(1) Der Verantwortliche setzt unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert.
Artikel 24 DSGVO – Verantwortung des für die Verarbeitung Verantwortlichen
(2) Sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht, müssen die Maßnahmen gemäß Absatz 1 die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen.
(3) Die Einhaltung der genehmigten Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 kann als Gesichtspunkt herangezogen werden, um die Erfüllung der Pflichten des Verantwortlichen nachzuweisen.
Häufig gestellte Fragen
Kurze Antworten auf häufige Fragen zu dieser Vorschrift. Sie sind allgemeine Informationen und keine Rechtsberatung.
Absatz 1 verpflichtet den Verantwortlichen, geeignete technische und organisatorische Maßnahmen umzusetzen, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß der Verordnung erfolgt, und diese Maßnahmen erforderlichenfalls zu überprüfen und zu aktualisieren. Damit wird der in Artikel 5 Absatz 2 niedergelegte Grundsatz der Rechenschaftspflicht auf der Ebene der gesamten Organisation des Verantwortlichen operationalisiert.
Absatz 1 knüpft die Beurteilung an die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung sowie an die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen. Die Pflicht ist damit risikobasiert und skalierbar und kein feststehender Katalog, sodass ein kleiner Vorgang mit geringem Risiko und ein umfangreicher Vorgang mit hohem Risiko unterschiedliche Maßnahmen verlangen.
Nicht zwingend. Absatz 2 verlangt die Anwendung geeigneter Datenschutzvorkehrungen nur, sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht, und lässt damit Raum für Verantwortliche mit begrenzter oder risikoarmer Verarbeitung, die Einhaltung auf andere Weise nachzuweisen.
Über die Dokumentation der eigenen Maßnahmen hinaus bestimmt Absatz 3, dass die Einhaltung genehmigter Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 als Gesichtspunkt herangezogen werden kann, um die Erfüllung der Pflichten nachzuweisen. Weder die Einhaltung noch die Zertifizierung belegt die Erfüllung abschließend, denn der Wortlaut beschreibt sie lediglich als einen Gesichtspunkt des Nachweises.
Nein. Der zweite Satz des Absatzes 1 verlangt, die Maßnahmen erforderlichenfalls zu überprüfen und zu aktualisieren, sodass die Einhaltung eine fortdauernde Pflicht ist, die Veränderungen der Verarbeitung, ihrer Umstände und der damit verbundenen Risiken nachvollziehen muss.