Die Bedeutung der Rechenschaftspflicht für den Datenschutz
Die Datenschutz-Grundverordnung (DSGVO) fordert Unternehmen auf, bei der Verarbeitung personenbezogener Daten nicht nur datenschutzkonform zu handeln, sondern diese Konformität auch nachzuweisen. Dieser Grundsatz der Rechenschaftspflicht ist ein zentrales Element der DSGVO und hat weitreichende Konsequenzen für Unternehmen. Aber was genau bedeutet diese Verpflichtung, und wie können Unternehmen sicherstellen, dass sie dieser nachkommen?
Auf welcher Basis darf man personenbezogene Daten verarbeiten?
Die DSGVO stellt klar, dass die Verarbeitung von personenbezogenen Daten grundsätzlich verboten ist, es sei denn, es existiert eine explizite Rechtsgrundlage, die die beabsichtigte Verarbeitung erlaubt. Doch welche Rechtsgrundlagen stehen Unternehmen zur Verfügung?
- Vertragliche oder vorvertragliche Zwecke: Diese Vorschrift gibt Ihnen die Erlaubnis zur Verarbeitung personenbezogener Daten, wenn die Verarbeitung erforderlich ist, um Verträge abzuschließen oder bestehende Verträge durchzuführen.
- Gesetzliche Verpflichtungen: Wenn ein Unternehmen gesetzlich dazu verpflichtet ist, personenbezogene Daten zu verarbeiten – beispielsweise durch steuerliche Pflichten –, ist dies eine weitere erlaubte Rechtsgrundlage.
- Schutz lebenswichtiger Interessen: Personenbezogene Daten können auch verarbeitet werden, wenn es darum geht, lebenswichtige Interessen einer Person zu schützen, zum Beispiel in Notfallsituationen.
- Öffentliches Interesse: Die Verarbeitung personenbezogener Daten ist auch im öffentlichen Interesse oder bei der Ausübung öffentlicher Gewalt erlaubt.
- Berechtigtes Interesse: Eine Verarbeitung von personenbezogenen Daten kann auch rechtmäßig sein, wenn ein berechtigtes Interesse an der Verarbeitung besteht. Hier gilt es im Rahmen einer Interessenabwägung zu prüfen, ob dem Vorhaben nicht überwiegende Interessen von den Personen, deren Daten Sie verarbeiten wollen, entgegenstehen.
- Einwilligung: Oft wird auch die Einwilligung als Rechtsgrundlage herangezogen. Doch sie sollte nur verwendet werden, wenn keine der anderen Grundlagen greift, da eine wirksame Einwilligung besonders strenge Voraussetzungen erfüllen muss.
Welche Bedeutung hat die Dokumentation für die Rechenschaftspflicht?
Ein zentraler Aspekt der Rechenschaftspflicht ist die sorgfältige Dokumentation. Unternehmen müssen in der Lage sein, jederzeit nachzuweisen, dass ihre Datenverarbeitungstätigkeiten rechtmäßig sind. Das heißt für Sie in der Praxis, dass eine entsprechende Dokumentation unabdingbar ist, denn ohne kann die Rechtmäßigkeit Ihrer Verarbeitungstätigkeiten nur schwer nachgewiesen werden. Nur mit Hilfe einer gründlichen Dokumentation ist es Ihnen möglich, Rechenschaft über die Datenschutzkonformität Ihrer Verarbeitungstätigkeiten gegenüber Aufsichtsbehörden ablegen zu können. Es gilt der bewährte Grundsatz: Wer schreibt, bleibt.
Der Verstoß gegen Dokumentationspflichten kann schwerwiegende Konsequenzen haben. Nicht nur drohen Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, auch Schadensersatzklagen betroffener Personen sind möglich.
Was passiert, wenn die Rechenschaftspflicht verletzt wird?
Unternehmen, die ihre Rechenschafts- und Dokumentationspflichten nicht erfüllen, riskieren nicht nur hohe Bußgelder, sondern auch erhebliche Imageverluste. Eine lückenhafte Dokumentation kann zudem zu Schadensersatzklagen führen, wenn Personen durch Datenschutzverstöße geschädigt werden.
Um diese Risiken zu minimieren, ist es ratsam, klare Prozesse und Kontrollmechanismen zu etablieren. Der Datenschutzbeauftragte spielt hier eine entscheidende Rolle, indem er regelmäßig Kontrollen durchführt und das Unternehmen berät. Dabei kann ein Kontrollplan, der jährlich oder mehrjährig aufgesetzt wird, helfen, die Einhaltung der Datenschutzvorgaben systematisch zu überprüfen.
Fazit: Wie erfüllt man die Rechenschaftspflicht am besten?
Die DSGVO fordert Unternehmen auf, Datenschutz nicht nur umzusetzen, sondern diesen auch zu belegen. Eine gründliche Dokumentation der Datenverarbeitungstätigkeiten und eine proaktive Einbindung eines Datenschutzbeauftragten sind entscheidend, um den Anforderungen gerecht zu werden. Datenschutz ist kein Selbstläufer – er erfordert kontinuierliche Aufmerksamkeit und Anpassung an gesetzliche Vorgaben.
Autor: Markus Vatter, Head of Compliance, 13.09.2024
