Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 222

• SpätestensvorAblaufdesdrittenJahresistein Rezertifizierungs-Audit durchzuführen.
Dieser besteht wieder aus einem Stage-1- und Stage-2-Audit.
• Es folgt in den nächsten zwei Jahren wieder je ein Überwachungs-Audit mit der an-
schließenden Möglichkeit, im dritten Jahr wieder eine Rezertifizierung vorzunehmen.
Der Drei-Jahres-Rhythmus wiederholt sich ab hier.
Da dieser Prozess für alle gängigen ISO-Managementsysteme (ISO 9001, ISO 27001 etc.)
gleich ist, bietet sich hier Optimierungspotential, in dem man Termine koordiniert. Das
senkt die Aufwände und damit auch die mit der Zertifizierung anfallenden Kosten. Für die
AkzeptanzderKostengiltdasobengesagte: MitdemZertifikatkanngegenüberKundendie
eigene Datenschutzkonformität nachgewiesen werden, des Weiteren lässt es sich sogar als
Werbeinstrument einsetzen. Damit lassen sich spätere Aufwände, die durch die Anfragen
von Kunden nach Datenschutznachweisen auftreten, bereits im Vorfeld vermeiden.
SAP
Seit seiner Einführung im Jahr 2010 im globalen Support-Prozess wurde das DSMS
regelmäßig vom Zertifizierungspartner British Standards Institution auditiert. Dabei
wurde die Zertifizierung immer erfolgreich aufrechterhalten. Der Nachweis der Da-
tenschutzkonformität über das DSMS-Zertifikat hat sich dabei als effiziente Methode
herausgestellt und wird von den Kunden akzeptiert. Diese erhalten über den SAP Ser-
vice Marketplace (Kundenportal für Service und Support) auch Informationen aus dem
Audit-Bericht des British Standards Institution, in welchem das Konzept des DSMS
beschrieben wird sowie aufgrund der Relevanz für ADV-Tätigkeiten auch die Audit-
Ergebnisse bezüglich der TOMs von SAP enthalten sind. Diese Erfolgsgeschichte des
DSMS stellt einen wichtigen Faktor in dessen Akzeptanz dar und führt dazu, dass das
DSMS im globalen SAP-Konzern stetig weiterentwickelt wird.
In Bezug auf die Ausführung der externen Audits bei SAP gibt es im Vergleich zu
den beschriebenen internen Audits Abweichungen in folgenden Punkten:
• Als Lead-Auditor tritt der externe Auditor des British Standards Institution auf.
• Als Co-Auditor tritt ein Mitglied des Security & Data Protection Office auf.
• Da sie nicht mehr als Co-Auditoren auftreten, sind die Datenschutzvertreter bei
externen Audits selbst nur Auditees, jedoch mit der besonderen Aufgabe, einen
Rechenschaftsbericht über ihre Tätigkeit zu geben und den Status des DSMS in
ihrem Verantwortungsbereich darzulegen.
• Der Audit-Bericht wird durch den externen Zertifizierer erstellt.
• Die externen Audits beschränken sich auf einige Stichproben, die Anzahl der
Stichproben legt die Zertifizierungsstelle fest.
• Nach Abschluss aller Audits erstellt die Zertifizierungsstelle in aller Regel einen
Gesamtaudit-Bericht.