Ein Datenschutz-Management-System (DSMS) ist ein Managementsystem für den Datenschutz, in dem eine Organisation die Anforderungen des Datenschutzrechts systematisch umsetzt, mit Bestandteilen wie einem Verzeichnis von Verarbeitungstätigkeiten und Prozessen zur Meldung von Datenpannen.
Auf einen Blick
Artikel 24 Absatz 1 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, um sicherzustellen und nachweisen zu können, dass die Verarbeitung der DSGVO entspricht, unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen.
Nach der Datenschutzkonferenz sind die Rechenschafts- und Nachweispflichten eine dauerhafte Aufgabe des Verantwortlichen und sollten als zyklischer Prozess etabliert werden.
Die IHK Ostwestfalen zählt unter anderem Prozesse für Datenpannen und Betroffenenrechte, Schulungen und ein Datensicherheitskonzept zu den Bestandteilen.
Was ist ein Datenschutz-Management-System?
Die Datenschutzkonferenz beschreibt in ihrer SDM-Methode das Datenschutzmanagement als „umfassende Methode, um systematisch alle Anforderungen des Datenschutzrechts in einer Organisation umzusetzen“. Die IHK Ostwestfalen nennt als Bestandteile eines Datenschutz-Managementsystems unter anderem die Führung eines Verzeichnisses von Verarbeitungstätigkeiten, ein Vertragsmanagement, Prozesse zur Meldung von Datenpannen und zur Wahrnehmung von Betroffenenrechten, die Schulung von Mitarbeitern sowie deren Verpflichtung zur Verschwiegenheit und ein Datensicherheitskonzept. Die Rechenschafts- und Nachweispflichten sind nach der SDM-Methode eine dauerhafte Aufgabe für den Verantwortlichen und sollten daher als dauerhafter, zyklischer Prozess etabliert werden.
Führt ein Versicherer ein Datenschutz-Management-System ein, kann er darin die geeigneten technischen und organisatorischen Maßnahmen bündeln, die er nach Artikel 24 DSGVO unter Berücksichtigung der Risiken für die Rechte und Freiheiten natürlicher Personen umsetzt und nachweisen können muss. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert (Art. 24 Abs. 1 DSGVO). Die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 kann als Gesichtspunkt herangezogen werden, um die Erfüllung der Pflichten des Verantwortlichen nachzuweisen (Art. 24 Abs. 3 DSGVO).
Wie funktioniert ein Datenschutz-Management-System?
Nach Artikel 24 Absatz 1 DSGVO setzt der Verantwortliche unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht, müssen diese Maßnahmen nach Absatz 2 die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen.
Im Datenschutzmanagement nennt die Datenschutzkonferenz in ihrer SDM-Methode konkret ein Verzeichnis der Verarbeitungstätigkeiten gemäß Art. 30 DSGVO und, für Verarbeitungstätigkeiten, die ein voraussichtlich hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben, darüber hinaus eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO. Außerdem muss der Verantwortliche nach Darstellung der Datenschutzkonferenz die Umsetzung und die Wirksamkeit der Maßnahmen nachweisen, evaluieren und gegebenenfalls verbessern können; als kontinuierlicher Verbesserungsprozess steht nach der SDM-Methode der PDCA-Zyklus (Plan, Do, Check, Act) in vier Phasen zur Verfügung.
Datenschutz-Management-System im Vergleich
| Kriterium | Datenschutz-Management-System | Informationssicherheits-Managementsystem (ISMS) |
|---|---|---|
| Zielrichtung | Gewährleistung der Rechte und Freiheiten natürlicher Personen (nach der Datenschutzkonferenz: „operativer Datenschutz“ mit Hilfe des SDM) | Die Datenschutzkonferenz stellt dem SDM den IT-Grundschutz des BSI gegenüber; dessen Zielrichtung ist die Gewährleistung der Informationssicherheit einer Organisation |
| Maßstab für Maßnahmen | Nach dem SDM maßgeblich: die Beeinträchtigung, die ein Betroffener durch die Datenverarbeitung der Institution hinnehmen muss | Beim IT-Grundschutz des BSI hat nach der Datenschutzkonferenz vorrangig die Informationssicherheit im Blickfeld; er soll die datenverarbeitende Institution schützen |
| Schutzbedarf | Nach der Datenschutzkonferenz kann nicht ausgeschlossen werden, dass die Schutzbedarfsfeststellungen nach SDM und nach Grundschutz für dieselbe Verarbeitung unterschiedlich ausfallen | Nach der Datenschutzkonferenz kann nicht ausgeschlossen werden, dass die Schutzbedarfsfeststellungen nach Grundschutz und nach SDM für dieselbe Verarbeitung unterschiedlich ausfallen |
| Beschreibung | Nach der Datenschutzkonferenz eine umfassende Methode, um systematisch alle Anforderungen des Datenschutzrechts in einer Organisation umzusetzen (Datenschutzmanagement) | BSI-Standard 200-1: Ein Managementsystem umfasst alle Regelungen, die für die Steuerung und Lenkung einer Institution sorgen und letztlich zur Zielerreichung führen sollen |
Woran erkenne ich ein wirksames Datenschutz-Management-System?
| Merkmal | Worauf es ankommt |
|---|---|
| Maßnahmen mit Risikobezug | Geeignete technische und organisatorische Maßnahmen unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen (Artikel 24 Absatz 1 DSGVO). |
| Nachweis | Der Verantwortliche muss den Nachweis erbringen können, dass die Verarbeitung gemäß der DSGVO erfolgt; genehmigte Verhaltensregeln oder ein genehmigtes Zertifizierungsverfahren können als Gesichtspunkt herangezogen werden (Art. 24 DSGVO). |
| Überprüfung | Die Maßnahmen werden erforderlichenfalls überprüft und aktualisiert (Art. 24 Abs. 1 DSGVO); nach der Datenschutzkonferenz sollte der Prozess dauerhaft und zyklisch etabliert werden. |
| Datenschutzvorkehrungen | Sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht, müssen die Maßnahmen die Anwendung geeigneter Datenschutzvorkehrungen umfassen (Art. 24 Abs. 2 DSGVO). |
| Bestandteile | Die IHK Ostwestfalen nennt unter anderem ein Verzeichnis von Verarbeitungstätigkeiten, ein Vertragsmanagement, Prozesse zur Meldung von Datenpannen und zur Wahrnehmung von Betroffenenrechten, Schulungen und ein Datensicherheitskonzept. |
Beispiele aus der Praxis
- Eine Organisation führt ein Verzeichnis von Verarbeitungstätigkeiten und legt Prozesse zur Meldung von Datenpannen und zur Wahrnehmung von Betroffenenrechten fest; die IHK Ostwestfalen zählt das Verzeichnis und die Prozesse unter anderem zu den Bestandteilen eines Datenschutz-Managementsystems.
- Plant ein Verantwortlicher eine Form der Verarbeitung, die aufgrund der Art, des Umfangs, der Umstände und der Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, führt er vorab eine Abschätzung der Folgen für den Schutz personenbezogener Daten durch (Art. 35 DSGVO).
- Ein Versicherer kann in seinem Datenschutz-Management-System die geeigneten technischen und organisatorischen Maßnahmen bündeln, die er nach Artikel 24 DSGVO unter Berücksichtigung der in Absatz 1 genannten Faktoren umsetzt und nachweisen können muss.
