Die DSGVO regelt, unter welchen Voraussetzungen personenbezogene Daten verarbeitet werden dürfen und was eine Organisation dafür belegen können muss. Die Verordnung (EU) 2016/679 gilt seit dem 25. Mai 2018 unmittelbar in allen Mitgliedstaaten; in Deutschland ergänzen das Bundesdatenschutzgesetz und die Landesdatenschutzgesetze einzelne Punkte, etwa beim Beschäftigtendatenschutz.
Der Kern ist die Rechenschaftspflicht. Sie kehrt die Beweislast um: Nicht die Aufsichtsbehörde muss einen Verstoß nachweisen, sondern die Organisation muss die Einhaltung der Grundsätze belegen können. Damit wird Datenschutz zu einer Dokumentationsaufgabe — und genau an dieser Stelle setzt der Wunsch nach einem Zertifikat an.
Dieser Wunsch trifft auf eine unbequeme Antwort. Die Verordnung sieht Zertifizierungen vor, aber sie sind freiwillig, beziehen sich auf einzelne Verarbeitungsvorgänge und nehmen der Organisation keine Verantwortung ab. Ein Unternehmen ist nicht „DSGVO-zertifiziert“. Es kann höchstens für eine bestimmte Verarbeitung — etwa den Betrieb eines Bewerberportals — ein Zertifikat nach einem genehmigten Verfahren vorweisen.
Der zweite verbreitete Irrtum betrifft die Rollen. Verantwortlicher ist, wer über Zwecke und Mittel der Verarbeitung entscheidet; Auftragsverarbeiter ist, wer weisungsgebunden verarbeitet. Diese Zuordnung entscheidet über Pflichten, Verträge und Haftung — und sie wird in Verträgen häufig falsch gesetzt, etwa wenn ein Dienstleister mit eigenem Entscheidungsspielraum als Auftragsverarbeiter geführt wird.
Was tatsächlich nachgewiesen werden muss
Die Nachweispflichten verteilen sich über die gesamte Verordnung. In der Prüfung durch eine Aufsichtsbehörde werden regelmäßig dieselben Unterlagen abgefragt.
| Pflicht | Gegenstand | Typische Lücke |
|---|---|---|
| Verzeichnis von Verarbeitungstätigkeiten | Übersicht aller Verarbeitungen mit Zweck, Kategorien, Empfängern, Fristen und Maßnahmen | Einmal erstellt, nie fortgeschrieben; neue Systeme fehlen |
| Rechtsgrundlage je Verarbeitung | Zuordnung zu einer der zulässigen Grundlagen, bei Interessenabwägung deren Dokumentation | Einwilligung wird pauschal angenommen, obwohl sie nicht trägt |
| Technische und organisatorische Maßnahmen | Schutzmaßnahmen nach Risiko, Stand der Technik und Zweck | Maßnahmenliste ohne Bezug zum Risiko der einzelnen Verarbeitung |
| Datenschutz-Folgenabschätzung | Vorabprüfung bei voraussichtlich hohem Risiko | Wird nicht durchgeführt, weil die Schwelle nie bewertet wurde |
| Auftragsverarbeitungsverträge | Verträge mit weisungsgebundenen Dienstleistern samt Unterauftragnehmern | Unterauftragnehmerketten unbekannt, Kontrollen finden nicht statt |
| Löschkonzept und Fristen | Festgelegte Aufbewahrungs- und Löschfristen je Datenkategorie | Fristen stehen im Konzept, die Systeme löschen nicht |
| Betroffenenrechte | Verfahren für Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch | Kein definierter Prozess, Anfragen laufen über Einzelpersonen |
| Meldeverfahren bei Datenpannen | Erkennung, Bewertung, Meldung an die Aufsicht, Benachrichtigung Betroffener | Keine Bewertungskriterien, keine geübte Meldekette |
| Transfers in Drittländer | Grundlage für die Übermittlung und ergänzende Maßnahmen | Cloud-Dienste mit Drittlandbezug nie geprüft |
Zwei dieser Punkte verursachen in der Praxis die meiste Arbeit. Das Löschkonzept scheitert selten am Konzept und fast immer an den Systemen: Aufbewahrungsfristen aus dem Handels- und Steuerrecht kollidieren mit Löschpflichten, und die Fachanwendung kennt keine selektive Löschung. Und die Drittlandprüfung wird oft erst ausgelöst, wenn ein Kunde danach fragt — obwohl der Dienst seit Jahren läuft.
Die technischen und organisatorischen Maßnahmen sind der Punkt, an dem sich Datenschutz und Informationssicherheit überschneiden. Wer bereits mit einer Schutzbedarfsfeststellung arbeitet, hat die Methodik. Sie muss nur um die Perspektive der betroffenen Person ergänzt werden: Bewertet wird nicht der Schaden für das Unternehmen, sondern das Risiko für die Rechte und Freiheiten der Menschen, deren Daten verarbeitet werden.
Wie eine Zertifizierung nach Artikel 42 funktioniert
Der Mechanismus ist zweistufig, und beide Stufen sind entscheidend für den Wert des Ergebnisses.
Zuerst braucht es einen Kriterienkatalog. Er beschreibt, was für eine bestimmte Art von Verarbeitung geprüft wird, und muss von der zuständigen Aufsichtsbehörde genehmigt werden. Ohne diese Genehmigung existiert kein Verfahren im Sinne der Verordnung, egal wie sorgfältig der Katalog erstellt wurde.
Dann braucht es eine akkreditierte Stelle. Die Akkreditierung erteilt die Aufsichtsbehörde oder die nationale Akkreditierungsstelle auf Basis der allgemeinen Anforderungen an Stellen, die Produkte, Prozesse und Dienstleistungen zertifizieren, ergänzt um datenschutzspezifische Anforderungen. Die Stelle muss Unabhängigkeit, Fachkunde und ein Verfahren zum Entzug des Zertifikats nachweisen.
Das Ergebnis ist ein Zertifikat mit einer Laufzeit von höchstens drei Jahren, das sich auf die geprüften Verarbeitungsvorgänge bezieht. Es kann als Element zum Nachweis der Einhaltung dienen und wird bei der Bemessung von Bußgeldern berücksichtigt. Es verschiebt die Verantwortung nicht.
Die nüchterne Einschätzung: Die Zahl genehmigter Verfahren ist überschaubar geblieben, und für viele typische Verarbeitungen existiert schlicht kein passendes. Deshalb ist der praktisch häufigere Weg ein anderer — genehmigte Verhaltensregeln einer Branche oder, außerhalb des Datenschutzrechts, ein Managementsystemzertifikat als Organisationsnachweis. Beide leisten nicht dasselbe, was in Ausschreibungen regelmäßig verwechselt wird. Was ein Zertifikat generell aussagt und was nicht, ordnet der Beitrag zur Konformitätsbewertung ein.
Wann sich der Aufwand lohnt und wann nicht
Für die Grundpflichten stellt sich die Frage nicht: Sie gelten. Verzeichnis, Rechtsgrundlagen, Betroffenenrechte, Meldeverfahren — das ist Pflichtprogramm, unabhängig von Größe und Branche. Die Frage nach dem Aufwand stellt sich bei allem, was darüber hinausgeht.
Ein förmliches Datenschutzmanagementsystem lohnt sich, wenn Datenverarbeitung zum Geschäftsmodell gehört oder wenn viele Auftraggeber Nachweise verlangen. Auftragsverarbeiter — Rechenzentren, Softwarehäuser, Lohnbüros, Callcenter, Marketingdienstleister — bekommen die Frage in jeder Ausschreibung gestellt. Für sie ist ein strukturierter Nachweis ein Vertriebsargument, weil er die Prüfung beim Kunden abkürzt.
Ein Zertifikat nach Artikel 42 lohnt sich, wenn es für die eigene Verarbeitung ein genehmigtes Verfahren gibt und der Adressat es kennt. Beides ist zu prüfen, bevor Geld fließt. Verkauft ein Anbieter ein Verfahren, ohne die genehmigende Behörde benennen zu können, ist die Frage beantwortet.
Nicht lohnenswert ist der Aufbau eines eigenständigen Datenschutz-Managementsystems neben einem vorhandenen Informationssicherheits-Managementsystem. Die Kapitel überschneiden sich weitgehend: Kontext, Rollen, Risikobewertung, Schulung, interne Audits, Managementbewertung, Korrekturmaßnahmen. Sinnvoller ist die Erweiterung des bestehenden Systems, wie sie ISO 27701 vorsieht. Wie sich mehrere Regelwerke in einem System führen lassen, beschreibt der Beitrag zum Zusammenführen mehrerer Normen.
Woran die Umsetzung scheitert
Das Verarbeitungsverzeichnis altert. Es entstand im Projekt vor Jahren und bildet den Stand von damals ab. Neue Fachanwendungen, ein gewechseltes CRM, eine eingeführte Zeiterfassung — nichts davon ist eingetragen. Das Verzeichnis ist die erste Unterlage, die eine Behörde anfordert, und Lücken darin sind sofort sichtbar.
Die Rollenverteilung im Vertrag stimmt nicht. Ein Dienstleister, der eigenständig über Zwecke entscheidet, wird als Auftragsverarbeiter geführt. Der Vertrag geht dann von falschen Voraussetzungen aus, und die Verantwortlichkeit ist ungeklärt.
Löschfristen existieren nur auf Papier. Das Konzept nennt Fristen, kein System setzt sie um. Bei der Prüfung wird ein Datensatz aus einer beendeten Bewerbung von vor Jahren gefunden — der Nachweis ist damit erbracht, dass das Konzept nicht wirkt.
Betroffenenanfragen haben keinen Prozess. Anfragen landen bei wechselnden Personen, Fristen werden nicht überwacht, der Umfang der Auskunft ist bei jeder Antwort ein anderer. Ein definiertes Verfahren mit Zuständigkeit, Fristüberwachung und Textbausteinen löst das mit geringem Aufwand.
Die Meldekette wurde nie geübt. Die 72 Stunden laufen ab Bekanntwerden, nicht ab Feierabend. Wer erst im Ereignisfall klärt, wer bewertet und wer meldet, verliert den größten Teil der Frist.
Einwilligungen tragen nicht. Sie sind vorformuliert, gebündelt und nicht widerrufbar dokumentiert. Häufig wäre eine andere Rechtsgrundlage die tragfähigere gewesen — die Einwilligung wurde aus Gewohnheit gewählt.
Auftragsverarbeiter werden nie kontrolliert. Der Vertrag sieht Kontrollrechte vor, ausgeübt wurden sie nie. Ein pragmatischer Weg ist die Auswertung vorhandener Prüfnachweise des Dienstleisters, wie sie ein Lieferantenaudit ohnehin verlangt.
Abgrenzung zu verwandten Standards und Regelungen
| Standard oder Regelung | Rechtsnatur | Gegenstand | Verhältnis zur DSGVO |
|---|---|---|---|
| Zertifizierung nach Artikel 42 | Instrument der Verordnung selbst | Bestimmte Verarbeitungsvorgänge | Einziger datenschutzrechtlicher Zertifizierungsweg, Laufzeit höchstens drei Jahre |
| Verhaltensregeln nach Artikel 40 | Instrument der Verordnung selbst | Branchenspezifische Auslegung | Alternative zum Zertifikat, mit verpflichtender Überwachung |
| ISO 27701 | Zertifizierbare Norm, freiwillig | Datenschutzmanagement als Erweiterung eines ISMS | Organisationsnachweis, kein Verfahren nach Artikel 42 |
| ISO 27001 | Zertifizierbare Norm, freiwillig | Informationssicherheit | Liefert die Sicherheitsmaßnahmen, kennt keinen Personenbezug |
| ISO 27018 | Zertifizierbare Norm, freiwillig | Schutz personenbezogener Daten in öffentlichen Clouds | Hilfsmittel bei der Auswahl von Auftragsverarbeitern |
| BSI C5 | Prüfungsstandard mit Testat | Sicherheit von Cloud-Diensten | Prüfnachweis für die Dienstleisterkontrolle |
| NIS2 | EU-Richtlinie über nationales Recht | Cybersicherheit bestimmter Sektoren | Eigene Meldepflicht; ein Vorfall kann beide Meldeketten auslösen |
Die praktische Konsequenz: Datenschutz und Informationssicherheit teilen sich Methodik und Nachweise, aber nicht den Maßstab. Ein Zertifikat nach ISO 27001 belegt, dass die Organisation ihre Informationswerte beherrscht. Es sagt nichts darüber aus, ob eine Verarbeitung zulässig ist. Wer beides zusammen führen will, sollte die Bewertungslogik trennen: dieselben Prozesse, zwei Maßstäbe — Schaden für das Unternehmen auf der einen, Risiko für die betroffene Person auf der anderen Seite.