FAQ: Warum du dein DSMS auswendig kennen solltest

Datenschutz ist keine Selbstverständlichkeit. Tatsächlich handelt es sich um eine komplexe Angelegenheit, die juristisches Fingerspitzengefühl, Know-how und durchdachte Prozesse erfordert. Als Datenschutz­verantwortliche:r kannst du bestimmt ein Lied davon singen. Doch gerade auf den konkreten Plan solltest du beim Datenschutz­management nicht pfeifen. Und im Optimalfall gibt ein effizientes DSMS den Ton in deinem Unternehmen an.

Bitte nicht falsch verstehen: Ein Datenschutzmanagementsystem (DSMS) ist keine Software. Es handelt sich um ein Rahmenwerk für den Umgang mit datenschutzrechtlichen Aspekten in Unternehmen. Es geht unter anderem darum, technische und organisatorische Maßnahmen (TOM) auszugestalten, die den Schutz von personenbezogenen Daten gewährleisten.

Dabei definiert ein DSMS nicht nur, wie du als Datenschutz­verantwortliche:r deine tägliche Arbeit ausführst, überprüfst und nachweist. Es geht genauso darum, wie alle Mitarbeiter:innen deines Unternehmens die Interessen und Rechte von Kund:innen, Lieferant:innen, von Kolleg:innen sowie anderen Beteiligten in Bezug auf deren Daten schützen.

Tatsächlich schreibt die europäische Datenschutz-Grundverordnung (DSGVO) ein DSMS nicht zwingend vor. Dass du einen datenschutzrechtlichen Rahmen brauchst, lässt sich allerdings aus der gesetzlichen Rechenschaftspflicht für Unternehmen sowie der Umsetzungspflicht von Maßnahmen ableiten.

Hierzu zählen beispielsweise geeignete TOM und ein Verzeichnis der Verarbeitungstätigkeiten (VVT). Die DSGVO berücksichtigt ein effektives DSMS zudem als bußgeld­minderndes Merkmal. In Abwägungsfällen kann es DSGVO-Verstößen sogar vollständig entgegenstehen. Du fährst mit einem durchdachten DSMS also in sichereren Gewässern als ohne.

Ein Datenschutzmanagement­system definiert alle datenschutzrechtlich relevanten Aspekte in deinem Unternehmen. Es dreht sich um rechtliche und sicherheitstechnische Punkte bezüglich der Datenverarbeitung, der Bestimmungen von Zuständigkeiten, Arbeitsabläufen und Verhaltensweisen.

Ein effizientes und umfassendes Datenschutzmanagement ist essenziell für dich, um gesetzeskonform zu arbeiten. Mit einem DSMS entwirfst du dazu einen ganz konkreten Plan. Es ist das individuelle How-to für Datenschutz in deinem Unternehmen: ein wichtiges Rahmenwerk, dass dir langfristig hilft, ein angemessenes Datenschutzniveau sicherzustellen. Nicht zuletzt sorgt ein DSMS für Transparenz und fördert die datenschutzbezogene Zusammenarbeit im ganzen Unternehmen.

Ein Datenschutzmanagement­system muss alle wichtigen Anforderungen der relevanten Datenschutzgesetze abbilden können. Es geht um Real Talk in puncto DSGVO. Zu klären sind beispielsweise folgende Fragen:

Die DSGVO gibt nicht explizit vor, wie ein DSMS auszusehen hat. Deshalb ziehen Datenschutzspezialist:innen moderne Standards zu Hilfe. Hierzu zählen etwa die Normen ISO 9001 für Qualitäts­managementsysteme, ISO/IEC 27001 für Informationssicherheit und Managementsysteme sowie die darauf aufbauende ISO/IEC 27701 speziell für datenschutz­rechtliche Aspekte. Das sind jetzt viele komplizierte Bezeichnungen. Doch keine Scheu: Die Normen bieten wertvollen Input. Mach dir mal einen Tee und setz dich in Ruhe mit den Leitlinien und Gesetzestexten auseinander. Du bekommst so einen großartigen Überblick, worum es im Datenschutzmanagement geht.

Wie ein DSGVO-konformes DSMS nun ganz praktisch aussieht, lässt sich nicht pauschal beantworten. Das steht dir tatsächlich offen. Die Gesetze und die Normen geben bislang keine Best-Practise-Beispiele vor. Für Datenschutzverantwortliche gilt deshalb: Selbst ist der Mann bzw. die Frau – und genau hier fängt deine Datenschutz-Journey an.

Übrigens: Dein Engagement im Datenschutz kannst du für dein Unternehmen demnächst zertifizieren lassen. Die Deutsche Akkreditierungsstelle (DAkkS) hat diesbezüglich ein neues Akkreditierungsverfahren vorgestellt. Im Rahmen des „Projekts Datenschutz“ reichen aktuell erste Prüfdienstleister Zertifizierungsprogramme ein, die du buchen kannst, sobald sie genehmigt wurden. Mehr dazu liest du hier.

Eine bewährte Methode, um ein DSMS zu entwickeln und zu pflegen, ist der sogenannte PDCA-Zyklus. Das ist ein agiles Vorgehensmodell für Managementsysteme. Warum heißt es Zyklus? Weil es neben der Implementation eines DSMS dazu dient, Prüfschleifen zu schaffen, mit denen du dein DSMS langfristig up to date hältst. Es ist ein Kreislauf und sich in vier Phasen gliedert (Der PDCA-Zyklus ist auch im Standard-Datenschutzmodell zu finden). Diese Phasen sollten iterativ wiederholt werden, um das DSMS aktuell zu halten und kontinuierlich zu verbessern:

Obwohl der PDCA-Zyklus namentlich nicht in der DSGVO genannt wird, erkennen geübte DSGVO-Leser:innen die Systematik an vielen Stellen wieder: So spricht Artikel 38 Abs. 2 von der Planung des Ressourcenbedarfs (“Plan”) oder Art. 32 Abs. 1d von der Überprüfung der Wirksamkeit der getroffenen technischen und organisatorischen Maßnahmen (“Check”).

Unsere Erfahrung zeigt: Wer das Thema Datenschutz motiviert angeht, kommt schnell zu guten Ergebnissen. Dazu haben wir noch vier wichtige Praxistipps für dich:

Normen, PDCA, Prüfschleifen – das alles mag jetzt etwas abstrakt klingen. Du wirst jedoch merken, dass es dir leichtfallen wird, ein DSMS zu erstellen und zu pflegen. Auf alle Fälle empfehlen wir dir bei deiner Arbeit Folgendes: Nutze ein Tool. Eine Datenschutz­management-Software wie caralegal hilft dir dabei, ein DSMS kinderleicht aufzusetzen und dein Rahmenwerk in der Praxis zu umzusetzen.

Zentrales Element ist hierbei die einfache und anwenderorientierte Datenschutz-Dokumentation. Unsere Kund:innen werden von der Software bei deren Datenschutz-Dokumentation unterstützt, das reicht von einer automatischer Schwellwertanalyse zur Risikobewertung, über detaillierte Ermittlungen der Datenschutz-Compliance bis hin zur Identifikation und Dokumentation von Datenschutzvorfällen, vieles davon ist KI-basiert.

Ein modulares Rechte- und Rollensystem ermöglicht zudem die Abbildung internationaler und hochkomplexer Unternehmensstrukturen. Unser Compliance-Dashboard ermöglicht ein übergreifendes Monitoring und Reporting und unterstützt durch die Aufgaben- und Kommentarfunktion auch die Zusammenarbeit aller Nutzer:innen. Ein automatisiertes und digitales DSMS ist langfristig für zukunftsorientierte Unternehmen der beste Weg, ein hohes Datenschutzniveau zu erreichen und effizient zu erhalten.

Dennis Kurpierz

Co-Founder & COO von caralegal

Dennis Kurpierz ist Mitgründer und Chief Operating Officer von caralegal und kennt durch seine langjährige Erfahrung als Senior Consultant und Lead Project Manager bei der ISiCO Datenschutz GmbH die Kundenbedürfnisse sowie Pain Points und Herausforderungen im Datenschutzmanagement. Als Product Owner setzt er dieses Fachwissen in der Produktentwicklung von caralegal um.