Aus Art. 5 DSGVO gehen die Prinzipien der DSGVO hervor, die DSGVO spricht von den Grundsätzen für die Verarbeitung personenbezogener Daten.
Die Grundsätze
Die Verarbeitung soll den Folgenden Grundsätzen entsprechen:
- Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
- Zweckbindung
- Datenminimierung
- Richtigkeit
- Speicherbegrenzung
- Integrität und Vertraulichkeit
Diese sechs Grundsätze beziehen sich auf die Datenverarbeitung und die Prozesse dahinter.
Rechenschaftspflicht
Der siebte Grundsatz beschreibt die Rechenschaftspflicht. Konkret, der Verantwortliche ist für die Einhaltung der Grundsätze verantwortlich und muss dessen Einhaltung nachweisen können. Dahinter verbirgt sich ein echter Hammer, der erstmal harmlos klingt. Bei einem Schadenersatzprozess muss in der Regel derjenige die Tatsachen nachweisen, die für ihn günstig sind. Das bedeutet, wenn eine Person gegen Sie einen Schadenersatzanspruch geltend machen möchte – z.B. weil seine Daten im Internet aufgetaucht sind aufgrund eines Angriffes gegen Sie – muss der Betroffene den Schaden und Ihre Schuld daran darlegen. Das ist regelmäßig sehr schwer. Durch diese Rechenschaftspflicht müssen Sie aber nachweisen, dass Sie die Verarbeitung entsprechend der Grundsätze gestaltet haben und somit nicht schuldhaft für den Schaden verantwortlich sind. Diesen Nachweis zu führen dürfte in der Praxis schwierig sein. Es gibt noch keine Urteile, wie Gerichte mit dieser Beweislastumkehr umgehen.
Wie die Rechenschaftspflicht eingehalten werden kann
Es ist umstritten, wie dieser Nachweis geführt werden kann. Reicht es, wenn ein Dritter die Prozesse untersuchen kann und dabei feststellt, dass die Grundsätze grundsätzlich eingehalten sind? Selbst dafür wäre aber zumindest eine Dokumentation der Prozesse notwendig. Der Idealfall um einen solchen Nachweis zu führen, ist ein Information Security Management System (ISMS) oder Datenschutzmanagement (DSM). Dieses dokumentiert die Prozesse und zeigt die Beschäftigung mit den Prozessen und kann somit die Rahmenbedingungen der Prozesse zeigen und den Nachweis erbringen, dass die Grundsätze eingehalten werden.