Die Rolle des Datenschutzbeauftragten (DSB) hat seit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) erheblich an Bedeutung gewonnen. Neben der klassischen Beratungs- und Kontrollfunktion rückt insbesondere ein Aspekt zunehmend in den Fokus: die Rechenschaftspflicht. Doch was bedeutet diese konkret – und wie lässt sie sich in der Praxis umsetzen?
Was bedeutet Rechenschaftspflicht?
Die Rechenschaftspflicht ist ein zentrales Prinzip der DSGVO. Sie verpflichtet Organisationen nicht nur zur Einhaltung datenschutzrechtlicher Vorgaben, sondern auch dazu, diese Einhaltung jederzeit nachweisen zu können. Artikel 5 Absatz 1 nennt die Grundsätze der Verarbeitung personenbezogener Daten.
In Artikel 5 Absatz 2 heißt es:
„Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht„).“
Für den Datenschutzbeauftragten ergibt sich daraus eine indirekte, aber entscheidende Verantwortung: Er muss sicherstellen, dass Prozesse, Maßnahmen und Kontrollen dokumentiert, überprüfbar und nachvollziehbar sind.
Die Rolle des Datenschutzbeauftragten
Der Datenschutzbeauftragte ist kein „Verantwortlicher“ im rechtlichen Sinne, sondern agiert unabhängig und beratend. Dennoch spielt er eine Schlüsselrolle bei der Umsetzung der Rechenschaftspflicht:
- Beratung und Sensibilisierung: Der DSB unterstützt die Organisation dabei, datenschutzkonforme Prozesse zu etablieren.
- Überwachung der Einhaltung: Er kontrolliert, ob gesetzliche Vorgaben eingehalten werden.
- Dokumentationsbegleitung: Der DSB wirkt darauf hin, dass alle relevanten Maßnahmen dokumentiert werden.
- Ansprechpartner für Behörden: Bei Prüfungen oder Anfragen fungiert er als Schnittstelle zur Aufsichtsbehörde.
Dokumentation als Kern der Rechenschaft
Ein zentraler Bestandteil der Rechenschaftspflicht ist die Dokumentation. Dazu zählen unter anderem:
- Datenschutzkonzept
- Verzeichnis der Verarbeitungstätigkeiten
- Datenschutzfolgenabschätzungen
- Dokumentation von Prozessen
- Technische und organisatorische Maßnahmen (TOMs)
- Schulungsnachweise
- Protokolle interner Audits
- Löschkonzept
Der Datenschutzbeauftragte muss sicherstellen, dass diese Dokumente nicht nur vorhanden, sondern auch aktuell und aussagekräftig sind.
