Implementierung - Praxisleitfaden zur Implementierung eines Datenschutzmanagementsystems - page 69

größe, Organisationsform oder der Datenschutzhistorie sind die folgenden Personen
einzubeziehen:
• DenwichtigstenInputgebendiebereitsindasScopingfürdasDSMS(Abschn. 4.2.1.1.2)
einbezogenen unternehmensinternen Stakeholder . Darunter sollten sich befinden:
- Betrieblicher DSB
-IT
- Compliance
- Risk
- Recht
-HR
- DieVerantwortlichenderFachbereiche, indenenpersonenbezogeneDatenimsigni-
fikanten Ausmaß verarbeitet werden (regelmäßig mit dem DSMS-Scope identisch,
siehe Abschn. 4.2.1.2)
• Der Geschäftsleitung kommt eine besondere Rolle zu, da sie sich letztendlich zur
Umsetzung der Ziele verpflichten muss. Sie sollte entsprechend an dieser Stelle ver-
stärkt eingebunden werden. Dies gelingt insbesondere über den bereits erwähnten
Promotor (Abschn. 4.2.1.1.2) in der Geschäftsleitung. Ein enger zeitlicher Zusammen-
hang zur Freigabe der DSMS-Implementierung ist anzustreben, um das Interesse der
Geschäftsleitung in dieser frühen, aber besonders wichtigen Phase aufrechtzuerhalten.
• Ebenfalls in die Zielformulierung eingebunden werden sollten sogenannte „ Strategic
Leader “, welche die strategische Ausrichtung des Unternehmens bestimmen. Dies kann
wiederum die Geschäftsleitung sein, größere Unternehmen haben dafür zur Unterstüt-
zung entsprechende Abteilungen eingerichtet. Notwendig wird die Einbeziehung durch
die erforderliche Koordination der Datenschutzziele mit den sonstigen Unternehmens-
zielen und damit die Integration in eine ganzheitliche Unternehmensstrategie. Dabei
müssen nicht nur die klassischen Widersprüche aufgelöst werden („Datenschutz versus
Marketing“). Heutzutage lässt sich der Datenschutz auch als Werbeinstrument gezielt
einsetzen.
• Insbesondere im Konzern sollte diese Aufgabe auf Ebene der Muttergesellschaft ange-
gangen werden, um widersprüchliches Verhalten der einzelnen Gesellschaften später
zu vermeiden und einen konzernweit einheitlichen Gesamtauftritt sicherzustellen.
• AnregungenfürdieDatenschutzzielekönnenauchvon unternehmensexternenStellen
kommen, etwa von Aufsichtsbehörden, NGOs, Unternehmensberatern, Gesellschaf-
tern, den Betroffenen selbst etc.
Bei der materiellen Zieldefinition bietet sich eine Ausrichtung an den rechtlichen Da-
tenschutzgrundsätzen des Leading Law an, da dieses sowieso umgesetzt werden muss
(Compliance-Aspekt). Jedwedes Rechtssystem kann einen solchen rechtlichen Rahmen
vorgeben. In besonderem Maße stellt dabei das deutsche Datenschutzrecht über seine
Grundsätze geeignete und strenge Datenschutzziele bereit (siehe Abschn. 2.2.2).