Was bedeutet die Rechen­schaftspflicht der DSGVO?

Beim ersten Lesen von Art. 5 Abs. 1 Datenschutz-Grundverordnung (DSGVO) stellt sich der Gedanke ein: Gibt es irgendetwas, das der Verantwortliche nicht nachweisen muss? Denn wer den Absatz 1 mit den Buchstaben a bis f ernst nimmt, muss ziemlich viel beachten. Aber ganz so kritisch ist die Lage auch wieder nicht – zumindest, wenn der Verantwortliche insgesamt die Anforderungen der DSGVO einhält.

Nachweisen und Dokumentieren

Kurz gesagt verlangt die Rechenschaftspflicht von Organisationen, dass sie nachweisen können, wie sie personenbezogene Daten schützen und verarbeiten. Das umfasst die Dokumentation von Verarbeitungsprozessen, die Sicherstellung der Einhaltung von Datenschutzgrundsätzen wie Transparenz, Datenminimierung und Sicherheit sowie die regelmäßige Überprüfung und Anpassung dieser Maßnahmen.

Organisationen müssen zudem über Richtlinien und Verfahren verfügen, um Datenschutzverletzungen zu melden und die Rechte der betroffenen Personen zu wahren. Und sie müssen geeignete technische und organisatorische Maßnahmen anwenden, um die Schutzvorgaben aus Art. 4 Abs. 12 DSGVO einzuhalten.

Welche Dokumentationen sind wesentlich?

Richtlinien und verbindliche Vorgaben

Neben der allgemeinen Datenschutzrichtlinie sollte es spezifische Richtlinien geben zu den einzelnen Tätigkeitfeldern wie Vertrieb, Einkauf etc.

VVT & TOMs

Wer das Verzeichnis von Verarbeitungstätigkeiten (VVT) ausführlich führt und technische sowie organisatorische Maßnahmen (TOMs) gemäß Art. 24 und 32 Abs. 1 DSGVO angemessen umsetzt und dokumentiert, hat schon meh…