Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 137

lagen, Informationen und Systeme etabliert hat, systematisch um Datenschutzaspekte
ergänzt.
Die DSMS-Dokumentation wurde zudem in die allgemeine Dokumentenverwal-
tung integriert. So können die Adressaten über die vertrauten Routinen den Umgang
mit der DSMS-Dokumentation pflegen. Dazu gehören neben dem Vereinheitlichen
des Layouts oder den Verfahren zur Dokumentenlenkung analog vorhandener ISO
9001-QMSe auch die Formen der Veröffentlichung: Während die allgemein zugäng-
lichen Dokumente - wie etwa die DSMS-Handbücher und die Sicherheitsstandards
- für alle Mitarbeiter im SAP-eigenen Intranet jederzeit einsehbar sind und damit
auch neben der persönlichen Rückfrage bei der DSMS-Administration zur Klärung von
datenschutzrelevanten Fragen verwendet werden können, werden die meisten Rah-
mendokumente nach dem Need-to-know-Prinzip von den Fachabteilungen geführt.
So wird beispielsweise das Risikoregister aufgrund der Notwendigkeit einer konzern-
weiten Risikoaggregation über das zentrale Risikomanagement verwaltet, die darin
enthaltenen Informationen aber regelmäßig mit der DSMS-Administration und den
Datenschutzkoordinatoren vor Ort ausgetauscht.
Diese Form der DSMS-Dokumentation hat sich für SAP bewährt. Sowohl in den
eigenen Verfahren zur Messung der Wirksamkeit des DSMS als auch über die externen
Audits konnte festgestellt werden, dass die Dokumentation Teil des „gelebten“ DSMS
in der betrieblichen Praxis geworden ist und den Erfolg des DSMS optimal unterstützt.
Am Ende der Dokumentationsphase sollten neben den zentralen Dokumenten - der Policy
und dem Handbuch - auch die wichtigsten Dokumente zur Unterstützung der nun folgen-
den Do-Phase erstellt bzw. in einer Art und Weise vorbereitet sein, die einen rechtzeitigen
Einsatz ermöglicht. Ist dies der Fall, so kann das DSMS in seine tatsächliche Anwendung
überführt und im folgenden Schritt im Anwendungsbereich ausgerollt werden.
Fazit
• Die DSMS-Dokumentation unterstützt die Beteiligten bei ihren Tätigkeiten im Rah-
men des DSMS und ermöglicht den Nachweis der Datenschutzkonformität im
DSMS-Anwendungsbereich.
• Die DSMS-Dokumentation sollte nach Möglichkeit in die allgemeine Unterneh-
mensdokumentation integriert werden.
• Dokumentieren ist kein Selbstzweck, sondern muss sich immer an der Erforderlich-
keit einer entsprechenden Dokumentation ausrichten.
• Ein sukzessiver Aufbau nach den Vorgaben der Datenschutz-Policy über das DSMS-
Handbuch ermöglicht es, den zahlreichen Dokumentationsanforderungen gerecht
zu werden und gleichzeitig ein zentrales Referenzwerk für das DSMS zu etablieren.
• Das DSMS-Handbuch ist das wichtigste Dokument des DSMS und vereint alle rele-
vanten Informationen in sich, entweder in direkter Form oder über einen Verweis
auf die einschlägigen Rahmendokumente.