Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 122

sind. Dazwischen steht die für das Unternehmen optimale DSMS-Dokumentation. Jedes
Unternehmen definiert daher eigens für sich, wie eine solche Dokumentation ausgestaltet
werden muss.
Ein wichtiger Aspekt in diesen Überlegungen ist die Integration der DSMS-
Dokumentation in die allgemeine Dokumentationspraxis im Unternehmen. Dies betrifft
in erster Linie die Ergänzung bestehender Dokumente um DSMS-Aspekte als auch das
allgemeine Dokumentenmanagement Abschn. 5.2.4.3.4). Insbesondere bestehende Do-
kumentationen anderer Managementsysteme können - je nach thematischer Nähe und
Eignung des Dokuments - ergänzt werden. Hierzu eignet sich insbesondere verwand-
te Dokumentation aus dem Bereich der (IT-)Sicherheit 10 [37]. Auch ein gemeinsames
Managementhandbuch kann hilfreich sein und als umfangreiches Nachschlagewerk meh-
rerer Managementsysteme für die Verantwortlichen geführt werden. Auf diese Weise
wird die Integration parallel betriebener Managementsysteme gefördert und erste Schritte
hin zu einem integrierten Managementsystem vorgenommen. Ziel muss sein, die DSMS-
Dokumentation nicht bloß zu erstellen und abzulegen, sondern - als viel wichtigerer
Aspekt - sie als praktische Orientierungshilfe für alle Beteiligten auszugestalten.
Um dies zu erreichen, ist es sinnvoll, die Dokumentation sukzessiv zu erarbeiten. Im
Rahmen des PDCA-Zyklus bietet sich über die kontinuierliche Verbesserung an vielen
Stellen die Möglichkeit, zusätzliche Dokumente abzufassen. Die Erstimplementierung
erfordert nicht unbedingt den „großen perfekten Wurf“. Zudem ist aufgrund der sich
verändernden Prozesse und Rahmenbedingungen sowieso eine regelmäßige Anpassung
der Dokumentation vonnöten. Scheiden etwa Mitarbeiter mit DSMS-Verantwortung aus
dem Unternehmen aus, muss diese Rolle im DSMS neu besetzt und die Dokumentation
entsprechend aktualisiert werden.
In manchen Fällen kann eine vollständige Dokumentation auch aufgrund der begrenz-
ten Zeit für die (Erst-)Implementierung nicht verfasst werden. So stellt sich beispielsweise
die Einführung von Unternehmensrichtlinien insbesondere in mittleren und großen Un-
ternehmen als umfangreiches Projekt dar 11 [43]: Richtlinien bedürfen der Expertise
anderer Fachabteilungen - z.B. der Rechtsabteilung - und ziehen lange Beratungspha-
sen nach sich. Betrifft die Richtlinie Bereiche der betrieblichen Mitbestimmung, spielt
in Deutschland der Betriebsrat eine gewichtige Rolle. Anschließend erfolgt eine Freigabe
durch die Geschäftsleitung und durch den Normcharakter der Richtlinie müssen ent-
sprechende Trainingsangebote an die Mitarbeiter bereitgestellt werden. Dies zeigt exem-
plarisch, dass auch ein „Zuviel“ an Dokumentation den Erfolg des DSMS gefährden kann,
wenn diese Vorbereitungsphasen nicht berücksichtigt werden.
Daran schließt sich die Frage an: Wie sollte generell die Erstellung der DSMS-
Dokumentation angegangen werden? Es bietet sich an, zunächst die zentralen Dokumente
auszufertigen und an diesen je nach Bedarf und Möglichkeiten weitere Dokumente aus-
zurichten. Zu diesen zentralen Dokumenten zählen die Datenschutz-Policy und das
10 Vgl. ausführlich zur IT-Dokumentation: Reiss / Reiss , Praxisbuch IT-Dokumentation.
11 Dazu ausführlich Stork ; Step-by-step: Die Einführung von Richtlinien im Unternehmen.