Rechenschaftspflicht
Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verpflichtet Verantwortliche, die Einhaltung aller datenschutzrechtlichen Grundsätze nicht nur einzuhalten, sondern auch jederzeit nachweisen zu können.
Ausführliche Erklärung
Die Rechenschaftspflicht, im englischen Original als "Accountability" bezeichnet, stellt einen der Grundpfeiler der Datenschutz-Grundverordnung dar. Sie bedeutet einen Paradigmenwechsel: Es genügt nicht mehr, Datenschutzbestimmungen "nur" einzuhalten – Verantwortliche müssen ihre Compliance gegenüber Aufsichtsbehörden auch aktiv belegen können. Die Nachweispflicht umfasst alle Grundsätze aus Art. 5 Abs. 1 DSGVO, darunter Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung sowie Integrität und Vertraulichkeit.
Für Unternehmen bedeutet dies einen erheblichen Dokumentationsaufwand. Zu den erforderlichen Nachweisen zählen das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, Auftragsverarbeitungsverträge, dokumentierte technische und organisatorische Maßnahmen, Datenschutzinformationen für Betroffene, Einwilligungserklärungen, Datenschutz-Folgenabschätzungen sowie Schulungsnachweise der Mitarbeitenden. Die DSGVO legt dabei nicht genau fest, welcher Umfang an Dokumentation erforderlich ist – dieser richtet sich nach Art, Umfang und Risiko der jeweiligen Datenverarbeitung.
Die Rechenschaftspflicht dient der Aufsichtsbehörde als zentrale Kontrollmöglichkeit. Können Unternehmen die Einhaltung datenschutzrechtlicher Vorgaben nicht belegen, gilt dies als eigenständiger Verstoß. Häufig wird fehlende Dokumentation bei Untersuchungen wegen anderer DSGVO-Verstöße entdeckt und wirkt sich dann strafverschärfend aus. Die ordnungsgemäße Erfüllung der Rechenschaftspflicht kann hingegen als mildernder Faktor bei der Bemessung von Bußgeldern berücksichtigt werden.
Für die praktische Umsetzung empfiehlt sich ein systematisches Datenschutz-Managementsystem, das alle relevanten Prozesse und Nachweise zentral verwaltet. Ohne klare organisatorische Strukturen und Zuständigkeiten wird es kaum möglich sein, den Anforderungen dauerhaft gerecht zu werden. Die Rechenschaftspflicht ist damit nicht nur eine rechtliche Verpflichtung, sondern auch ein Auftrag zur Schaffung einer funktionierenden Datenschutzorganisation.
Praxisbeispiel
Eine Steuerberatungskanzlei mit 18 Mitarbeitenden in Graz führt ein digitales Verzeichnis aller Verarbeitungstätigkeiten, dokumentiert sämtliche Auftragsverarbeiter-Verträge mit Software-Dienstleistern, archiviert alle Mandanten-Einwilligungen strukturiert und protokolliert jährliche Datenschutz-Schulungen der Mitarbeitenden. Als die österreichische Datenschutzbehörde nach einer Mandantenbeschwerde Unterlagen anfordert, kann die Kanzlei alle relevanten Nachweise innerhalb von zwei Tagen vorlegen.