FAQ: Warum Sie Ihr DSMS auswendig kennen sollten

Datenschutz ist keine Selbstverständlichkeit. Tatsächlich handelt es sich um eine komplexe Angelegenheit, die juristisches Fingerspitzengefühl, Know-how und durchdachte Prozesse erfordert. Als Datenschutz­verantwortliche:r können Sie bestimmt ein Lied davon singen. Doch gerade auf den konkreten Plan sollten Sie beim Datenschutz­management nicht pfeifen. Und im Optimalfall gibt ein effizientes DSMS den Ton in Ihrem Unternehmen an.

Bitte verstehen Sie nicht falsch: Ein Datenschutzmanagementsystem (DSMS) ist keine Software. Es handelt sich um ein Rahmenwerk für den Umgang mit datenschutzrechtlichen Aspekten in Unternehmen. Es geht unter anderem darum, technische und organisatorische Maßnahmen (TOM) auszugestalten, die den Schutz von personenbezogenen Daten gewährleisten.

Dabei definiert ein DSMS nicht nur, wie Sie als Datenschutz­verantwortliche:r Ihre tägliche Arbeit ausführen, überprüfen und nachweisen. Es geht genauso darum, wie alle Mitarbeiter:innen Ihres Unternehmens die Interessen und Rechte von Kund:innen, Lieferant:innen, von Kolleg:innen sowie anderen Beteiligten in Bezug auf deren Daten schützen.

Tatsächlich schreibt die europäische Datenschutz-Grundverordnung (DSGVO) ein DSMS nicht zwingend vor. Dass Sie einen datenschutzrechtlichen Rahmen brauchen, lässt sich allerdings aus der gesetzlichen Rechenschaftspflicht für Unternehmen sowie der Umsetzungspflicht von Maßnahmen ableiten.

Hierzu zählen beispielsweise geeignete TOM und ein Verzeichnis der Verarbeitungstätigkeiten (VVT). Die DSGVO berücksichtigt ein effektives DSMS zudem als bußgeld­minderndes Merkmal. In Abwägungsfällen kann es DSGVO-Verstößen sogar vollständig entgegenstehen. Sie fahren mit einem durchdachten DSMS also in sichereren Gewässern als ohne.

Ein Datenschutzmanagement­system definiert alle datenschutzrechtlich relevanten Aspekte in Ihrem Unternehmen. Es dreht sich um rechtliche und sicherheitstechnische Punkte bezüglich der Datenverarbeitung, der Bestimmungen von Zuständigkeiten, Arbeitsabläufen und Verhaltensweisen.

Ein effizientes und umfassendes Datenschutzmanagement ist essentiell für Sie, um gesetzeskonform zu arbeiten. Mit einem DSMS entwerfen Sie dazu einen ganz konkreten Plan. Es ist das individuelle How-to für Datenschutz in Ihrem Unternehmen: ein wichtiges Rahmenwerk, dass Ihnen langfristig hilft, ein angemessenes Datenschutzniveau sicherzustellen. Nicht zuletzt sorgt ein DSMS für Transparenz und fördert die datenschutzbezogene Zusammenarbeit im ganzen Unternehmen.

Ein Datenschutzmanagement­system muss alle wichtigen Anforderungen der relevanten Datenschutzgesetze abbilden können. Es geht um Real Talk in puncto DSGVO. Zu klären sind beispielsweise folgende Fragen:

Die DSGVO gibt nicht explizit vor, wie ein DSMS auszusehen hat. Deshalb ziehen Datenschutzspezialist:innen moderne Standards zu Hilfe. Hierzu zählen etwa die Normen ISO 9001 für Qualitäts­managementsysteme, ISO/IEC 27001 für Informationssicherheit und Managementsysteme sowie die darauf aufbauende ISO/IEC 27701 speziell für datenschutz­rechtliche Aspekte. Das sind jetzt viele komplizierte Bezeichnungen. Doch haben Sie keine Scheu: Die Normen bieten wertvollen Input. Machen Sie sich mal einen Tee und setzen sich in Ruhe mit den Leitlinien und Gesetzestexten auseinander. Sie bekommen so einen großartigen Überblick, worum es im Datenschutzmanagement geht.

Wie ein DSGVO-konformes DSMS nun ganz praktisch aussieht, lässt sich nicht pauschal beantworten. Das steht Ihnen tatsächlich offen. Die Gesetze und die Normen geben bislang keine Best-Practise-Beispiele vor. Für Datenschutzverantwortliche gilt deshalb: Selbst ist der Mann bzw. die Frau – und genau hier fängt deine Datenschutz-Journey an.

Übrigens: Ihr Engagement im Datenschutz können Sie für Ihr Unternehmen demnächst zertifizieren lassen. Die Deutsche Akkreditierungsstelle (DAkkS) hat diesbezüglich ein neues Akkreditierungsverfahren vorgestellt. Im Rahmen des „Projekts Datenschutz“ reichen aktuell erste Prüfdienstleister Zertifizierungsprogramme ein, die Sie buchen können, sobald sie genehmigt wurden. Mehr dazu können Sie hier lesen.

Eine bewährte Methode, um ein DSMS zu entwickeln und zu pflegen, ist der sogenannte PDCA-Zyklus. Das ist ein agiles Vorgehensmodell für Managementsysteme. Warum heißt es Zyklus? Weil es neben der Implementation eines DSMS dazu dient, Prüfschleifen zu schaffen, mit denen Sie Ihr DSMS langfristig up to date halten. Es ist ein Kreislauf und gliedert sich in vier Phasen (Der PDCA-Zyklus ist auch im Standard-Datenschutzmodell zu finden). Diese Phasen sollten iterativ wiederholt werden, um das DSMS aktuell zu halten und kontinuierlich zu verbessern:

Obwohl der PDCA-Zyklus namentlich nicht in der DSGVO genannt wird, erkennen geübte DSGVO-Leser:innen die Systematik an vielen Stellen wieder: So spricht Artikel 38 Absatz 2 von der Planung des Ressourcenbedarfs (“Plan”) oder Art. 32 Absatz 1d von der Überprüfung der Wirksamkeit der getroffenen technischen und organisatorischen Maßnahmen (“Check”).

Unsere Erfahrung zeigt: Wer das Thema Datenschutz motiviert angeht, kommt schnell zu guten Ergebnissen. Dazu haben wir noch vier wichtige Praxistipps für Sie:

Normen, PDCA, Prüfschleifen – das alles mag jetzt etwas abstrakt klingen. Sie werden jedoch merken, dass es Ihnen leicht fallen wird, ein DSMS zu erstellen und zu pflegen. Auf alle Fälle empfehlen wir Ihnen bei Ihrer Arbeit Folgendes: Nutzen Sie ein Tool. Eine Datenschutz­management-Software wie caralegal hilft Ihnen dabei, ein DSMS kinderleicht aufzusetzen und Ihr Rahmenwerk in die Praxis zu umzusetzen.

Zentrales Element ist hierbei die einfache und anwenderorientierte Datenschutz-Dokumentation. Unsere Kund:innen werden von der Software bei deren Datenschutz-Dokumentation unterstützt, das reicht von einer automatischer Schwellwertanalyse zur Risikobewertung, über detaillierte Ermittlungen der Datenschutz-Compliance bis hin zur Identifikation und Dokumentation von Datenschutzvorfällen, vieles davon ist KI-basiert.

Ein modulares Rechte- und Rollensystem ermöglicht zudem die Abbildung internationaler und hochkomplexer Unternehmensstrukturen. Unser Compliance-Dashboard ermöglicht ein übergreifendes Monitoring und Reporting und unterstützt durch die Aufgaben- und Kommentarfunktion auch die Zusammenarbeit aller Nutzer:innen. Ein automatisiertes und digitales DSMS ist langfristig für zukunftsorientierte Unternehmen der beste Weg, ein hohes Datenschutzniveau zu erreichen und effizient zu erhalten.

Dennis Kurpierz

Co-Founder & COO von caralegal

Dennis Kurpierz ist Mitgründer und Chief Operating Officer von caralegal und kennt durch seine langjährige Erfahrung als Senior Consultant und Lead Project Manager bei der ISiCO Datenschutz GmbH die Kundenbedürfnisse sowie Pain Points und Herausforderungen im Datenschutzmanagement. Als Product Owner setzt er dieses Fachwissen in der Produktentwicklung von caralegal um.