Bericht VDSZ

4.2.2 Inhaltliche Umschreibung

Die Einrichtung des DSMS erfolgt gestützt auf die Definition von Anwendungsbereich, Datenschutzpolitik (vgl. Ziff. 4.1) und der Methode zur Risikoeinschätzung betreffend Datensicherheit. Die sich aus den Datenschutzgrundsätzen (vgl. Art. 4 ff. DSG) und weiteren rechtlichen Grundlagen ergebenen Anforderungen sind zu identifizieren und Datensicherheitsrisiken sind einzuschätzen. Darauf gestützt sind entsprechende Massnahmen zu bestimmen und durch das Management zu genehmigen.

Im Rahmen der Umsetzung der festgelegten Massnahmen sind Verfahren vorzusehen, die eine sofortige Erkennung von und Reaktion auf Unregelmässigkeiten ermöglichen und geeignet sind, Datenschutzverletzungen zu identifizieren und zu beheben.

Die Wirksamkeit des DSMS ist regelmässig zu überprüfen, namentlich mittels interner Audits in mindestens jährlichen Abständen. Dabei identifizierte Verbesserungsmöglichkeiten (Korrektur- und Vorbeugungsmassnahmen) sind umzusetzen.

Zum DSMS ist eine Dokumentation zu erstellen. Sie muss namentlich eine Erklärung zur Datenschutzpolitik enthalten, den Anwendungsbereich des DSMS umschrieben sowie die Methodik zur Risikoeinschätzung betreffend die Datensicherheit (und deren Ergebnis) beschreiben. Weiter muss sie einen Plan zur Einhaltung der Anforderungen des Datenschutzes und einen Plan zum Umgang mit den Risiken für die Datensicherheit beinhalten. Verfahren, die die Organisation zur Sicherstellung der wirksamen Planung, Durchführung und Kontrolle der Datenschutzpolitik dienen, sind ebenfalls zu dokumentieren. Die Dokumente sind vor ihrer Herausgabe von der zuständigen Stelle zu genehmigen. Sie sind laufend zu überprüfen und im Bedarfsfall zu aktualisieren. Änderungen und aktueller Status der Dokumente sind zu kennzeichnen. Die zuständigen Stellen und Personen müssen über die aktuellen Fassungen der für sie jeweils einschlägigen Dokumente verfügen.

Als Nachweis dafür, dass das DSMS wirksam ist und den Anforderungen entspricht sind entsprechende Aufzeichnungen (Logfiles etc.) zu erstellen und zu verwalten.

Das Management muss eine Reihe von Verantwortlichkeiten wahrnehmen. Darunter fällt zunächst namentlich die Entwicklung der Datenschutzpolitik, die Bestimmung von Rollen und Verantwortlichkeiten für den Datenschutz, die Bestimmung des für die Datensicherheit akzeptablen Risikoniveaus und die Durchführung von Verbesserungen. Das Management muss zudem für die Bereitstellung der Ressourcen sorgen, die erforderlich sind, um einen adäquaten Datenschutz durch richtige Anwendung aller implementierten Massnahmen aufrecht zu erhalten und die Wirksamkeit des DSMS soweit notwendig zu verbessern. Das Management sorgt weiter für eine angemessene Bewusstseinsförderung beim betreffenden Personal sowie für dessen kompetente Schulung im Bereich des Datenschutzes. Das Management muss in mindestens jährlichen Abständen – u.a. gestützt auf die Ergebnisse der internen DSMS-Audits, Ergebnisse von Wirksamkeitsmessungen und organisationsinterne und –externe Änderungen, die sich auf das DSMS auswirken können – das DSMS überprüfen und bewerten, um dessen Angemessenheit und Wirksamkeit sicherzustellen bzw. zu verbessern. Ziele dieser Managementbewertung sind insbesondere die Aktualisierung der Risikoeinschätzung und des Risikobehandlungsplans für die Datensicherheit, die bedarfsgerechte Änderung der Verfahren zur Gewährleistung des Datenschutzes (soweit interne oder externe Ereignisse dies erfordern), die Er-