Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 180

SAP
Die Aufrechterhaltung des Verbesserungsprozesses und Auswahl der Methoden abseits
der Audits obliegt primär den lokalen Datenschutzvertretern, wobei sie die ermittelten
Verbesserungspotentiale an das Security & Data Protection Office weiterleiten. Dieses
führtdiejeweiligenCAPA-ListenundforciertanhanddieserdiekontinuierlicheVerbes-
serung an den entsprechenden Stellen. Neben lokalem Handlungsbedarf gibt es häufig
auch Optionen, die auf globaler Ebene adressiert werden müssen. Dies ist dann eine
Aufgabe des SDPO in Kooperation mit weiteren Abteilungen und dem Konzern-DSB.
Als zentrale Anlaufstelle für die Datenschutzvertreter hat sich auch die eigens
eingerichtete Datenschutz-Community im Intranet etabliert. Hier tauschen diese un-
tereinander ihre Best Practices aus. Dabei werden häufig Verbesserungspotentiale
ersichtlich, die auch in vielen anderen Lokationen bestehen. So wurde beispielsweise als
schnell umzusetzende Maßnahme zur Awareness das Konzept einer Hinweiskarte vor-
gestellt, über die alle Mitarbeiter auf einen Blick die Standorte zur datenschutzgerechten
Dokumentenentsorgung in der jeweiligen Lokation ermitteln können.
Im Allgemeinen besteht bei SAP bereits durch das in vielen Bereichen schon
vorhandene QMS eine ausgeprägte Verbesserungskultur, die sich sehr positiv auf
das DSMS auswirkt. Auch die Außenwirkung des DSMS wird regelmäßig über
Kundenumfragen und -bewertungen gemessen und daraus Verbesserungspotential ab-
geleitet, denn das DSMS wurde auch als Möglichkeit zum qualifizierten Nachweis der
Datenschutzkonformität von SAP eingeführt.
Die Realisierung des DSMS, d.h. die Überführung des theoretischen Modells in die Pra-
xis, stellt einen kontinuierlichen Prozess dar, der nicht mit dem Beginn der Audit- und
Review-Phase endet, sondern durchgängig erfolgt. Niemals sollte der große Aufwand
unberücksichtigt bleiben, der sich über die Umsetzung der im Rahmen der Risikoana-
lyse definierten Maßnahmen ergibt, aber hier aufgrund der zu großen Unterschiede in
der Realität nicht praxisgerecht wiedergegeben werden kann. Die Ausführungen an die-
ser Stelle sollen dem Leser eine Vorstellung davon verleihen, welche Grundstrukturen
neben den Maßnahmen an diesem Punkt der Implementierung für ein funktionie-
rendes DSMS geschaffen werden müssen. Sind diese Strukturen geschaffen, lässt sich
auch im Anschluss über Audits und Reviews eine qualifizierte Rückmeldung über die
Datenschutzmanagementfähigkeit des Unternehmens erhalten.
Fazit
• Die Umsetzung der geplanten Maßnahmen stellt den Kern der Do-Phase dar und
beansprucht viele Ressourcen.
• Neben der Umsetzung der Maßnahmen sind Strukturen zu etablieren, mit denen
die kontinuierliche Verbesserung des DSMS und damit dessen Überführung in den
Regelbetrieb ermöglicht wird.