Die Datenschutzkonferenz beschreibt in ihrer SDM-Methode das Datenschutzmanagement als \u201eumfassende Methode, um systematisch alle Anforderungen des Datenschutzrechts in einer Organisation umzusetzen\u201c. Die IHK Ostwestfalen nennt als Bestandteile eines Datenschutz-Managementsystems unter anderem die F\u00fchrung eines Verzeichnisses von Verarbeitungst\u00e4tigkeiten, ein Vertragsmanagement, Prozesse zur Meldung von Datenpannen und zur Wahrnehmung von Betroffenenrechten, die Schulung von Mitarbeitern sowie deren Verpflichtung zur Verschwiegenheit und ein Datensicherheitskonzept. Die Rechenschafts- und Nachweispflichten sind nach der SDM-Methode eine dauerhafte Aufgabe f\u00fcr den Verantwortlichen und sollten daher als dauerhafter, zyklischer Prozess<\/strong> etabliert werden.<\/p>\n F\u00fchrt ein Versicherer ein Datenschutz-Management-System ein, kann er darin die geeigneten technischen und organisatorischen Ma\u00dfnahmen b\u00fcndeln, die er nach Artikel 24 DSGVO unter Ber\u00fccksichtigung der Risiken f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen umsetzt und nachweisen k\u00f6nnen muss. Diese Ma\u00dfnahmen werden erforderlichenfalls \u00fcberpr\u00fcft und aktualisiert (Art. 24 Abs. 1 DSGVO). Die Einhaltung genehmigter Verhaltensregeln gem\u00e4\u00df Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gem\u00e4\u00df Artikel 42 kann als Gesichtspunkt herangezogen werden<\/strong>, um die Erf\u00fcllung der Pflichten des Verantwortlichen nachzuweisen (Art. 24 Abs. 3 DSGVO).<\/p>\n Nach Artikel 24 Absatz 1 DSGVO setzt der Verantwortliche unter Ber\u00fccksichtigung der Art, des Umfangs, der Umst\u00e4nde und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen geeignete technische und organisatorische Ma\u00dfnahmen um, um sicherzustellen und den Nachweis daf\u00fcr erbringen zu k\u00f6nnen, dass die Verarbeitung gem\u00e4\u00df dieser Verordnung erfolgt. Sofern dies in einem angemessenen Verh\u00e4ltnis zu den Verarbeitungst\u00e4tigkeiten steht, m\u00fcssen diese Ma\u00dfnahmen nach Absatz 2 die Anwendung geeigneter Datenschutzvorkehrungen<\/strong> durch den Verantwortlichen umfassen.<\/p>\n Im Datenschutzmanagement nennt die Datenschutzkonferenz in ihrer SDM-Methode konkret ein Verzeichnis der Verarbeitungst\u00e4tigkeiten gem\u00e4\u00df Art. 30 DSGVO und, f\u00fcr Verarbeitungst\u00e4tigkeiten, die ein voraussichtlich hohes Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen zur Folge haben, dar\u00fcber hinaus eine Datenschutz-Folgenabsch\u00e4tzung gem\u00e4\u00df Art. 35 DSGVO. Au\u00dferdem muss der Verantwortliche nach Darstellung der Datenschutzkonferenz die Umsetzung und die Wirksamkeit der Ma\u00dfnahmen nachweisen, evaluieren und gegebenenfalls verbessern k\u00f6nnen; als kontinuierlicher Verbesserungsprozess<\/strong> steht nach der SDM-Methode der PDCA-Zyklus (Plan, Do, Check, Act) in vier Phasen zur Verf\u00fcgung.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,406,405],"class_list":["post-33862","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-dsgvo-datenschutz","glossary_intl_topic-datenschutz-datensicherheit"],"acf":{"card_description":"Datenschutz-Management-System: Ansatz, mit dem eine Organisation die Anforderungen des Datenschutzrechts systematisch umsetzt.","nav_theme":"Datenschutz & Datensicherheit","nav_subtheme":"DSGVO & Datenschutz","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"DSMS"},{"value":"Privacy Management System"}],"lead_definition":"Ein Datenschutz-Management-System (DSMS) ist ein Managementsystem f\u00fcr den Datenschutz, in dem eine Organisation die Anforderungen des Datenschutzrechts systematisch umsetzt, mit Bestandteilen wie einem Verzeichnis von Verarbeitungst\u00e4tigkeiten und Prozessen zur Meldung von Datenpannen.","at_a_glance":[{"bullet":"Artikel 24 Absatz 1 DSGVO verlangt geeignete technische und organisatorische Ma\u00dfnahmen, um sicherzustellen und nachweisen zu k\u00f6nnen, dass die Verarbeitung der DSGVO entspricht, unter Ber\u00fccksichtigung von Art, Umfang, Umst\u00e4nden und Zwecken der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen."},{"bullet":"Nach der Datenschutzkonferenz sind die Rechenschafts- und Nachweispflichten eine dauerhafte Aufgabe des Verantwortlichen und sollten als zyklischer Prozess etabliert werden."},{"bullet":"Die IHK Ostwestfalen z\u00e4hlt unter anderem Prozesse f\u00fcr Datenpannen und Betroffenenrechte, Schulungen und ein Datensicherheitskonzept zu den Bestandteilen."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Eine Organisation f\u00fchrt ein Verzeichnis von Verarbeitungst\u00e4tigkeiten und legt Prozesse zur Meldung von Datenpannen und zur Wahrnehmung von Betroffenenrechten fest; die IHK Ostwestfalen z\u00e4hlt das Verzeichnis und die Prozesse unter anderem zu den Bestandteilen eines Datenschutz-Managementsystems."},{"example":"Plant ein Verantwortlicher eine Form der Verarbeitung, die aufgrund der Art, des Umfangs, der Umst\u00e4nde und der Zwecke voraussichtlich ein hohes Risiko f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen zur Folge hat, f\u00fchrt er vorab eine Absch\u00e4tzung der Folgen f\u00fcr den Schutz personenbezogener Daten durch (Art. 35 DSGVO)."},{"example":"Ein Versicherer kann in seinem Datenschutz-Management-System die geeigneten technischen und organisatorischen Ma\u00dfnahmen b\u00fcndeln, die er nach Artikel 24 DSGVO unter Ber\u00fccksichtigung der in Absatz 1 genannten Faktoren umsetzt und nachweisen k\u00f6nnen muss."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33741,33844,33839,33841,33739],"pillar_link":null,"sources":[{"publisher":"","name":"Das Standard-Datenschutzmodell, Version 3.1","url":"https:\/\/www.datenschutzkonferenz-online.de\/media\/ah\/SDM-Methode-V31.pdf","doc_type":"2024","group":"used"},{"publisher":"","name":"L_2016119DE.01000101.xml","url":"https:\/\/publications.europa.eu\/resource\/cellar\/3e485e15-11bd-11e6-ba9a-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Datenschutz - IHK Ostwestfalen","url":"https:\/\/www.ihk.de\/ostwestfalen\/recht-und-steuern\/recht\/datenschutzrecht-6718566","doc_type":"","group":"used"},{"publisher":"","name":"BSI-Standard 200-1","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/BSI_Standards\/standard_200_1.pdf?__blob=publicationFile&v=2","doc_type":"2017","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-24"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert ein Datenschutz-Management-System?<\/h2>\n
Datenschutz-Management-System im Vergleich<\/h2>\n
\n\n
\n \nKriterium<\/th>\n Datenschutz-Management-System<\/th>\n Informationssicherheits-Managementsystem (ISMS)<\/th>\n<\/tr>\n<\/thead>\n \n Zielrichtung<\/td>\n Gew\u00e4hrleistung der Rechte und Freiheiten nat\u00fcrlicher Personen (nach der Datenschutzkonferenz: \u201eoperativer Datenschutz\u201c mit Hilfe des SDM)<\/td>\n Die Datenschutzkonferenz stellt dem SDM den IT-Grundschutz des BSI gegen\u00fcber; dessen Zielrichtung ist die Gew\u00e4hrleistung der Informationssicherheit einer Organisation<\/td>\n<\/tr>\n \n Ma\u00dfstab f\u00fcr Ma\u00dfnahmen<\/td>\n Nach dem SDM ma\u00dfgeblich: die Beeintr\u00e4chtigung, die ein Betroffener durch die Datenverarbeitung der Institution hinnehmen muss<\/td>\n Beim IT-Grundschutz des BSI hat nach der Datenschutzkonferenz vorrangig die Informationssicherheit im Blickfeld; er soll die datenverarbeitende Institution sch\u00fctzen<\/td>\n<\/tr>\n \n Schutzbedarf<\/td>\n Nach der Datenschutzkonferenz kann nicht ausgeschlossen werden, dass die Schutzbedarfsfeststellungen nach SDM und nach Grundschutz f\u00fcr dieselbe Verarbeitung unterschiedlich ausfallen<\/td>\n Nach der Datenschutzkonferenz kann nicht ausgeschlossen werden, dass die Schutzbedarfsfeststellungen nach Grundschutz und nach SDM f\u00fcr dieselbe Verarbeitung unterschiedlich ausfallen<\/td>\n<\/tr>\n \n Beschreibung<\/td>\n Nach der Datenschutzkonferenz eine umfassende Methode, um systematisch alle Anforderungen des Datenschutzrechts in einer Organisation umzusetzen (Datenschutzmanagement)<\/td>\n BSI-Standard 200-1: Ein Managementsystem umfasst alle Regelungen, die f\u00fcr die Steuerung und Lenkung einer Institution sorgen und letztlich zur Zielerreichung f\u00fchren sollen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Woran erkenne ich ein wirksames Datenschutz-Management-System?<\/h2>\n
\n\n
\n \nMerkmal<\/th>\n Worauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n \n Ma\u00dfnahmen mit Risikobezug<\/td>\n Geeignete technische und organisatorische Ma\u00dfnahmen unter Ber\u00fccksichtigung von Art, Umfang, Umst\u00e4nden und Zwecken der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen (Artikel 24 Absatz 1 DSGVO).<\/td>\n<\/tr>\n \n Nachweis<\/td>\n Der Verantwortliche muss den Nachweis erbringen k\u00f6nnen, dass die Verarbeitung gem\u00e4\u00df der DSGVO erfolgt; genehmigte Verhaltensregeln oder ein genehmigtes Zertifizierungsverfahren k\u00f6nnen als Gesichtspunkt herangezogen werden (Art. 24 DSGVO).<\/td>\n<\/tr>\n \n \u00dcberpr\u00fcfung<\/td>\n Die Ma\u00dfnahmen werden erforderlichenfalls \u00fcberpr\u00fcft und aktualisiert (Art. 24 Abs. 1 DSGVO); nach der Datenschutzkonferenz sollte der Prozess dauerhaft und zyklisch etabliert werden.<\/td>\n<\/tr>\n \n Datenschutzvorkehrungen<\/td>\n Sofern dies in einem angemessenen Verh\u00e4ltnis zu den Verarbeitungst\u00e4tigkeiten steht, m\u00fcssen die Ma\u00dfnahmen die Anwendung geeigneter Datenschutzvorkehrungen umfassen (Art. 24 Abs. 2 DSGVO).<\/td>\n<\/tr>\n \n Bestandteile<\/td>\n Die IHK Ostwestfalen nennt unter anderem ein Verzeichnis von Verarbeitungst\u00e4tigkeiten, ein Vertragsmanagement, Prozesse zur Meldung von Datenpannen und zur Wahrnehmung von Betroffenenrechten, Schulungen und ein Datensicherheitskonzept.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n