Rechenschaftspflicht in der DSGVO

Die Umsetzung der Datenschutz-Grundverordnung (DSGVO) ist mit verschiedenen Pflichten und Anforderungen verbunden. Es ist die Verantwortlichkeit von Unternehmen und Organisationen, diese Pflichten gesetzeskonform umzusetzen. Ein wichtiger Teil davon ist die Rechenschaftspflicht. Wir erklären Ihnen, was es damit auf sich hat und wie Sie der Rechenschaftspflicht nachkommen können.

Die Rechenschaftspflicht im Sinne der DSGVO ist in Art. 5 Abs. 2 DSGVO festgelegt:

Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“).

Der einzuhaltende Art. 5 Abs. 1 DSGVO umfasst dabei

• Rechtmäßigkeit
• Verarbeitung nach Treu und Glauben
• Transparenz
• Zweckbindung
• Datenminimierung
• Richtigkeit
• Speicherbegrenzung
• Integrität und Vertraulichkeit

Der Verantwortliche ist nach der Rechenschaftspflicht also dazu verpflichtet, nachzuweisen, dass er geeignete technische und organisatorische Maßnahmen zur Einhaltung der DSGVO im Unternehmen umsetzt. So weit das Behördendeutsch. Was umfasst die Rechenschaftspflicht in der DSGVO nun konkret?

Ohne die Rechenschaftspflicht wäre die DSGVO nur heiße Luft, denn es gäbe keine gesetzliche Grundlage, um ihre Umsetzung durch Unternehmen zu überprüfen. Hinter den Kulissen könnte also jedes Unternehmen schalten und walten, wie es wollte. Zum Schutz der personenbezogenen Daten Betroffener müssen Unternehmen also nachweisen, dass die Datenverarbeitung bei ihnen DSDGVO-konform abläuft.

Bevor Unternehmen intern unnötig viele Regelungen zum Datenschutz aufstellen, sollten sie zunächst prüfen, worüber sie gemäß der DSGVO überhaupt Rechenschaft ablegen müssen. Denn in einigen Unternehmen sind umfangreichere Maßnahmen notwendig als in anderen.

Grundsätzlich gilt: Welchen Umfang die datenschutzrechtlichen Maßnahmen im Unternehmen umfassen sollten, ist nach Art. 24 Abs. 1 DSGVO im Rahmen einer Risikoanalyse zu bewerten Es kommt also darauf an, welche personenbezogenen Daten in welchem Umfang verarbeitet werden und daher gefährdet sind. Eine Arztpraxis speichert zum Beispiel mehr und sensiblere personenbezogene Daten als eine Gärtnerei.

Nicht alle Maßnahmen zum Datenschutz sind also für jedes Unternehmen gleich angemessen. Die Maßnahmen müssen bei Änderungen im Unternehmen aktualisiert werden, wenn sich der Umfang der Datenverarbeitung ändert oder durch die Umstrukturierung ein neues Datenschutzrisiko besteht.

Darauf basierend muss das Unternehmen nach Art. 58 Abs. 1 DSGVO die Umsetzung der beschlossenen Maßnahmen auf Nachfrage der Aufsichtsbehörde nachweisen können. Es gibt keine konkreten Vorgaben, wie der Verantwortliche diesen Nachweis erbringen soll.

Dabei muss ein Unternehmen sorgfältig dokumentieren, wie es welche Daten verarbeitet, um die Umsetzung der DSGVO nachweisen zu können. Die Rechenschaftspflicht geht also Hand in Hand mit der Dokumentationspflicht und der Nachweispflicht.

Das heißt: Keine Erfüllung der Rechenschaftspflicht ohne Nachweise, und keine Nachweise ohne Dokumentation. Je umfangreiche die Datenschutzmaßnahmen, desto aufwendiger die Umsetzung der Dokumentations-, Nachweis- und Rechenschaftspflicht.

• Durchführung einer Datenschutzfolgenabschätzung, um festzulegen, welche Datenschutzmaßnahmen notwendig sind ( 35 Abs. 1 und 3 DSGVO)
• Entwicklung eines Datenschutzkonzeptes
• Durchführung aller relevanten (technischen) Maßnahmen
• Entwicklung von einheitlichen Datenschutzrichtlinien und Datenschutzvorgaben für alle Mitarbeiter und, falls vorhanden, allen Standorten
• Falls sinnvoll, Entwicklung eines Datenschutzmanagementsystems (DSMS)
• Bestellung eines internen oder externen Datenschutzbeauftragten (nach 37 DSGVO ist unter bestimmten Voraussetzungen ein Datenschutzbeauftragter für Unternehmen verpflichtend)
• Erstellung eines Verarbeitungsverzeichnisses ( 30 Abs. 1 und 2 DSGVO)

Kann ein Unternehmen seiner Rechenschaftspflicht nicht ausreichend nachkommen, drohen Bußgelder. Bei einigen Datenschutzverstößen ist auch eine Haftung möglich. Welche der oben genannte Maßnahmen für den Datenschutz und die Erfüllung der Rechenschaftspflicht verpflichtend oder empfehlenswert ist, kommt auf den konkreten Einzelfall an. Es lohnt sich, zur Festlegung der Maßnahmen einen Datenschutzexperten hinzuzuziehen.

Die Rechenschaftspflicht gilt nicht bedingungslos. Das heißt, Unternehmen müssen nicht alle Dokumente offenlegen. Eine Aufsichtsbehörde wird im Normalfall vorgeben, welche Nachweise sie sehen möchte.

Grundsätzlich kann es jedoch sinnvoll sein, das eigene Datenschutzkonzept umfassend offenzulegen. Oft werden nur so Fehler und Lücken erkennbar, auf die umgehend reagiert werden kann. Das muss aber nicht schon verbunden mit einem rechtlichen Risiko vor der Aufsichtsbehörde erfolgen. Lassen Sie das Datenschutzkonzept Ihres Unternehmens durch einen Datenschutzexperten prüfen, um auf der sicheren Seite zu stehen.

Es besteht Uneinigkeit darüber, wie weit die generellen Verpflichtungen zur Rechenschaftspflicht und Dokumentation genau gehen, da es keine gesetzlich festgelegten Grenzen gibt. Eine zu umfangreiche Dokumentation sämtlicher datenschutzrechtlich relevanter Vorgänge kann zu einem zu hohen bürokratischen Aufwand und zu komplexen Prozessen führen, die den Geschäftsbetrieb stören können. Daher ist es wichtig, das richtige Maß an notwendiger Dokumentation zur Erfüllung der Rechenschaftspflicht zu finden.

Die Nachweise sind nicht einfach dazu da, Speicherplatz zu verbrauchen und als Unterlagen im Aktenschrank zu verstauben. Es gibt einige konkrete Fälle, in denen der Verantwortliche Nachweise erbringen muss.

Ein Beispiel hierfür ist der Umgang mit Datenschutzverletzungen. Der Verantwortliche ist nicht nur dazu verpflichtet, die Panne zu dokumentieren, sondern muss auch nachweisen können, welche Maßnahmen er ergriffen hat, um den Vorfall zu verhindern. Nach dem Eintritt der Datenschutzpanne oder des Datenschutzverstoßes ist es ebenso wichtig, festzuhalten, welche Schritte unternommen wurden, um die Auswirkungen der Datenschutzverletzung zu minimieren.

Verantwortliche müssen auch belegen können, dass sie ausschließlich Auftragsverarbeiter nutzen, die die Vorgaben der Datenschutz-Grundverordnung (DSGVO) gewährleisten.

Die Vorlage von Nachweisen spielt außerdem eine entscheidende Rolle bei Prüfungen durch die zuständige Aufsichtsbehörde. Das Fehlen entsprechender Nachweise kann zu Sanktionen führen.

Die Dokumentation ist also nicht nur eine formale Pflicht ist, sondern spielt eine wesentliche Rolle, um den gesetzlichen Anforderungen gerecht zu werden und etwaige rechtliche Konsequenzen zu vermeiden.

Die Beschreibung der technischen und organisatorischen Maßnahmen (TOMs) bezieht sich auf sämtliche Schutzmaßnahmen, die ergriffen wurden, um die sichere Erfassung und Verarbeitung personenbezogener Daten sicherzustellen.

Die Datenschutz-Grundverordnung (DSGVO) gibt keine Liste von konkreten, verpflichtenden technischen oder organisatorischen Maßnahmen vor. Mögliche Maßnahmen umfassen die Verschlüsselung personenbezogener Daten und die Festlegung von Richtlinien für die Nutzung der IT. Welche Maßnahmen in Ihrem Fall notwendig und sinnvoll sind, sollte mit einem Datenschutzexperten abgeklärt werden.