Datenschutzmanagementsystem (DSMS): Ihr Schlüssel zur DSGVO-Compliance

Was ist ein Datenschutz­management­system?

Der Begriff Datenschutzmanagementsystem (DSMS) beschreibt die organisatorischen Maßnahmen der verantwortlichen Stelle im Unternehmen, die einen datenschutzkonformen Umgang mit personenbezogenen Daten gewährleisten sollen. Es orientiert sich an den Anforderungen der DSGVO und ist ein interner Leitfaden, der hilft, die Datenschutzkonformität sicherzustellen und bei Bedarf nachzuweisen. Ein solches Management soll also vor allem präventiv Verstöße vermeiden, kann aber auch im Nachhinein Verstöße beheben oder widerlegen.

Welche Unternehmen brauchen ein DSMS?

Grundsätzlich profitieren alle Unternehmen, die personenbezogene Daten verarbeiten, von einem DSMS. Besonders wichtig ist ein DSMS aber für

• Unternehmen, die in großem Umfang Daten verarbeiten, z. B. im Gesundheitswesen, im Finanzsektor oder bei E-Commerce-Plattformen;
• Unternehmen, die regelmäßig besonders schützenswerte Daten verarbeiten;
• Unternehmen, die international tätig sind und unterschiedliche Datenschutzgesetze einhalten müssen.

Die DSGVO sieht keine ausdrückliche gesetzliche Verpflichtung zur Einrichtung eines DSMS vor. Allerdings folgt eine Verpflichtung je nach Risiko der Verarbeitung aus Art. 32 DSGVO. Darüber hinaus sind alle datenschutzrechtlich Verantwortlichen verpflichtet, die Einhaltung datenschutzkonformer Arbeitsweisen nachzuweisen und zum Teil auch zu dokumentieren, so genannte Dokumentations- und Rechenschaftspflichten.

In diesem Zusammenhang sind für die Unternehmen vor allem folgende Punkte von Bedeutung:

• Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten, Art. 30 DSGVO;
• Auftragsverarbeitungsvertrag;
• Technische und organisatorische Maßnahmen (TOM), Art. 25 DSGVO;
• Datenschutz-Folgenabschätzung;
• Meldung durch den Datenschutzbeauftragten;
• Nachweis von Mitarbeiterschulungen;
• Dokumentation eines Datenschutzvorfalles, Art. 33 Abs. 5 DSGVO.

Wie sieht der Aufbau eines effektiven DSMS aus?

Doch wie sieht ein DSMS in der Praxis aus? Um eine sinnvolle Struktur für das DSMS festlegen zu können, sollte sich zunächst ein Überblick über die datenschutzrechtlichen Aufgaben für Unternehmen verschafft werden. Jede Erhebung, Nutzung, Archivierung oder auch Löschung personenbezogener Daten stellt einen Verarbeitungsvorgang dar, bei dem die DSGVO beachtet werden muss.

Deshalb besteht ein effektives DSMS aus mehreren zentralen Komponenten und Prozessen, dazu gehören unter anderem:

Richtlinien und Verfahren

Unternehmen benötigen klare Datenschutzrichtlinien und -verfahren, die die Verarbeitung personenbezogener Daten regeln. Diese sind regelmäßig zu überprüfen und zu aktualisieren. Denn Unternehmen müssen nicht nur sicherstellen, dass sie die Vorgaben der DSGVO einhalten, sondern dies auch nachweisen können, vgl. Art. 5 Abs. 2 DSGVO.

Datenschutzbeauftragter

Die Bestellung eines Datenschutzbeauftragten (DSB) ist in vielen Fällen erforderlich. Der DSB überwacht die Einhaltung der Datenschutzgesetze und ist Ansprechpartner für Mitarbeiter und Betroffene. In der Datenschutzrichtlinie sind deshalb die Fälle zu definieren, in denen die Mitarbeiter den Datenschutzbeauftragten anzusprechen und einzubinden haben.

Verzeichnis der Verarbeitungstätigkeiten

Ein weiterer wichtiger Bestandteil des DSMS ist das Verzeichnis der Verarbeitungstätigkeiten (VVT). Es enthält alle Dokumentationen, die für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO erforderlich sind. Darüber hinaus dient es als Grundlage für die nach Art. 32 DSGVO verpflichtenden Monitoring-Prozesse. Es enthält auch Angaben zum Löschkonzept, zum Dienstleistermanagement, zur Dokumentation der technischen und/oder organisatorischen Maßnahmen, zur Datensicherheit und zur Datenschutz-Folgenabschätzung (DSFA).

Dazu muss das Unternehmen zunächst feststellen, in welchen Fällen personenbezogene Daten erhoben und verarbeitet werden. Zur ersten Orientierung bietet sich eine Auflistung aller Systeme bzw. Tools im Unternehmen an, in denen personenbezogene Daten gespeichert werden.

Technische und organisatorische Maßnahmen (TOMs)

TOMs sind durch die DSGVO vorgeschriebene Maßnahmen, die die Sicherheit der Verarbeitung personenbezogener Daten gewährleisten sollen. Sie umfassen Sicherheitsmaßnahmen wie Verschlüsselung, Zugriffskontrolle und Pseudonymisierung, um die Integrität und Vertraulichkeit personenbezogener Daten zu gewährleisten.

Risikomanagement

Ein Risikoanalyseprozess hilft, potenzielle Datenschutzrisiken zu identifizieren und geeignete Maßnahmen zu deren Minimierung zu ergreifen.

PDCA-Zyklus

Für die Umsetzung ist es empfehlenswert, einen vierphasigen PDCA-Zyklus (Plan Do Check Act) zu implementieren, der sich sehr gut für ein DSMS eignet und daher auch im Standarddatenschutzmodell zu finden ist. Dieser Ansatz gewährleistet eine kontinuierliche Verbesserung, da auf jede „Überprüfung“ eine „Aktionsphase“ folgt, d.h. eine Reaktion auf das Ergebnis der Überprüfung. Danach beginnt eine neue Planungsphase, so dass sich der Kreislauf immer weiter in Richtung Verbesserung bewegt.

1. Plan: Planung, Spezifikation, Dokumentation
2. Do: Implementierung, Protokollierung
3. Check: Kontrolle, Prüfung, Beurteilung
4. Act: Verbesserung.

Gibt es offizielle Standards für Datenschutz­management­systeme?

Es gibt mehrere Standards, die als Leitfaden für ein DSMS dienen können. Dazu gehören ISO/IEC 27701, die spezifischen Anforderungen an Datenschutzmanagementsysteme festlegt, und ISO/IEC 27001, die allgemeinen Anforderungen an Informationssicherheitsmanagementsysteme enthält.

Wie implementiert man ein DSMS im Unternehmen?

Die genaue Implementierung eines DSMS hängt von den jeweiligen Bedürfnissen des Unternehmens ab. Dennoch könnte eine grobe Schritt-für-Schritt-Anleitung wie folgt aussehen:

• Planung: Ermitteln der datenschutzrechtlichen Anforderungen und Festlegen der Ziele.
• Bestandsaufnahme: Durchführung einer Gap-Analyse oder eines Audits, um bestehende Prozesse zu bewerten.
• Maßnahmen festlegen: Entwicklung und Dokumentation von Datenschutzrichtlinien und -verfahren.
• Umsetzung: Implementierung der Maßnahmen im Unternehmen.
• Überwachung und Überprüfung: Regelmäßige Kontrolle und Verbesserung des DSMS durch interne Audits und den PDCA-Zyklus.

Wer ist im Unternehmen für das Datenschutz­management­system verantwortlich?

Verantwortlich für das DSMS ist in der Regel der Datenschutzbeauftragte. In größeren Unternehmen kann dies durch ein Datenschutzteam unterstützt werden. Die Geschäftsführung trägt die Gesamtverantwortung und sollte das DSMS aktiv unterstützen.

Gibt es Strafen, wenn man kein ordentliches DSMS hat?

Da ein DSMS nicht explizit gesetzlich vorgeschrieben ist, drohen keine Sanktionen, wenn kein DSMS vorhanden ist - solange die vorgeschriebenen Dokumentations- und Rechenschaftspflichten erfüllt werden. Dennoch ist eine Implementierung unbedingt zu empfehlen, da ein DSMS nach Art. 83 Abs. 2 d) DSGVO zumindest bußgeldmindernd zu berücksichtigen ist. Darüber hinaus ermöglicht ein wirksames System eine schnelle Reaktion des Unternehmens, wenn es tatsächlich zu Datenschutzverstößen kommt.

Gibt es DSMS-Software, die man nutzen kann?

Einige spezialisierte Datenschutzmanagement-Software wie caralegal unterstützen die Implementierung eines DSMS und erleichtern die Handhabung. Mit einer DSMS-Software kann der gesamte Datenschutz im Unternehmen zentralisiert und automatisiert werden. Dennoch reicht eine Software in der Regel nicht aus, sondern es bedarf auch der Beratung durch Expert:innen. Denn das Datenschutzmanagement im Unternehmen kann aufgrund der vielen Anforderungen aus der DSGVO für die zuständigen Mitarbeiter:innen sehr zeitaufwändig und mühsam werden.

Verschiedene Aufgaben mit unterschiedlichen Fristen, verteilte und unterschiedlich strukturierte Dokumente sind zudem sehr fehleranfällig. Eine Beratung durch ISiCO kann beides verbinden: Expertenberatung und die Möglichkeit, Caralegal als Software zu nutzen.

Was ist der Unterschied zwischen einem DSMS und ISMS?

Ein Datenschutzmanagementsystem (DSMS) konzentriert sich speziell auf den Schutz personenbezogener Daten gemäß Datenschutzgesetzen. Ein Informationssicherheits-Managementsystem (ISMS) hat einen breiteren Fokus auf den Schutz aller Informationswerte eines Unternehmens vor verschiedenen Bedrohungen.

Wie läuft die Implementierung oder Optimierung des DSMS mit ISiCO ab?

Die Implementierung oder Optimierung eines DSMS mit ISiCO beginnt mit einer ausführlichen Analyse der bestehenden Datenschutzprozesse. Anschließend entwickelt ISiCO maßgeschneiderte Lösungen, die sowohl die gesetzlichen Anforderungen als auch die spezifischen Bedürfnisse des Unternehmens berücksichtigen. Die Unterstützung reicht von der Planung und Umsetzung bis hin zur kontinuierlichen Überwachung und Verbesserung des DSMS.