Ausweitung des DSMS - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 239

tet, zudem erfolgt die Risikoüberwachung im Rahmen der Strukturen des konzernweiten
Risikomanagements.
6.2.3 Check-Phase
Die Check-Phase lässt sich wiederum sehr gut aufeinander abstimmen, sofern die zeitliche
Abfolge es bis dahin zulässt und keine unvorhergesehenen Verzögerungen in der Do-
Phaseeingetretensind. InterneAuditskönneninbeidenBereichenzeitlichnahbeieinander
anlaufen, sodassauchdieErgebnisseuntereinandervergleichbarsind. Diesermöglichteine
vergleichende Bewertung über die Wirksamkeit des DSMS und bedingt, dass der Follow-
up koordiniert angegangen werden kann. Häufig finden sich nämlich Abweichungen in
beiden Bereichen, da die Lehren aus dem bestehenden Subsystem idealerweise bereits bei
der Planung für den neuen Bereich berücksichtigt worden sind.
Gleiches gilt auch für die Management Reviews, die ebenfalls möglichst zeitnah ab-
gehalten werden. Hier lässt sich ermitteln, ob die jeweiligen Verantwortlichen ähnliche
Zukunftsvorstellungen zum DSMS haben oder ob das DSMS in einem Bereich nicht
weitergeführt werden soll.
Besonders offensichtlich wird das Erfordernis der Abstimmung beider Bereiche bei
den externen Audits. Dies ermöglicht die Beauftragung eines externen Auditors bzw. eine
Gesamtbeauftragung eines Auditoren-Teams, sodass alle Bereiche gleichzeitig auditiert
werden können. Auch der Follow-up lässt sich wieder bereichsübergreifend abstimmen.
Risiko dieser parallelen Audits ist jedoch, dass der Auditor in beiden Bereichen aufgrund
vergleichbarer Abweichungen die Zertifizierung (vorerst) verweigert.
6.2.4 Act-Phase
Die Act-Phase lässt sich für beide Bereiche kaum synchronisieren, da sich die jewei-
ligen Verbesserungsmaßnahmen nach dem Zustand des DSMS im jeweiligen Bereich
richten und daher sehr speziell ausfallen werden. Falls jedoch bereichsübergreifende
Verbesserungen möglich sind (etwa eine Awareness-Kampagne), sollte entsprechend zu-
sammengearbeitet werden. In jedem Fall lässt sich aber das Fazit für beide Bereiche in
einem einzigen Termin mit der Geschäftsführung abhalten. Danach gehen beide Bereiche
in den Regelbetrieb über. Da sich hier die einzelnen Schritte gleichen, ist die Synchro-
nisierung - unter Vorbehalt eines vergleichbaren Handlungsbedarfes - noch leichter
herzustellen. MöglicherweisewerdenspäterauchwiederneueBereichehinzugefügt, womit
die in diesem Kapitel beschriebene Vorgehensweise von vorne beginnt.