Datenschutzmanagementsystem (DSMS)

Ein Datenschutzmanagementsystem (DSMS) ist kein Einzeldokument, sondern die dauerhafte Organisationsstruktur, mit der ein Verantwortlicher den Datenschutz steuert. Die DSGVO verwendet den Begriff zwar nicht wörtlich, verlangt seine Substanz aber in Art. 24 Abs. 1 DSGVO: Der Verantwortliche muss geeignete technische und organisatorische Maßnahmen umsetzen, um die Verordnungskonformität sicherzustellen und nachweisen zu können – und diese Maßnahmen ausdrücklich "erforderlichenfalls überprüfen und aktualisieren". Art. 24 Abs. 2 DSGVO ergänzt, dass dazu bei verhältnismäßigem Aufwand auch die Anwendung geeigneter Datenschutzvorkehrungen und interner Strategien gehört. Zusammen mit der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO ergibt sich damit die Pflicht zu einem geschlossenen Steuerungskreis statt zu punktuellen Einzelmaßnahmen.

Aufgebaut wird ein DSMS in der Regel nach dem PDCA-Zyklus (Plan – Do – Check – Act) und besteht aus vier Bausteinen. Erstens Rollen und Verantwortlichkeiten: Geschäftsführung als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, Datenschutzbeauftragter mit den Aufgaben aus Art. 39 DSGVO, Datenschutzkoordinatoren in den Fachbereichen sowie klar zugeordnete Prozessverantwortliche. Zweitens Kernprozesse: Verarbeitungsverzeichnis nach Art. 30 DSGVO, Schwellwertanalyse und Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, Bearbeitung von Betroffenenanfragen innerhalb der Monatsfrist des Art. 12 Abs. 3 DSGVO, Meldung von Datenpannen binnen 72 Stunden nach Art. 33 DSGVO, Lieferantensteuerung mit Auftragsverarbeitungsverträgen nach Art. 28 DSGVO sowie Lösch- und Aufbewahrungskonzepte. Drittens Regelwerk: Datenschutzleitlinie, Richtlinien, Formulare und Schulungen. Viertens Nachweise: Protokolle, Freigaben, Prüfberichte und Kennzahlen.

Wirksamkeit entsteht erst durch die Check- und Act-Phase: interne Audits, Managementbewertung, Kennzahlen wie Bearbeitungsdauer von Auskunftsersuchen oder Schulungsquote und ein dokumentierter Maßnahmenplan bei Abweichungen. Eine förmliche Zertifizierung ist nicht vorgeschrieben; als Orientierung dienen das Standard-Datenschutzmodell (SDM) der deutschen Aufsichtsbehörden, ISO/IEC 27701 als Erweiterung eines ISMS nach ISO/IEC 27001 um Datenschutzanforderungen sowie genehmigte Verhaltensregeln nach Art. 40 DSGVO und Zertifizierungen nach Art. 42 DSGVO. Praktisch zahlt sich ein DSMS doppelt aus: Es senkt das Risiko von Verstößen und wirkt sich nach Art. 83 Abs. 2 lit. d DSGVO bußgeldmindernd aus, weil der Grad der Verantwortung unter Berücksichtigung der getroffenen Maßnahmen bewertet wird. Wo bereits ein Informationssicherheits- oder Compliance-Management-System existiert, sollte das DSMS integriert und nicht parallel geführt werden.