Datenschutz-Management

Nicht mit diesem Namen. Die DSGVO nennt kein „Datenschutz-Management-System“ als ausdrückliche Pflicht. Aus der Rechenschafts­pflicht nach Art. 5 Abs. 2, der Pflicht zu angemessenen Maßnahmen nach Art. 24 und 32 sowie den Dokumentations­pflichten nach Art. 30 und 33 ergibt sich seine Notwendigkeit jedoch faktisch: Ohne geordnetes System lässt sich die geforderte Nachweisbarkeit im Ernstfall nicht herstellen.

Die Datenschutz­beratung ist anlass- und projekt­bezogen — sie löst ein konkretes Vorhaben, etwa eine Software-Bewertung oder eine Datenschutz-Folgen­abschätzung. Das DSMS verbindet diese Einzel­teile zu einem dauerhaften System mit Rollen, wiederkehrenden Prozessen und einem Kontroll­zyklus. Vereinfacht: Beratung liefert Bausteine, das DSMS ist das Gebäude, das sie zusammenhält und in Stand hält.

Das hängt von Ihrer Pflicht-Lage nach Art. 37 DSGVO und § 38 BDSG ab. Ein DSMS und ein Datenschutz­beauftragter schließen sich nicht aus, sondern ergänzen sich: Das System liefert die Strukturen, der externe Datenschutz­beauftragte überwacht ihre Einhaltung als bestellte Funktion. Besteht keine Bestellungs­pflicht, kann das DSMS auch ohne förmliche Bestellung betrieben werden — die Rechenschafts­pflicht gilt unabhängig davon.

Das SDM ist ein Werkzeug der deutschen Datenschutz-Aufsichts­behörden, aktuell in Version 3.1. Es übersetzt die Rechts­anforderungen der DSGVO in sieben Gewährleistungs­ziele — Datenminimierung, Verfügbarkeit, Integrität, Vertraulichkeit, Transparenz, Nichtverkettung und Intervenierbarkeit — und ordnet ihnen konkrete technische und organisatorische Maßnahmen zu. Es ist nicht verpflichtend, gibt aber den Maßstab vor, den die Aufsicht bei einer Prüfung anlegt. Wir richten das DSMS daran aus.

Typischer­weise drei bis sechs Monate bis zum ersten vollständigen Zyklus, abhängig von Unternehmens­größe, Anzahl der Verarbeitungen und vorhandener Reife. Unternehmen mit bereits gepflegtem Verarbeitungs­verzeichnis und vorhandenen Dokumenten erreichen den unteren Rand. Danach geht das System in den laufenden Betrieb über, in dem es über den PDCA-Zyklus aktuell gehalten wird.

Beide sind Management-Systeme nach demselben Grundprinzip, verfolgen aber unterschiedliche Schutz­ziele: Das Informations­sicherheits-Management-System (ISMS) schützt Informationen aller Art vor Verlust, Manipulation und unbefugtem Zugriff; das DSMS stellt die Rechtmäßigkeit der Verarbeitung personen­bezogener Daten sicher. Es gibt erhebliche Überschneidungen — etwa bei den technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Wo bereits ein ISMS besteht, bauen wir das DSMS auf der vorhandenen Methodik auf und führen beide Systeme mit gemeinsamem Dokumenten-Stamm und abgestimmten Audit-Zyklen, statt zwei getrennte Welten zu pflegen.

Das hängt von Geltungs­bereich, Anzahl der Verarbeitungen und vorhandener Reife ab. Wir arbeiten mit einem Pauschal­betrag für das Aufbau-Projekt, der sich nach dem Scoping im Erst­gespräch bemisst; den anschließenden laufenden Betrieb bilden wir wahlweise über ein Stunden­kontingent oder ein DSB-Mandat ab. Eine konkrete Größen­ordnung nennen wir gerne, sobald wir Ihre Ausgangs­lage kennen.