Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 68

Zwar dient das DSMS primär zur operativen Umsetzung des Datenschutzes, nichts-
destotrotz muss ein Unternehmen auf strategischer Ebene seine Zielsetzungen für den
Datenschutz festlegen und so einen Rahmen („Framework“) für das DSMS bereitstellen.
Denn nur wenn definiert ist, wohin der Datenschutz im Unternehmen sich entwickeln soll,
können Konzepte wie das DSMS auch tatsächlich einen Mehrwert leisten. Mit einer stra-
tegischen Herangehensweise an den Datenschutz und der Festlegung von Zielen können
die weitergehenden Maßnahmen gezielt ausgewählt und koordiniert werden. Letztendlich
wird auf diese Weise auch die Wirksamkeitsbeurteilung des DSMS beeinflusst, da dieses
sich an den gesetzten Zielen messen lassen muss. Diese strategische Ebene bildet jedoch
nicht den Schwerpunkt dieses Praxisleitfadens und ist daher vor allem für Unternehmen
interessant, die in ihrer strategischen Ausrichtung den Datenschutz bislang vernachlässigt
haben.
5.2.1.1 Datenschutzziele definieren
Befindet sich ein Unternehmen in der Situation, sich selbst Ziele für den eigenen Daten-
schutz aufzuerlegen, sind verschiedene Überlegungen anzustellen. Zwei Vorgehensweisen
erweisen sich dabei als relevant:
• Eine Möglichkeit ist es, bei der Umsetzung des Datenschutzes eine größtmögliche
Compliance mit den gesetzlichen Anforderungen erreichen zu wollen. Das DSMS
übernimmt hier primär die Aufgabe, die gesetzlichen Vorschriften umzusetzen.
• Eine zweite, darüber hinausgehende Möglichkeit besteht darin, den Datenschutz als
Wettbewerbsfaktor anzusehen und die Ziele für bestimmte Geschäftsbereiche damit
bewusst über den gesetzlichen Anforderungen anzusiedeln.
Die Compliance-Lösung findet bei Unternehmen Anwendung, welche besonders strenge
gesetzliche Anforderungen umsetzen müssen und die weniger offensiv mit ihrem Daten-
schutzkonzept werben (z.B. Materiallieferanten). Die zweite Möglichkeit eignet sich für
Unternehmen, welche eine enge und vertrauliche Beziehung zu ihren Kunden pflegen
(z.B. Dienstleister). Zu beachten ist bei der Entscheidung zwischen beiden Grundpositio-
nen, dass Wettbewerber in der Regel ähnliche Gesetze zu befolgen haben. Dies und die
zunehmende Bedeutung des Datenschutzes in der Informationsgesellschaft machen eine
ambitionierte, über die gesetzlichen Anforderungen hinausgehende Zielsetzung attrak-
tiv für Unternehmen, die sich im Wettbewerb über einen umfangreichen, transparenten
Schutz der Betroffenen neu positionieren wollen. Die Entscheidung für oder gegen eine
der genannten Grundausrichtungen hat langfristigen Charakter und sollte wohl überlegt
sein. In beiden Fällen kommt der PDCA-Zyklus des DSMS zur Unterstützung: Über eine
schrittweise Verbesserung können daher sowohl hochgesteckte Ziele durch den KVP im
Laufe der Zeit erreicht werden als auch durch stetige Anpassung auf Veränderungen der
gesetzlichen Rahmenbedingungen reagiert werden.
Eingaben für die einzelnen Datenschutzziele kommen von den Top-Stakeholdern des
Unternehmens. Abhängig von den individuellen Gegebenheiten wie Unternehmens-