Datenschutzmanagementsysteme - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 27

daherdasBekenntnisderGeschäftsleitungzuihrerVerantwortungfürdenDatenschutz
(Datenschutz-Policy, Abschn. 5.2.1.3), eine geeignete Verteilung von Aufgaben (Go-
vernance Model, Abschn. 5.2.1.2) sowie die Schaffung einer Awareness großes Gewicht
ein.
• Der ganzheitliche Ansatz des DSMS kann mit bestehenden Organisationsformen kol-
lidieren. Gerade bei kleinen Unternehmen, bei denen einige Prozesse und Verfahren
informell ausgestaltet sind, stellt sich ein auf standardisierten Anforderungen basieren-
des Managementsystem oft als Papiertiger heraus. Die Umsetzung erfolgt dann meist
nur pro Forma, jedoch verbleibt die tatsächliche Ausführung auf bestehendem Ni-
veau und die Vorteile des Managementsystems kommen dabei nicht zum Vorschein.
Dem kann entgegen gehalten werden, dass sich etwaige Dokumentationsaufwände stets
nach den Bedürfnissen der Beteiligten ausrichten sollten. Nichtsdestotrotz sollte auch
die Notwendigkeit einer Formalisierung von Prozessen - gerade für den Datenschutz
- erkannt werden: So ist ein einheitlicher Umgang mit den Datenschutzanforderun-
gen im Unternehmen erforderlich, um durchgängig den Datenschutz sicherzustellen.
Tatsächlich können daher bestehende Organisationsformen und das DSMS einander
widersprechen. Durch die offene Struktur des DSMS einerseits ist es jedoch möglich,
dieses weitgehend in jeder Organisation anzuwenden. Andererseits beinhalt das DSMS
Best Practices, die sich in anderen Unternehmen bewährt haben und deshalb auch
Potential zur Optimierung einer bestehenden Organisation bieten.
• Ist das Managementsystem allein auf die Zertifizierung ausgerichtet, ergibt sich ein
ähnliches Problem. Die Fixierung auf auditierbare Instrumente und das Abarbeiten von
ChecklistenmögenzwareinpositivesErgebnisimZertifizierungs-Audithervorbringen,
lassen jedoch die individuellen Gegebenheiten und damit potenzielle Effizienzgewinne
außen vor. Zudem wird hier häufig ein zu kleiner Anwendungsbereich für das DSMS
(Abschn. 4.2.1) festgelegt. Auch verkennt diese Herangehensweise, dass auditierfä-
hige Standards bewusst offen gehalten sind und den Auditoren einen entsprechend
großen Bewertungsspielraum zugunsten des Unternehmens bieten. Aus diesen Grün-
den verzichtet dieser Praxisleitfaden auf Checklisten und zeigt stattdessen anhand von
drei Szenarien (Abschn. 4.1) jeweils verschiedene Lösungsansätze auf, die den un-
terschiedlichen Voraussetzungen der einzelnen Unternehmensgrößen gerecht werden.
Das exzessive Ausrichten an der Zertifizierung kann dadurch gelöst werden, dass die
Unternehmensleitung die Einführung des Managementsystems nicht bloß als mög-
liches Werbeinstrument gegenüber Dritten ansieht, sondern dessen Hauptnutzen in
der internen Verbesserung erkennt. Dabei sollte sie bei der Einführung als Vorbild
vorangehen.
• Auf die gleiche Weise ist in Bezug auf die Zertifizierung mit Bedenken bezüglich der im
Rahmen der Vorbereitung erforderlichen internen Aufwände sowie den für die tatsäch-
liche Auditierung anfallenden Zertifizierungsgebühren umzugehen: Eine Zertifizierung
des DSMS ist keine Pflicht. Die DSMS-Implementierung kann insbesondere für kleine
und mittlere Unternehmen primär zur internen Verbesserung genutzt werden und in
großenUnternehmendemTopManagementalsMöglichkeitdargelegtwerden, denDa-