Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 204

• Zudem besteht die Möglichkeit der Begehung der Räumlichkeiten . Für den Daten-
schutz insbesondere relevant sind hier die Betrachtung der Arbeitsplätze (u.a. Clean
Desk), der PCs (Passwortschutz), der Kopierer und Drucker (Vertrauliche Dokumente
im Ausgabefach), der Papierkörbe (Vertrauliche Dokumente nicht adäquat vernichtet),
ServerräumeundRechenzentren(Zutrittsschutz), desEmpfangsbereich(Videoüberwa-
chung)etc. DerAuditormussanhandderAudit-ChecklistejedengeprüftenSachverhalt
notieren. Als Audit-Nachweis kommen hier neben Notizen auch Fotos, Screenshots,
Auszüge aus Protokolldateien etc. in Frage.
5.2.9.2.3 BeendigungdesAudits
Zum Ende des Audits kommen Auditoren und Auditees zu einer gemeinsamen Schluss-
runde zusammen, in welcher der Audit formell für beendet erklärt wird. Der Auditor
bedanktsichfürdieTeilnahmederAuditeesundstelltdieweitereVorgehensweiseundden
Zeitrahmen vor. Eventuelle Unklarheiten und Missverständnisse zwischen den Parteien
werdenspätestenszudiesemZeitpunktausgeräumt. DieParteiengehenzurNachbereitung
der Audits auseinander, wobei sich das ausführlichere Abschlussgespräch häufig direkt
anschließt.
KleinGmbH
Bei der Klein GmbH startet der Quality Manager mit den um DSMS-Belange ergänzten
Aspekten nach den Vorgaben seiner Planung. Er stellt die vorher formulierten Fragen
zum DSMS und notiert die Antworten der Auditees direkt im Gespräch, um sie dann
im Anschluss mit dem Verantwortlichen für den Datenschutz zu besprechen.
Parallel dazu nimmt der Verantwortliche für den Datenschutz noch eine spezielle,
detailliertere Auditierung der neuen CRM-Datei vor. Dazu lässt er sich von einem
Mitarbeiter deren Benutzung zeigen. Dabei fällt ihm auch eine bestehende Verbindung
mit dem privaten Tablet-PC des Mitarbeiters auf. Auf Nachfrage räumt der Mitarbeiter
ein, dass er - wie die meisten anderen Mitarbeiter auch - sich für Außeneinsätze Kopien
der CRM-Datei zieht, da er die Informationen in der Vorbereitung auf Kundentermine
benötigt.
MediumAG
Bei der Medium AG führen der ISMS-Verantwortliche als Lead-Auditor und die je-
weiligen Datenschutzkoordinatoren als Co-Auditoren die Audits in den einzelnen
Bereichen durch. Dabei wird die Audit-Checkliste zu den Interviews herangezogen,
ebenso werden die einzelnen auditierten Bereiche mit einer Ortsbegehung untersucht.
Für den B2C-Bereich wird im Vertrieb im Gespräch mit einem Mitarbeiter festge-
stellt, dass dieser die einschlägigen Informationsangebote sowohl zum ISMS als auch
zum DSMS kennt, wobei er bemängelt, dass er daraus kaum Nützliches für seine eigene