Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 218

1. Ziele
festlegen
und
einführen

12. Fazit zur
Implemen-
erung

2. Projektstart

3. Risikoanalyse

Finale Anpassung
des DSMS

4. Dokumentaon

Konnuierliche
Verbesserung

11. Externe
Audits &
ZerƟfizierung

5. Roll-out

10. Management
Review

6. Training

9. Interne
Audits

7. Realisierung
des DSMS

8. Audit-
Planung

Abb. 5.30 DSMS-PDCA - Schritt 11

Dabei wird in Abgrenzung zu den internen Audits (Abschn. 5.2.9) die Auditie-
rung durch Personen außerhalb des Unternehmens vorgenommen. Hier ist zwischen
Kunden-Audits (2nd-Party-Audits) und Zertifizierungs-Audits (3rd-Party-Audits) zu
differenzieren.

5.2.11.1 Kunden-Audit (2nd-Party-Audit)
Kunden-Audits haben in der betrieblichen Realität des Datenschutzmanagements eine
große Bedeutung: Sobald das Unternehmen als Auftragnehmer einer Auftragsdatenverar-
beitung auftritt, wird der Kunde als Auftraggeber im Rahmen seiner gesetzlichen Pflichten
(§ 11 BDSG) einen Nachweis der Datenschutzkonformität vom Unternehmen verlan-
gen. An dieser Stelle kommt die Zertifizierung des DSMS ins Spiel (siehe in folgendem
Unterkapitel, Abschn. 5.2.11.2). Die Zertifizierung des Managementsystems - bei bekann-
ten Standards wie ISO 9001 und ISO 27001 gängige Praxis - hilft beim Nachweis der
Datenschutzkonformität dem Kunden gegenüber, denn für das DSMS fehlt noch ein inter-
national anwendbarer Standard und unternehmensinterne Audit-Berichte allein können
diesen Nutzen eines Zertifikates nicht ersetzen. Falls eine Zertifizierung des DSMS vor-
handen ist, kann dann bereits über das Zertifikat dem Kunden ein geeigneter Nachweis
präsentiert werden. Denn durch dieses Zertifikat wird nachgewiesen, dass ein Dritter das
DSMS bereits auditiert und als funktionsfähig eingestuft hat. Ein ausführlicher Audit sei-
tens des Kunden ist dann oft nicht mehr nötig, da in dieser Situation beide Seiten ihren