Die DSGVO adressiert ausdrücklich die Verantwortung der Unternehmensleitung. Sie verlangt klare Zuständigkeiten, dokumentierte Entscheidungen und geeignete organisatorische Maßnahmen. Artikel 32 DSGVO fordert explizit „ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.“
Synergien zwischen Datenschutz und Informationssicherheit nutzen
Viele Anforderungen der DSGVO decken sich mit etablierten Standards der Informationssicherheit. Ein integrierter Ansatz bietet folgende Vorteile:
- Vermeidung von Doppelstrukturen zwischen Datenschutz und ISMS
- einheitliche Risikobetrachtung für Informationssicherheit und Datenschutz
- konsistentes Reporting an Geschäftsführung und Aufsichtsorgane
- bessere Vorbereitung auf Audits und Kundenprüfungen
Datenschutzaufgaben werden so Teil eines ganzheitlichen Sicherheits- und Compliance-Managements.
DSMS und ISMS verfolgen aber unterschiedliche Primärziele:
- ISMS (z. B. nach ISO/IEC 27001) fokussiert auf die Sicherheit von Informationen insgesamt – unabhängig davon, ob diese personenbezogen sind.
- DSMS fokussiert auf den Schutz der Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten.
Es gibt erhebliche Schnittmengen (Risikoanalysen, Maßnahmen, Audits), aber auch klare Unterschiede, insbesondere bei rechtlichen Bewertungen, Betroffenenrechten und der Rechenschaftspflicht gegenüber Aufsichtsbehörden.
Option A: Integration des DSMS in ein bestehendes ISMS
Dies ist sinnvoll, wenn bereits ein gelebtes ISMS existiert (nicht nur auf dem Papier). Es gibt klare Prozesse für Risiko-, Maßnahmen- und Auditmanagement. Dies führt zu Synergieeffekte, zu einheitlicher Governance und Berichtswege und zu weniger Doppelarbeit. Nachteilig zeigt sich, dass Datenschutz auf technische Sicherheitsaspekte reduziert wird und rechtliche Besonderheiten (Rechtsgrundlagen, Interessenabwägungen, Betroffenenrechte) in den Hintergrund geraten. Integration ist sinnvoll, wenn das ISMS reif und wirksam ist und Datenschutz als gleichwertige Disziplin behandelt wird – nicht als Annex der IT-Sicherheit/Informationssicherheit.
Option B: Autarker Aufbau eines DSMS
Ein autarker Aufbau ist dann empfehlenswert, wenn kein oder nur ein rudimentäres ISMS vorhanden und ein hoher Anteil fachlicher und rechtlicher Fragestellungen (HR, Vertrieb, Marketing) besteht. Somit ist eine Fokussierung auf DSGVO-Anforderungen und ein schneller und pragmatischer Aufbau möglich, kann aber zu Doppelstrukturen und zusätzlichen Abstimmungsbedarf mit der IT/Informationssicherheit führen. Für viele KMU ist ein autarkes, schlankes DSMS der sinnvollere Startpunkt, insbesondere wenn Informationssicherheit noch nicht formalisiert ist.
Option C: Hybridansatz
In der Praxis hat sich häufig ein hybrider Ansatz bewährt. Hierbei werden gemeinsame Grundlagen in der Risiko- und Maßnahmenmethodik, in der Dokumentation technischer und organisatorischer Maßnahmen und bei den Audit- und Review-Strukturen genutzt. Ferner wird aber eine eigenständige Datenschutz-Governance und separate Datenschutz-spezifische Prozesse geschaffen (Betroffenenrechte, DSFA, Rechtsgrundlagen). Vorteilhaft ist hierbei, Synergien ohne Verwässerung der Datenschutzanforderungen genutzt werden und klare Rollen- und Verantwortungszuordnungen bestehen. Dieser Ansatz ist gerade dann sinnvoll, wenn das ISMS außerhalb des Rechtsraums der EU bzw. der DSGVO liegt.
+++++++++
Datenschutz ist längst mehr als eine rechtliche Pflichtübung. Aus diesem Grund haben wir ein Whitepaper „Datenschutz als Compliance- und Business-Baustein“ erstellt.
