Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 84

kürzte Fassung der Policy soll nach erfolgreicher Implementierung des DSMS auf der
Internetseite der Klein GmbH veröffentlicht werden und dort die Beschreibung der
Unternehmensphilosophie ergänzen. Die Bekanntmachung der Policy gegenüber der
Belegschaft erfolgt später gemeinsam mit dem allgemeinen Roll-out des DSMS.
MediumAG
Der externe DSB holt sich vom für den Datenschutz verantwortlichen Finanzvorstand
den Auftrag, eine Datenschutz-Policy für die Medium AG zu entwickeln. Der exter-
ne Datenschutzbeauftragte erstellt sodann eine Datenschutz-Policy, die sich in ihren
Datenschutzzielen materiell am BDSG orientiert, wobei ausdrücklich betont wird, dass
etwaige strengere Rechtsvorschriften anwendbar auf die internationalen Tochtergesell-
schaften immer vorrangig zu beachten sind. Zudem sollen sich zukünftig auch alle
ADV-Dienstleister auf die Einhaltung der Datenschutz-Policy verpflichten. Weiterhin
wird das Governance Model festgeschrieben, insbesondere die Rolle des (externen)
DSB als ordnende Instanz mit Weisungsrechten im DSMS und die Verpflichtung der
Bereichsleiter zur Ernennung von Datenschutzkoordinatoren in ihrem Verantwor-
tungsbereich. Die Policy reiht sich neben die bestehenden Policies der Medium AG
ein. So hat sich in diesen als formaler Aspekt beispielsweise die direkte Ansprache
der Mitarbeiter in Form von „10 goldenen Regeln“ etabliert, die entsprechend auch
für den Datenschutz anhand der Datenschutzziele ausformuliert wurden. Auch hat
die Medium AG bereits im Rahmen ihres ISO 27001- ISMS eine Informationssicher-
heitsrichtlinie erstellt. In diese wird unter Beteiligung des ISMS-Verantwortlichen die
Datenschutz-Policy integriert. Das Ergebnis wird dem Verantwortlichen für den Da-
tenschutz (Finanzvorstand) vorgetragen, welcher das finale Dokument in der nächsten
Vorstandssitzung vorstellt, wo es vom Gesamtvorstand beschlossen wird.
Die Policy soll später im Rahmen des Roll-out der DSMS-Implementierung über die
entsprechenden Kanäle den Mitarbeitern bekannt gemacht werden.
SAP
Bei SAP gab es bereits vor Einführung des DSMS eine Datenschutz-Policy, die sich
am strengen Leading Law - dem BDSG - orientiert. Gleichwohl wird explizit darauf
hingewiesen, dass einzelstaatliche Regelungen (welche von den lokalen Datenschutz-
koordinatoren ermittelt und umgesetzt werden müssen) Vorrang haben, wenn diese
höhere Anforderungen besitzen. Auf diese Weise wird zum einen mit der Ausrich-
tung am BDSG global ein hohes Datenschutzniveau festgeschrieben, zum anderen aber
auch den lokalen Besonderheiten ausreichend Rechnung getragen. Die Policy wird
in das unternehmensweit gültige Policy-Framework eingegliedert, entsprechend regel-
mäßig einer Revision unterzogen und ist an alle Verantwortlichen gerichtet, also die
Geschäftsleitung der Konzerngesellschaften und das verantwortliche Management al-
ler Geschäftsprozesse. Weiterhin enthält die Policy die Beschreibung des Governance