Art. 24 Abs. 1 enthält zwei Pflichten: sicherstellen und nachweisen können. Art. 5 Abs. 2 dreht dazu die Beweislast um — nicht die Behörde beweist das Schlechte, der Betrieb beweist das Gute.
Warum das wichtig ist
Aus der umgedrehten Beweislast folgt der Satz, der im Alltag mehr wiegt als jeder andere: Was nicht dokumentiert ist, gilt im Zweifel als nicht geschehen. Eine gute Entscheidung von vor zwei Jahren, die nirgends steht, ist für die Rechenschaftspflicht nicht vorhanden.
Das Gegenmittel ist klein: drei Sätze und ein Datum. Keine Akte, kein Gutachten. Und es muss nicht von Ihnen kommen — nur von jemandem, der dabei war.
Zwei Wörter im Wortlaut entlasten dabei. „Geeignet" heißt angemessen, nicht größtmöglich. Und Satz 2 — „erforderlichenfalls überprüft und aktualisiert" — schließt Datenschutz als Projekt mit Enddatum aus, verlangt aber auch keine Dauerbeschäftigung.
Was das Gesetz sagt
Art. 24 Abs. 1 S. 1 DSGVO
„Der Verantwortliche setzt unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt."
Art. 24 Abs. 1 S. 2 DSGVO
„Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert."
Art. 5 Abs. 2 DSGVO
„Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht")."
So macht man es richtig
Bei jeder Entscheidung über Daten mitschreiben lassen: drei Sätze und ein Datum.
Einen wiederkehrenden Termin setzen, an dem jemand die Unterlagen durchsieht.
Den Prüfstein benutzen: Könnte eine neue Kollegin in zehn Minuten sehen, was wir verarbeiten und warum?
Was bei Missachtung droht
Verstöße gegen Art. 24 fallen nach Art. 83 Abs. 4 lit. a DSGVO in den Rahmen bis zu 10 Millionen Euro oder 2 Prozent; Verstöße gegen die Grundsätze des Art. 5 einschließlich Abs. 2 nach Art. 83 Abs. 5 lit. a in den Rahmen bis zu 20 Millionen Euro oder 4 Prozent.
