Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 110

T ab. 5.4 Risikomatrix der Medium AG mit Bedeutungsgrenze

Risikomatrix

unternehmens-
gefährdend

X-
Reputationsschaden
X -Absatzeinbuße

hoch

X- Bußgelder

mittel

Bedeutungsgrenze

gering

unwahrscheinlich gelegentlich wahrscheinlich regelmäßig

Eintrittswahrscheinlichkeit

MediumAG
Bei der Medium AG legen der für den Datenschutz verantwortliche Finanzvorstand
und der externe DSB anhand der Risikomatrix eine Bedeutungsgrenze fest (Tab. 5.4 ).
Ausdieserfolgt: AlleDatenschutzrisikenausdemBereichdarübermüssenübergeeigne-
te Maßnahmen derart gemindert werden, dass sich ihre Einordnung nach erfolgreicher
Umsetzung dieser Maßnahmen in den Bereich darunter rechtfertigen lassen würde.
ImErgebnismüssendaherauchdieRisiken„Reputationsschaden“sowie„Absatzein-
buße“ verringert werden. Da sich diese v.a. aus dem CRM-System ableiten, müssen
an dieser Stelle risikoverringernde Maßnahmen ergriffen werden. Das weitere Ri-
siko („Bußgelder“) muss zunächst nicht zwingend verringert, aber bei der Auswahl
geeigneter Maßnahmen berücksichtigt werden. In Abstimmung mit den Datenschutz-
koordinatoren aus IT und dem B2C-Bereich, dem Informationssicherheitsbeauftragten
undeinemMitgliedausderRechtsabteilungkommtderexterneDSBdabeizufolgenden
Ergebnissen:
• Ein Betrieb der CRM-Datei auf der eigenen Infrastruktur nach den Anforderungen
des Vertriebs ist nicht möglich, die Anforderungen des Vertriebs sind nach den
Vorgaben des Bereichsleiters nicht absenkbar. Schwachstellen bedingt durch den
Einsatz eines Dritten (Cloud-Anbieter) können daher nicht gänzlich ausgeschlossen
werden.
• Es stehen alternative Cloud-Anbieter mit lokalen Servern in Deutschland bereit, die
zudem geeignete TOMs nachweisen können und auch von der Funktionalität und
den Vertragskonditionen akzeptabel sind. Insbesondere ist die Einrichtung eines
qualifizierten Zugriffsschutzes möglich. Damit würden die wichtigsten Schwachstel-