Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 211

• Die Nachbereitung der Audits und Einleitung des Follow-up erfolgt über ein
Abschlussgespräch, indem der Auditor den Verantwortlichen seine Ergebnisse
präsentiert und die Verantwortlichen dazu Stellung nehmen.
• Ein Audit-Bericht dokumentiert für die Auftraggeber alle wesentlichen Aspekte des
Audits und bewertet insbesondere das DSMS im Hinblick auf die gesetzten Audit-
Ziele.
5.2.10 Management Review
• Warum muss das Management das DSMS bewerten?
• Wie ist ein solches Management Review vorzubereiten?
• Welche Aspekte des DSMS sind im Management Review zu besprechen?
• Wie wird mit den Ergebnissen umgegangen?
Das Management Review (synonym: Managementbewertung) ist eine im Rahmen des
DSMS regelmäßig stattfindende Bewertung des DSMS durch das zuständige Management
und wird nach den internen Audits als zehnter Schritt des DSMS PDCA (Abb. 5.29 )an
dieser Stelle durchgeführt.
5.2.10.1 Einordnung in den Kontext
Das Management Review ähnelt sowohl inhaltlich als auch hinsichtlich der Beteiligten dem
in diesem Praxisleitfaden unter Schritt zwölf des DSMS-PDCA positionierten Fazit (siehe
Abschn. 5.2.13). Diese Trennung wurde dennoch bewusst gewählt, da nur auf diese Weise
die Rolle der externen Audits im Regelkreis hinreichend berücksichtigt werden kann: Zum
einen verlangen die Audit-Kriterien der externen Audits die vorherige Durchführung von
Management Reviews, zum anderen müssen auch zusätzlich die Ergebnisse der internen
Audits mit dem Management erörtert werden. Sollte das Unternehmen daher von der
Möglichkeit zur externen Auditierung keinen Gebrauch machen, so sind bereits an dieser
Stelle im Management Review auch die Ausführungen bezüglich des zwölften Schrittes zu
berücksichtigen. Zudem besteht im Regelbetrieb (Abschn. 5.3) die Möglichkeit, je nach
Präferenz und Praktikabilität einzelne Agendapunkte zwischen Management Review und
Fazit zu tauschen.
Das hier beschriebene Review orientiert sich an den Anforderungen der vergleichba-
ren Managementsysteme der ISO 9001 und ISO 27001, die an diesem Punkt auch auf
das DSMS angewendet werden können. Idealerweise wurde bereits zuvor das Manage-
ment in regelmäßigen Abständen hinzugezogen (Statusberichte etc.) und hat Bewertungen
zum DSMS geliefert. An dieser Stelle ist jedoch eine Gesamtbetrachtung der bis hierher
durchgeführten Aktivitäten durchzuführen, entsprechend handelt es sich um ein zentrales
Element der Check-Phase. Daraus folgt auch, dass das Management Review umfassend zu
dokumentieren ist.