Voraussetzungen schaffen - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 54

• Nicht zuletzt müssen die Anforderungen aus dem jeweiligen DSMS-Anforderungs-
katalog (Abschn. 3.2) berücksichtigt werden. Dies ist jedoch wenig problematisch, da
ein solcher Standard regelmäßig selbst Methoden und Auslegungshilfen vorgibt, um
die ihm eigenen Anforderungen umzusetzen. Wird zudem eine spätere Verfahrens-
oder Produktzertifizierung durch ein Datenschutzgütesiegel angestrebt, so muss das
DSMS auch dessen Anforderungen umsetzen können.
KleinGmbH
Da die Klein GmbH nur in Deutschland tätig ist, sind deutsche Gesetze und damit
insbesondere das BDSG das Leading Law. Um das im Rahmen des Lettershop-
Datenschutzvorfalls verlorene Vertrauen der Kunden zurückzugewinnen, beschloss
die Geschäftsführung, dass nach erfolgreicher Implementierung des DSMS ein Daten-
schutzgütesiegel in Zukunft die Datenschutzkonformität der Klein GmbH ausdrücken
und damit aktiv geworben werden soll. Des Weiteren sollte eine ausführliche,
transparente Dokumentation das Niveau der Datensicherheit verdeutlichen.
MediumAG
Mit Schwerpunkt auf dem deutschen Markt wurde auch für die Medium AG das BDSG
als Leading Law festgelegt. Die damit einhergehende (weitgehende) Sicherstellung
der Datenschutz-Compliance in anderen europäischen Ländern sowie ein auf diese
Weise hoch angesetztes Datenschutzniveau für Projektgesellschaften in Drittstaaten
hatten außerdem Einfluss auf diese Entscheidung. Eine Zertifizierung ist zunächst nicht
angestrebt, vielmehr liegt der Schwerpunkt auf der durch die Konzernumgestaltung er-
forderlichen internen Abstimmung der Datenschutzaktivitäten unter Federführung des
externen DSB. Konzerninterne Richtlinien bestehen in diesem Bereich bis dato nicht.
SAP
SAP hatte zum Zeitpunkt der Einführung bereits eine Datenschutz-Policy und eine
Sicherheits-Policy mit weitreichenden Sicherheitsstandards in Kraft gesetzt. All diese
Instrumente gelten im gesamten Konzern und mussten entsprechend über das DSMS
umgesetzt werden. Auch bestand ein Datenschutzvertrag unter Einbeziehung sämt-
licher Konzerngesellschaften zur Ermöglichung des Datenaustausches zwischen den
einzelnen Konzerngesellschaften. Die Auswahl eines Leading Law fiel auf das deut-
sche BDSG. Dafür sprachen der deutsche Stammsitz, die unmittelbare Anwendbarkeit
des BDSG in der Konzernmuttergesellschaft SAP AG sowie vor allem die Schaffung
eines damit einhergehenden hohen Datenschutzniveaus auf globaler Ebene an allen
Support-Standorten. Dazu kamen die spezifischen von Loomans & Matz entwickelten