  HACCP-Konzept nach Art. 5 VO (EG) 852/2004 für die neue Rezeptur und den Herstellprozess anpassen, Gefahrenanalyse, kritische Lenkungspunkte
• Gesetzlich1–2 Wochen vor dem Inverkehrbringen
  Falls die Produkte in Verpackungen an private Endverbraucher abgegeben werden: Registrierung im Verpackungsregister LUCID und Systembeteiligung für die betreffenden Verpackungen vor dem ersten Inverkehrbringen …
• Gesetzlich1–2 Wochen vor dem Inverkehrbringen
  Falls eine neue Betriebsstätte genutzt oder die Tätigkeit wesentlich geändert wird: die Änderung nach Art. 6 VO (EG) 852/2004 bei der zuständigen Lebensmittelüberwachung anzeigen und die Einreichung …
• Pflicht
  Eignung und Konformität der Flaschen, Verschlüsse, Etikettenklebstoffe und sonstigen Lebensmittelkontaktmaterialien nach VO (EG) 1935/2004 und, soweit anwendbar, VO (EG) Nr.

Größte Risiken

• hochUnzureichende Haltbarkeit
  Gegenmaßnahme: Qualitätsmanagement und Produktentwicklung definieren bis Ende Woche 5 die Prüfmatrix, starten die Lager- und Belastungstests spätestens in Woche 6 und bewerten in Woche 10 verbindlich die …
• hochMikrobiologische Produktsicherheitsabweichung
  Gegenmaßnahme: Qualitätsmanagement und Produktion legen bis Woche 10 die kritischen Prozessparameter und Grenzwerte fest, prüfen diese in der Pilotproduktion in Woche 16–17 und sperren jede Charge mit …
• hochFehlerhafte LMIV-Kennzeichnung
  Gegenmaßnahme: Produktentwicklung und Qualitätsmanagement führen in Woche 11–13 eine dokumentierte Allergen- und Nährwertprüfung durch.

Beteiligte

Budgetrahmen

Pflichten mit Vorlauf

• Richtwert2–4 Wochen vor dem Go-live
  Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO um Shop, Zahlungsanbieter, Warenwirtschaft, Hosting, Tracking, Kundenkonten und Migration ergänzen; Datenschutz-Folgenabschätzung nach Art.
• Gesetzlich2–6 Wochen vor dem Go-live
  Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Shopsystem-, Hosting-, Zahlungs- und Integrationsdienstleistern abschließen; Prüfung der Subunternehmer und technischen-organisatorischen Maßnahmen.
• Richtwert6–12 Wochen vor dem Go-live
  Betriebsrat beteiligen und bei bestehendem Betriebsrat eine Betriebsvereinbarung nach § 87 Abs. 1 Nr. 6 BetrVG zur geeigneten technischen Überwachungseinrichtung abschließen.
• Richtwert4–8 Wochen vor dem Go-live
  Verfahrensdokumentation nach GoBD aktualisieren, revisionssichere Archivierung steuerrelevanter Belege und Daten sicherstellen sowie Erzeugung, Eingang, Verarbeitung
• Gesetzlich1–3 Wochen vor dem Go-live
  Datenschutzerklärung, Einwilligungsabfrage nach § 25 TDDDG für nicht notwendige Cookies und Tracking sowie Verträge und Rechtsgrundlagen für eingesetzte Analyse-, Marketing-

Größte Risiken

• hochVerzögerung des Go-live vor dem Weihnachtsgeschäft
  Gegenmaßnahme: Die Projektleitung richtet in Woche 1 ein verbindliches Entscheidungs- und Eskalationsverfahren ein, friert den Mindestumfang nach Woche 3 ein und lässt die Geschäftsführung wöchentlich über …
• hochFehlerhafte Warenwirtschafts- und Bestandsintegration
  Gegenmaßnahme: Der Implementierungspartner erstellt bis Woche 11 ein dokumentiertes Schnittstellen- und Fehlerkonzept; Lager, Vertrieb und Buchhaltung führen in den Wochen 15 bis 17 verbindliche End-to-End-Tests …
• hochFehlgeschlagene Zahlungsintegration
  Gegenmaßnahme: Der Zahlungsanbieter und der Implementierungspartner testen bis Woche 17 alle produktiv vorgesehenen Zahlungsarten einschließlich 3-D-Secure, Rückerstattung, Storno, Abbruch und Wiederholung.

Beteiligte

Budgetrahmen