Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 178

Diese Maßnahmen über eine Analyse potentieller Fehlerursachen zu ermitteln ist deut-
lich aufwendiger, aber umso lohnender, wenn man sich das große Risikopotential
des Datenschutzes (siehe Abschn. 2.3) vor Augen führt: Jeder präventiv verhin-
derte Datenschutzvorfall wiegt die Aufwände zur Ermittlung und Umsetzung dieser
Vorbeugemaßnahmen meist deutlich auf.
In die CAPA-Liste werden zu einer effektiven Verwaltung dieser Maßnahmen demnach
eingetragen:
• Beschreibung der Maßnahme
• Verantwortlicher für deren Umsetzung
• Herleitung der Maßnahme (z.B. als Audit-Ergebnis, im Rahmen einer informellen
Kontrolle oder durch Vorschlag eines Mitarbeiters)
• Zeitpunkt der Identifizierung der Maßnahme
• Fälligkeit der Umsetzung
• Status der Umsetzung
• Letztmalige Aktualisierung
Mit der CAPA-Liste kann in den Audits die kontinuierliche Verbesserung im Rahmen des
DSMS nachgewiesen werden. Sie wird zudem später um die Ergebnisse aus Audits und
Management Review ergänzt. An diesen Stellen wird sich dann zeigen, wie wichtig eine
bereits frühzeitige Etablierung eines Verbesserungswesens vor den Audits ist: Einerseits
werden Audit-Ergebnisse bereits im Vorfeld verbessert, andererseits kann im Anschluss
an die Audits direkt auf diesen Strukturen aufgebaut werden. Deshalb gilt: Mit der Verbes-
serung nicht bis nach den Audits warten, sondern durchgehend entsprechendes Potential
erkennen, dokumentieren und umsetzen. Damit kann gar nicht früh genug angefangen
werden.
Die Verwaltung der CAPA-Liste sollte von einer zentralen Stelle - etwa dem Ver-
antwortlichen für den Datenschutz - übernommen werden, um auf diese Weise den
Fortschritt im Blick zu haben und auch fachbereichsübergreifende Maßnahmen koordi-
nieren zu können. Die CAPA-Liste stellt jedoch nur die Dokumentation der Verbesserung
des DSMS dar, die Methoden müssen vom Unternehmen selbst ermittelt werden. Dazu
lassen sich die Methoden des Qualitätsmanagements vielfach analog auf die Verbesserung
des DSMS anwenden 22 [44].
KleinGmbH
Der Verantwortliche für den Datenschutz führt die CAPA-Liste selbst und richtet
zudem im lokalen Netzwerk im Datenschutzbereich einen Verweis auf das Vorschlags-
wesendesQMSein, indemjederMitarbeiterVerbesserungsvorschlägeeinreichenkann.
22 Vgl. zu diesen Methoden: Wagner/Käfer , Prozessorientiertes Qualitätsmanagement, S. 234 ff.