Die Rechenschaftspflicht dreht die Beweislast

Art. 5 Abs. 2 ist kurz und dreht etwas um: Nicht eine Behörde muss zeigen, dass bei Ihnen etwas schiefläuft. Sie müssen zeigen, dass es richtig läuft.

Warum das wichtig ist

Daraus folgt der Satz, der im Alltag mehr wiegt als jeder andere: Was nicht dokumentiert ist, gilt im Zweifel als nicht geschehen. Eine gute Entscheidung von vor zwei Jahren — etwa gegen ein Werkzeug, weil es Daten im Ausland speichert — ist für die Rechenschaftspflicht nicht vorhanden, wenn sie nirgends steht.

Das Gegenmittel ist klein: drei Sätze und ein Datum. Keine Akte, kein Gutachten. Die Verordnung schreibt auch keine Form vor — sie sagt „nachweisen können", nicht in welchem Programm, auf welchem Formular oder in welchem Umfang.

Ob ein Nachweis trägt, erkennen Sie an einer einfachen Frage: Könnte eine Kollegin, die neu ist, in zehn Minuten sehen, was wir verarbeiten und warum? Wenn ja, trägt er.

Der häufigste Fehler ist nicht Faulheit, sondern die Annahme, Dokumentation sei eine Aufgabe für später. Sie entsteht aber im Moment der Entscheidung oder nie. Und sie muss nicht von Ihnen kommen — nur von jemandem, der dabei war, oft die Person, die es umsetzt.

Was das Gesetz sagt

Art. 5 Abs. 2 DSGVO

„Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht")."

So macht man es richtig

1. Bei jeder Entscheidung über Daten mitschreiben lassen: drei Sätze und ein Datum.
2. Nicht auf eine Form warten — die Verordnung verlangt keine. Eine Ablage, die beide finden, genügt.
3. Den Prüfstein benutzen: Könnte eine neue Kollegin in zehn Minuten sehen, was wir verarbeiten und warum?
4. Die Notiz von der Person schreiben lassen, die umsetzt — nicht von der, die entscheidet.

Stand: 26.10.2026