Voraussetzungen schaffen - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 42

tenschutzmanagement. Den dazu erforderlichen strukturierten Ansatz bietet das bei
SAP seit 2010 eingeführte Datenschutzmanagementsystem. Auch wenn das DSMS zu-
dem in vielen anderen Unternehmensbereichen wie Marketing, Human Resources und
Consulting eingeführt ist, orientiert sich dieser Praxisleitfaden in erster Linie an der
Implementierung im Support-Bereich.
Der SAP-Support ist zweistufig ausgelegt und teilt sich im Wesentlichen in die Be-
reiche Produkt-Support und Entwicklungs-Support auf. Ca. 6.000 Support-Mitarbeiter
und ca. 20.000 Entwickler bearbeiten täglich mehrere Tausend Anfragen von Kunden
aus mehr als 120Ländern. Die Bearbeitung erfolgt aus einem internationalen Netzwerk
heraus mit mehr als 60 Standorten, um sowohl sprachlichen Anforderungen, den ver-
schiedenen Zeitzonen und einem global verfügbaren Expertenwissen genüge zu leisten.
Die Bearbeitung der teils sensiblen Daten erfolgt größtenteils „offline“ im hauseigenen
Ticketsystem oder auch per Fernwartung im jeweiligen Kundensystem.
Aufgrund des engen Vertrauensverhältnisses zwischen Kunden und dem SAP-
Support hat man bei SAP schon vor Jahren die Bedeutung hinreichender Sicherheits-
maßnahmen und entsprechender Kontrollen erkannt. Bereits im Jahr 2007 wurde daher
die Funktion eines Bereichs „Chief Security Officers“ im Support und ein entsprechen-
des „Security & Data Protection Office“ geschaffen. Die Umsetzung des DSMS erfolgt
über das Security & Data Protection Office unter Leitung von SQ&S Chief Security
Officer Michael Wiedemann.
Die beschriebenen Szenarien werden von Abb. 4.1 zusammengefasst und zum besseren
Vergleich gegenübergestellt.
4.2 Voraussetzungen
Steht man vor der Herausforderung, ein (Datenschutz-)Managementsystem im Unterneh-
men einzuführen, sind grundsätzlich zwei Voraussetzungen dafür zu schaffen:
1. Es muss ein Anwendungsbereich (engl. Scope) für das DSMS bestimmt werden.
2. Die Entscheidungsträger im Unternehmen müssen das DSMS mittragen und aktiv
fördern.
Im Folgenden wird dargestellt, wie diese Aufgaben vom Initiator des DSMS angegangen
werden können.
4.2.1 Anwendungsbereich festlegen
FürjedwedesManagementsystemmusseingeeigneterAnwendungsbereichklarabgesteckt
werden. Denn zum einen schmälert ein zu klein gefasster Anwendungsbereich den Nutzen