Die Gesellschaft für Datenschutz und Datensicherheit e. V. (GDD) veröffentlicht im Rahmen der Einführung der EU-Datenschutzgrundverordnung eine Reihe von Praxishilfen, die dabei helfen sollen, sich rechtskonform für die Datenschutzgrundverordnung im Mai 2018 aufzustellen. Teil 9 beschäftigt sich mit dem Thema Accountability, dem Dreiklang aus Sicherstellung, Nachweis und Überprüfung.

ACCOUNTABILTY NACH ART. 5 DSGVO

Die Rechenschaftspficht umfasst zunächst sämtliche Grundsätze des Art. 5 Abs. 1 DS-GVO:

• „Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz“ (lit. a)
• „Zweckbindung“ (lit. b)
• „Datenminimierung“ (lit. c)
•  „Richtigkeit“ (lit. d)
• „Speicherbegrenzung“ (lit. e)
• „Integrität und Vertraulichkeit“ (lit. f)
  Art. 5 DS-GVO wird ergänzt durch Art. 24 Abs. 1 DS-GVO, wonach der Verantwortliche unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschied- lichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen umsetzt, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung rechtmäßig erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert.

Entsprechend der Vorgabe in Art. 24 Abs. 3 DS-GVO kann die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO bzw. eines genehmigten Zertifizierungsverfahrens gem. Art. 42 DS-GVO eben- falls als Gesichtspunkt herangezogen werden, um den geforderten Nachweis zu erbringen.
Die Rechenschaftspflichten stehen immer unter dem Vorbehalt einer Angemessenheitskontrolle und Risikobewertung, vgl. Art. 24 Abs. 1 DS-GVO bzw. Erwägungsgrund 74.

RECHENSCHAFT GEGENÜBER DER BEHÖRDE

Gemäß Art. 58 Abs. 1 lit. a DS-GVO kann die Behörde den Verantwortlichen anweisen, alle Informationen bereitzustellen, die für die Erfüllung ihrer Kontrollaufgaben erforderlich sind. Ein Verstoß gegen Accountability-Pflichten ist gemäß Art. 83 Abs. 5 lit. a DS-GVO mit einer Geldbuße von bis zu 20.000.000 € oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahres bedroht.

SICHERSTELLUNG

Eine betriebliche Datenschutz-Policy gibt den Mitarbeitern eine Orientierung über allgemein einzuhaltende Anforderungen. Eine generische Strukturierung kann in der Praxishilfe der GDD nachgelesen werden.
Eine Sensibilisierung der mit Verarbeitungsvorgängen befassten Mitarbeiter und – besser noch – eine zielorientierte Schulung zum Datenschutz stellen generell eines der wichtigsten Mittel der Datenschutzorganisation dar, um präventiv auf daten- schutzkonformes Handeln hinzuwirken. Inhaltlich sollte eine Erläuterung der Unternehmensrichtlinie zum Datenschutz am Anfang stehen und im Weiteren sollten schwerpunktmäßig alle Grundsätze für die Verarbeitung personenbezogener Daten abgedeckt werden.
Dabei empfiehlt sich ein zielgruppenspezisches Training: Für Mitarbeiter, die „nur“ im betrieblichen Alltag mit personenbezogenen Daten zu tun haben, reicht wohl im Allgemeinen eine Sensibilisierungsmaßnahme, z.B. ein webbasiertes, anschauliches Informationsvideo.
Das Herstellen einer umfassenden Transparenz der Verarbeitung der personenbezogenen Daten ist wesentliche Verpflichtung der Accountability nach Art. 5 DS-GVO.
Hierzu gehört, dass zu jedem der folgenden Artikel der Nachweis erbracht wird, wie die Umsetzung im Unternehmen erfolgt ist. Zum Nachweis der Umsetzung der Accountability ist unternehmens- bezogen und risikoorientiert zu jedem einzelnen Element der Betroffenenrechte zu prüfen und zu dokumentieren, welche Prozesse und Maßnahmen bestehen. Art. 12 DS-GVO ist als Leitlinie für die Umsetzung der Betroffenenrechte zu verstehen und legt Grundlagen für die Umsetzung der einzelnen Artikel fest. Weitere Pflichten ergeben sich auch aus den Artt. 13 bis 22 sowie Art. 34 DSGVO.
Mit der DS-GVO wird die Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde und an betroffene Personen (Art. 33 und 34 DS-GVO) auf alle verantwortlichen Stellen ausgedehnt. Die Meldung solcher „Datenpannen“, bzw. von solchen Sicherheitsvorfällen ist wesentlicher Teil der Umsetzung der Accountability, denn nur so kann die verantwortliche Stelle den Nachweis des verantwortlichen Umgangs mit personenbezogen Daten auch für die Fälle erbringen, in denen Fehler auftreten, die „voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen“ führen. Bei einem hohen Risiko sind auch die betroffenen Personen zu informieren.

NACHWEIS

Herzstück eines transparenten und effizienten Datenschutzmanagements ist, wie schon bislang das Verfahrensverzeichnis, ein vollständiges, aktuell gehaltenes Verzeichnis der Verarbeitungstätigkeiten („VVT“). Die gem. Art. 30 DS-GVO gebotene Beschreibung der Verarbeitungstätigkeiten umfasst wesentliche Elemente der Selbstprüfung und Accountability; weitere erforderliche Dokumente lassen sich zudem sinnvoll an das VVT „andocken“.
Verarbeitungen, mit denen voraussichtlich ein hohes Risiko für die Persönlichkeitsrechte von Betroffenen verbunden ist, bedürfen der Datenschutz-Folgenabschätzung (DSFA). Auch um zum Ergebnis zu kommen, dass/wo solche Risiken nicht vorliegen, bedarf es eines systematischen Ansatzes zur datenschutzrechtlichen Risikoanalyse. Dies geschieht sinnvollerweise im Zuge der Erfassung der einzelnen Verarbeitungstätigkeiten. Somit bietet es sich an, auch die Dokumentation der Risikoanalysen und der DSFA an das VVT anzufügen.

ÜBERPRÜFUNG

Der sog. PDCA-Zyklus („Plan-Do-Check-Act“) nach Deming beschreibt einen kontinuierlichen Verbesserungsprozess und ist die Grundlage aller Qualitätsmanagement-Systeme. PDCA findet sich z.B. auch in der ISO 27001.
Gem. Art. 35 Abs. 11 DS-GVO führt der Verantwortliche Überprüfungen durch, um fortlaufend zu bewerten, ob die Verarbeitung gem. der Datenschutz-Folgenabschätzung durchgeführt wird; dies gilt zumindest dann, wenn hinsichtlich des Risikos Änderungen eingetreten sind. Gem. Art. 32 Abs. 1 lit. d DS-GVO ist zudem ein Verfahren gefordert zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.