Klose, SGB I § 35 Sozialgeheimnis / 2.7.1.7 Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO

Rz. 48

Art. 5 Abs. 2 DSGVO stellt klar, dass der Verantwortliche für die Einhaltung dieser Grundsätze des Abs. 1 verantwortlich ist und dessen Einhaltung nachweisen können muss ("Rechenschaftspflicht"). In welcher Form dieser Nachweis bzw. die Rechenschaft erfolgen soll, ist weder in der Verordnung noch in den Erwägungsgründen der DSGVO abschließend geregelt. Lediglich in EG 85 DSGVO wird der "Grundsatz der Rechenschaftspflicht" erwähnt; hier dient er als Grundlage für eine Ausnahme von der 72-Stunden-Frist zur Benachrichtigung der Aufsichtsbehörden bei Verletzung des Schutzes personenbezogener Daten nach Art. 33 Abs. 1 DSGVO (vgl. Komm. zu § 83a SGB X).

Allerdings enthält die DSVG in verschiedene Nachweispflichten, so enthält z. B. Art. 24 DSGVO die Verpflichtung, geeignete technische und organisatorische Maßnahmen einzusetzen, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt.

Nach EG 78 DSGVO sollte der Verantwortliche "interne Strategien festlegen und Maßnahmen ergreifen, die insbesondere den Grundsätzen des Datenschutzes durch Technik (data protection by design) und durch datenschutzfreundliche Voreinstellungen (data protection by default) Genüge tun", um die Einhaltung dieser Verordnung nachweisen zu können.

Sowohl nach Art. 24 als auch nach Art. 25 DSGVO kann ein genehmigtes Zertifizierungsverfahren nach Art. 42 DSGVO (vgl. die Komm. zu § 78c) als Faktor/Gesichtspunkt für einen solchen Nachweis herangezogen werden.