Fast jedes Unternehmen verfügt bereits über irgendeine Form von Datenschutzorganisation. Zuständigkeiten wurden festgelegt, Verzeichnisse angelegt, Richtlinien geschrieben und Prozesse beschrieben. Die entscheidende Frage lautet jedoch: Funktioniert diese Organisation auch im Unternehmensalltag?
Darüber sprach Regina Mühlich, Wirtschaftsjuristin und Geschäftsführerin der AdOrga Solutions GmbH, in Folge 167 des c’t-Datenschutz-Podcasts „Auslegungssache“. Gesprächspartner waren Holger Bleich, Redakteur bei c’t, und Jörg Heidrich, Justiziar bei Heise Medien.
Datenschutz braucht klare Strukturen
Ein Datenschutz-Managementsystem (kurz DSMS) bündelt die Regeln, Verantwortlichkeiten und Abläufe, mit denen ein Unternehmen seine datenschutzrechtlichen Anforderungen umsetzt. Dabei geht es nicht darum, möglichst viele Dokumente zu erstellen. Entscheidend ist vielmehr, dass die vorgesehenen Prozesse zum Unternehmen passen und von den Beteiligten tatsächlich umgesetzt werden können. Das zeigt sich besonders in Situationen, in denen Unternehmen schnell und verlässlich handeln müssen: etwa bei Auskunftsersuchen betroffener Personen oder bei einer möglichen Datenschutzverletzung. Wenn Zuständigkeiten erst im konkreten Fall geklärt werden müssen, fehlen häufig wertvolle Zeit, notwendige Informationen und abgestimmte Entscheidungswege.
Ein praxistaugliches DSMS schafft hierfür klare Strukturen:
- Wer übernimmt welche Aufgaben?
- Welche Stellen müssen einbezogen werden?
- Welche Abläufe gelten bei Auskunftsanfragen oder Datenschutzverletzungen?
- Wo werden Entscheidungen und Maßnahmen dokumentiert?
- Wie wird regelmäßig geprüft, ob die Prozesse weiterhin funktionieren?
Ein DSMS muss zum Unternehmen passen
Datenschutzorganisation lässt sich nicht einfach aus einer Vorlage übernehmen. Unternehmensgröße, Geschäftsmodell, eingesetzte Systeme, vorhandene Verantwortlichkeiten und konkrete Verarbeitungsrisiken müssen berücksichtigt werden. Ein DSMS muss deshalb nicht möglichst umfangreich, sondern angemessen, nachvollziehbar und im Unternehmensalltag handhabbar sein. Es sollte bestehende Prozesse aufgreifen und Datenschutz dort integrieren, wo personenbezogene Daten tatsächlich verarbeitet werden. Damit wird Datenschutz zu einem Bestandteil der Unternehmensorganisation und der Governance. Klare Verantwortlichkeiten, verbindliche Abläufe und eine nachvollziehbare Dokumentation tragen dazu bei, regulatorische Anforderungen steuerbar zu machen.
Am Ende zählt nicht die schönste Richtlinie, sondern ein Datenschutz-Managementsystem, das in der Praxis funktioniert.
Zum Podcast
Ganz ohne „Auslegungssache“ ging es bei dem Gespräch natürlich nicht – und auch der Humor kam nicht zu kurz. Regina Mühlich bedankt sich bei Holger Bleich und Jörg Heidrich für die Einladung und das angenehme Gespräch.
Die vollständige Folge „Datenschutz mit System“ ist hier abrufbar: Auslegungssache, Folge 167: Datenschutz mit System
