Kurzdefinition: Art. 24 DSGVO ist die zentrale Verantwortungsnorm. Der Verantwortliche muss geeignete technische und organisatorische Maßnahmen umsetzen, um sicherzustellen und nachweisen zu können, dass die Verarbeitung im Einklang mit der DSGVO erfolgt. [N-DSGVO-24]
Der Normwortlaut
Art. 24 Abs. 1 DSGVO verlangt, dass der Verantwortliche „geeignete technische und organisatorische Maßnahmen“ umsetzt, „um sicherzustellen und den Nachweis erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt“ — unter Berücksichtigung von Art, Umfang, Umständen, Zwecken sowie der Risiken. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert. [N-DSGVO-24]
Was verlangt Art. 24 DSGVO?
Nachweisbare Compliance. Der Verantwortliche muss nicht nur rechtmäßig verarbeiten, sondern dies auch belegen können. Er trifft dafür risikoangemessene technische und organisatorische Maßnahmen und passt sie fortlaufend an. Art. 24 DSGVO ist damit die operative Ausprägung der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO. [N-DSGVO-24] [N-DSGVO-5]
Was ist die Rechenschaftspflicht?
Die Pflicht, Compliance nachweisen zu können. Unabhängig von behördlicher oder gerichtlicher Beweisführung muss der Verantwortliche belegen können, dass die Verarbeitung im Einklang mit der DSGVO erfolgt. Dokumentation, Verzeichnisse und Konzepte sind deshalb kein Selbstzweck, sondern Nachweismittel. [N-DSGVO-24] [N-DSGVO-5]
Wie verhält sich Art. 24 zu Art. 32 DSGVO?
Sie ergänzen einander. Art. 24 DSGVO betrifft die Gesamtverantwortung für die DSGVO-Konformität, Art. 32 DSGVO speziell die Sicherheit der Verarbeitung. Beide verlangen risikoangemessene technische und organisatorische Maßnahmen, verfolgen aber unterschiedliche Schutzrichtungen. [N-DSGVO-24] [N-DSGVO-32]
Woran bemisst sich der Umfang der Maßnahmen?
An mehreren Faktoren. Art. 24 Abs. 1 DSGVO verlangt die Maßnahmen unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der unterschiedlich wahrscheinlichen und schweren Risiken für die Rechte und Freiheiten natürlicher Personen. Ein risikoärmerer Verarbeitungskontext rechtfertigt andere Maßnahmen als ein risikoreicher. [N-DSGVO-24]
Müssen die Maßnahmen fortgeschrieben werden?
Ja. Art. 24 Abs. 1 DSGVO verlangt, die Maßnahmen erforderlichenfalls zu überprüfen und zu aktualisieren. Datenschutz-Compliance ist damit kein einmaliger Zustand, sondern ein fortlaufend zu pflegender Nachweis. [N-DSGVO-24]
Häufige Fehlannahmen
- „Rechtmäßige Verarbeitung genügt, der Nachweis ist zweitrangig.“ Nein. Art. 24 DSGVO verlangt, die Konformität nachweisen zu können. [N-DSGVO-24]
- „Ein einmal erstelltes Datenschutzkonzept reicht dauerhaft.“ Nein. Die Maßnahmen sind erforderlichenfalls zu überprüfen und zu aktualisieren. [N-DSGVO-24]
- „Art. 24 und Art. 32 DSGVO sind dasselbe.“ Nein. Art. 24 betrifft die Gesamtkonformität, Art. 32 die Sicherheit der Verarbeitung. [N-DSGVO-24]
- „Die Maßnahmen sind für jeden gleich.“ Nein. Art. 24 DSGVO verlangt Maßnahmen unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen. [N-DSGVO-24]
- „Verantwortung heißt nur rechtmäßig verarbeiten.“ Nein. Art. 24 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, um die Konformität sicherzustellen und nachweisen zu können. [N-DSGVO-24]
Was die Geschäftsleitung tun sollte
- Maßnahmen ableiten. Technische und organisatorische Maßnahmen risikoangemessen festlegen.
- Nachweise führen. Dokumentation als Beleg der DSGVO-Konformität aufbauen.
- Regelmäßig prüfen. Maßnahmen überprüfen und aktualisieren.
- Verantwortung verankern. Zuständigkeiten für Datenschutz klar zuordnen.
Für die Geschäftsleitung
Art. 24 DSGVO macht Datenschutz zur nachweisbaren Führungsaufgabe: Es genügt nicht, rechtmäßig zu verarbeiten — das Unternehmen muss es belegen können. Die geforderten Maßnahmen richten sich nach dem Risiko und sind fortlaufend anzupassen. Wer die Rechenschaftspflicht ernst nimmt, dokumentiert nicht für die Ablage, sondern für den Ernstfall.
Quellen
- [N-DSGVO-24] Art. 24 DSGVO (Verantwortung des für die Verarbeitung Verantwortlichen). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-5] Art. 5 DSGVO (Grundsätze für die Verarbeitung), insbesondere Abs. 2 (Rechenschaftspflicht). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
- [N-DSGVO-32] Art. 32 DSGVO (Sicherheit der Verarbeitung). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
