Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO: Was muss nachgewiesen werden?

Was bedeutet Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO?

Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO bedeutet, dass der Verantwortliche die Einhaltung der Grundsätze aus Art. 5 Abs. 1 DSGVO nicht nur sicherstellen, sondern auch nachweisen können muss. Der Nachweis ist damit ein eigener Prüfungsschritt: Eine behauptete Compliance ohne nachvollziehbare Belege beantwortet die Frage nicht.

Art. 24 Abs. 1 DSGVO verlangt darüber hinaus geeignete technische und organisatorische Maßnahmen, um sicherzustellen und nachzuweisen, dass die Verarbeitung gemäß der gesamten Verordnung erfolgt; die Maßnahmen sind erforderlichenfalls zu überprüfen und zu aktualisieren. Das Gesetz schreibt daraus aber keine universelle Datei mit einem festen Namen vor.

Welche Nachweise gehören in eine Rechenschafts-Matrix?

Eine brauchbare Rechenschafts-Matrix ordnet ausgewählte Grundsätze und Organisationsfragen einem Zweck, einer Verantwortlichkeit, einem Beleg und einer letzten Prüfung zu, statt nur eine Sammlung von Dateien aufzuzählen. Die folgende Tabelle ist unsere eigene Lern- und Prüfstruktur; sie behauptet nicht, dass die DSGVO genau diese Dokumenttypen vorschreibt.

Die Matrix trennt Gesetz und Methode: Art. 30 Abs. 1 DSGVO verpflichtet den Verantwortlichen (und gegebenenfalls seinen Vertreter) zur Führung des Verzeichnisses von Verarbeitungstätigkeiten, Art. 30 Abs. 2 DSGVO den Auftragsverarbeiter. Die Ausnahme in Art. 30 Abs. 5 DSGVO für Unternehmen oder Einrichtungen mit weniger als 250 Beschäftigten ist eng begrenzt. Nach dem Sinn der Norm entfällt sie, sobald eines von drei Merkmalen vorliegt: ein Risiko für die Rechte und Freiheiten der betroffenen Personen, eine nicht nur gelegentliche Verarbeitung oder die Verarbeitung besonderer Datenkategorien nach Art. 9 Abs. 1 DSGVO bzw. von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO. Das ist eine Auslegung: Der deutsche Wortlaut des Art. 30 Abs. 5 DSGVO ist mehrfach verneint formuliert („nicht ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt, die Verarbeitung nicht nur gelegentlich erfolgt oder nicht die Verarbeitung besonderer Datenkategorien“) und sollte im Amtstext nachgelesen werden.

Flankierend zur Rechenschaftspflicht regeln Art. 25 Abs. 1 DSGVO und Art. 25 Abs. 2 DSGVO die Maßnahmen: Nach Art. 25 Abs. 1 DSGVO hat der Verantwortliche sowohl bei der Festlegung der Mittel als auch bei der Verarbeitung geeignete technische und organisatorische Maßnahmen für Datenschutz durch Technikgestaltung (Privacy by Design) zu treffen, die Grundsätze wie Datenminimierung wirksam umsetzen. Art. 25 Abs. 2 DSGVO verlangt datenschutzfreundliche Voreinstellungen (Privacy by Default), damit durch Voreinstellung grundsätzlich nur die für den jeweiligen Verarbeitungszweck erforderlichen Daten verarbeitet werden. Zusammen mit den Sicherheitsmaßnahmen nach Art. 32 Abs. 1 DSGVO liefern diese Normen Anker für den Nachweis; der Nachweis selbst folgt aus Art. 5 Abs. 2 und Art. 24 Abs. 1 DSGVO, und die Dokumentation muss zum konkreten Verarbeitungsrisiko passen.

Ist ein VVT allein genug?

Nein, ein VVT allein bildet die Rechenschaftspflicht nicht vollständig ab, weil es die Verarbeitungsvorgänge dokumentiert, Art. 24 Abs. 1 aber zusätzlich geeignete Maßnahmen und deren Nachweis für die Verarbeitung gemäß der Verordnung verlangt. Das VVT ist deshalb die Landkarte: Es zeigt, welche Verarbeitung betrachtet wird. Die Rechtsgrundlagen-Notiz, das Löschkonzept oder die Risikobewertung sind je nach Prozess weitere Belege.

Aufbauend auf dem Ratgeber zum Verzeichnis von Verarbeitungstätigkeiten lässt sich die Prüfung sauber aufbauen: Erst den Verarbeitungsvorgang identifizieren, dann die Grundsätze und den konkreten Nachweis zuordnen. Für Sicherheitsfragen vertieft der TOM-Ratgeber nach Art. 32 DSGVO den Risikoteil.

Welche Praxisfrage führt zu einem Denkfehler?

Eine Praxisfrage lautet nicht nur, ob ein Dokument existiert, sondern ob die Entscheidung und ihre Aktualität nachvollziehbar erklärt werden können. Ein IHK-Merkblatt behandelt die Rechenschaftspflicht als Dokumentationsfrage. Das ist ein qualitatives Praxissignal, keine Rechtsquelle.

Eine zweite Falle ist der Zertifizierungsautomatismus: Art. 24 Abs. 3 erlaubt, genehmigte Verhaltensregeln oder ein genehmigtes Zertifizierungsverfahren als Gesichtspunkt für den Nachweis heranzuziehen. Daraus folgt nicht, dass jede andere Prüfung entfällt.