Ausweitung des DSMS - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 236

6.1 Anpassung der Regelkreise
Bis hierhin wurden in diesem Praxisleitfaden sowohl die Vorgehensweise für die Erst-
implementierung des DSMS (Abschn. 5.2) als auch der dazu leicht abgewandelte PDCA-
Zyklus für den Regelbetrieb (Abschn. 5.3) beschrieben. Steht nun die Ausweitung des
DSMS an, befinden sich die Verantwortlichen in der Situation, die Aktivitäten des sich
im Regelbetrieb befindlichen Systems sinnvoll mit denen der Neuimplementierung zu
koordinieren.
MediumAG
Das DSMS wurde erfolgreich in Vertrieb (B2B und B2C), HR und IT implementiert und
soll dort nun in den Regelbetrieb überführt werden. Gleichzeitig wird festgelegt, dass
für die Zukunft auch das über die ausländischen Tochtergesellschaften abgewickelte
Auslandsgeschäft in das DSMS einbezogen werden soll, d.h.: Dort muss analog zu der
Erstimplementierung in den genannten Bereichen verfahren und auf diese Weise erst
die benötigten Strukturen geschaffen werden. Folglich entstehen zwei parallel laufende
PDCA-Zyklen, die in der Summe das gesamte DSMS des Unternehmens bilden:
1. Regelbetrieb des (Sub-)DSMS in Vertrieb (B2B, B2C), HR und IT
2. Implementierung des (Sub-)DSMS in den Auslandsgesellschaften
Daraus folgt auch, dass die entsprechenden Regelkreise unter dem Gesichtspunkt der
WirtschaftlichkeitfürdieseparallelenAktivitätenaufeinanderabgestimmtwerdenmüssen.
Abbildung 6.1 zeigt das Ergebnis einer solchen Abstimmung mit den Aktivitäten des
Regelbetriebes im äußeren Ring und denen der Neuimplementierung im inneren Ring.
Bereits auf den ersten Blick fallen hier viele Übereinstimmungen und damit potentielle
Synergieeffekte auf, die in der Folge näher erläutert werden.
6.2 Besonderheiten der parallelen Aktivitäten
6.2.1 Plan-Phase
Auf der Zielebene ist zu beachten, dass grundsätzlich die Datenschutzziele in allen Berei-
chen gleich ausgestaltet sein sollten und Ausnahmen gut begründet werden müssen. Eng
verbunden mit den Datenschutzzielen ist das Governance Model für den neuen Bereich,
welches unter Berücksichtigung der organisatorischen Besonderheiten zu definieren ist.
Entsprechend muss die Datenschutz-Policy geändert und neu ausgerollt werden.