Voraussetzungen schaffen - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 50

• Es sind generell die wichtigsten Risikofaktoren einzubeziehen, wie etwa:
- Art und Umfang der Datenverarbeitung
- Offensichtlich riskante Datenverarbeitungen
- Druck durch die Aufsichtsbehörde
- Datenschutzvorfälle
• Daneben wird die Notwendigkeit eines DSMS oftmals auch erst über entsprechende
Kundenanforderungen erkannt:
- Der (öffentliche) Auftraggeber fordert einen Datenschutznachweis
- Verbraucher stellen hohe Anforderungen an die Datenschutzkonformität der
Dienstleistungen/Produkte
- Ein wichtiger Geschäftskunde droht mit Wechsel zu einem Wettbewerber, weil nur
dieser die gewünschten TOMs für eine ADV nachweislich anbietet
Im Jahr 2013 stehen für eine solche einführende Ermittlung des Handlungsbedarfs Tools
wie etwa der „Data Breach Calculator“ des Ponemon Instituts zur Verfügung [ 2 ]. Ein
solchesToolhilftbeidererstmaligenAuseinandersetzungmitdatenschutzrechtlichenRisi-
ken. ZudemkönnendiegenerelleEintrittswahrscheinlichkeiteinesVorfallssowiemögliche
Folgekosten grob abgeschätzt werden.
Die Tatsache, dass nahezu jedes Unternehmen auf seine Art und Weise datenschutz-
relevante Prozesse betreibt - diese jedoch durch die allgemein gültigen rechtlichen
Anforderungen branchenweit ähnlich riskant sind - wird dazu führen, dass sich der
Handlungsbedarf in vielen Fällen auf die Kernfelder des Datenschutzes erstreckt.
KleinGmbH
Die Klein GmbH beauftragt regelmäßig einen Lettershop im Rahmen einer ADV mit
der Bewerbung von Altkunden sowie der Anwerbung von Neukunden (Verbrauchern).
Bei einer groß angelegten Werbeaktion für beide Kundengruppen kam es kürzlich zu
einem schweren Datenschutzvorfall: So wurden von Vertriebsmitarbeitern unzulässig
erhobene Daten von Altkunden verwendet. Die Vertriebsabteilung der Klein GmbH
erhielt in der Folgezeit viele Beschwerden und einige Bestandskunden wechselten zu
Wettbewerbern. Allen Beteiligten im Unternehmen war an dieser Stelle klar: Ein sol-
cher Reputationsschaden durfte kein zweites Mal geschehen. Daher wurde primär eine
datenschutzgerechte Umorganisation der Prozesse im Vertrieb gefordert. Zudem mus-
sten die eigenen Mitarbeiter in Datenschutzbelangen geschult werden, um u.a. die
rechtswidrige Erhebung von personenbezogenen Daten in Zukunft zu vermeiden. Als
ein Schwerpunkt wurde hier der Vertrieb identifiziert.
MediumAG
Die Medium AG war zu Beginn sehr auf die Verarbeitung von personenbezogenen
Daten von anderen Unternehmen als Kunden zur Abwicklung des Geschäftes mit