Ausweitung des DSMS - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 238

Unwägbarkeiten im neuen Bereich berücksichtigt. Auf Basis dieses Plans erfolgt dann auch
der Projektstart im neuen Bereich.
Im Anschluss erfolgt die Risikoanalyse mit der Erstellung eines Maßnahmenplans in
beiden Bereichen, wobei der Aufwand im neuen Bereich höher ausfällt: Hier muss nämlich
ganz von vorne angefangen werden, während für das bestehende Subsystem bereits ein
Risikoregister besteht. Jedoch lassen sich - je nach Erweiterungsbereich des DSMS - auch
bestehende Risikoeinschätzungen auf den neuen Bereich übertragen. An dieser Stelle hilft
ein etabliertes Risikomanagementsystem im Unternehmen sehr viel. Um die Aktivitäten
dennoch möglichst parallel zu halten, sind dafür entsprechende Ressourcen zu bündeln.
Auch sollte darauf geachtet werden, ob und inwieweit bereichsübergreifende Maßnahmen
zur Risikominderung möglich sind und inwieweit Akzeptanzkriterien übertragen werden
können. Auch sollten die Erfahrungen aus dem bestehenden DSMS für den neuen Bereich
berücksichtigt werden.
Danach beginnt man für den neuen Bereich mit der Erstellung der Dokumentation .
Hierbei können jedoch viele Strukturen aus dem bestehenden Subsystem übernommen
werden: So kann das vorhandene DSMS-Handbuch auf den neuen Bereich erweitert wer-
den. Auch Arbeitsanweisungen lassen sich in Teilen übertragen. Da die fachspezifischen
Dokumente (ADV-Verträge etc.) bereits vorliegen, existiert auch auf diese Weise schon
eineguteGrundlage. ZudemlässtsichdasDokumentenmanagementdesbestehendenSub-
systems übertragen, welches praktischerweise zur gleichen Zeit einer Revision unterzogen
wird.
SAP
SAP erstellt für jeden neuen Bereich ein eigenes, spezielles DSMS-Handbuch, wel-
ches durch ein übergreifendes, für alle Bereiche geltendes DSMS-Handbuch ergänzt
wird. Ebenfalls gibt es für jeden Bereich eine eigene Seite im Intranet mit Hinweisen
und den wichtigsten Dokumenten. Viele Arbeitsanweisungen lassen sich zudem auf
andere Bereiche übertragen. Für das Dokumentenmanagement gelten die regulären,
unternehmensweiten Vorgaben.
6.2.2 Do-Phase
Nicht notwendigerweise, aber in den meisten Fällen fällt die Do-Phase bei der Imple-
mentierung des DSMS im neuen Bereich deutlich umfangreicher aus. Dies betrifft nicht
unbedingt den Roll-out , dafür aber das Abhalten von Trainings , wobei hier auch auf
bereits bestehende Inhalte zurückgegriffen werden kann. Vor allem aber ist die Schaffung
von Strukturen für die Aktivitäten zur Realisierung des DSMS (siehe Abschn. 5.2.7) sehr
aufwändig, während man im Regelbetrieb dort schon auf ein Jahr Erfahrung zurückgreifen
kann. HierhelfenQuerverbindungenderDSMS-Akteure, umBestPracticesuntereinander
auszutauschen. SAP hat hierfür eine Community für alle Datenschutzvertreter eingerich-