Kurz gesagt: Die Rechenschaftspflicht verpflichtet euch als Unternehmen, nicht nur die Datenschutzgrundsätze der DSGVO einzuhalten, sondern das auch jederzeit belegen zu können — mit Dokumenten, Verzeichnissen und Nachweisen. Es reicht also nicht, „sauber“ mit personenbezogenen Daten umzugehen; ihr müsst das im Zweifel gegenüber einer Aufsichtsbehörde schwarz auf weiß zeigen können.
Was bedeutet Rechenschaftspflicht?
Art. 5 Abs. 2 DSGVO formuliert es so: „Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können.“ Absatz 1 enthält die sechs zentralen Grundsätze der Datenverarbeitung — Rechtmäßigkeit und Transparenz, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung und Integrität/Vertraulichkeit. Die Rechenschaftspflicht setzt noch eine Ebene obendrauf: Ihr müsst diese Grundsätze nicht nur einhalten, sondern aktiv beweisen können, dass ihr sie einhaltet.
Das bedeutet in der Praxis: schriftliche Dokumentation statt mündlicher Zusicherung. Zu den klassischen Nachweisen gehören unter anderem ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, dokumentierte technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO, Nachweise zu eingeholten Einwilligungen sowie — sofern eine Auftragsverarbeitung vorliegt — insbesondere ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Der Umfang der geforderten Dokumentation ist dabei risikobasiert: Je sensibler die verarbeiteten Daten und je eingriffsintensiver die Verarbeitung, desto detaillierter sollte eure Nachweisführung ausfallen.
Als schnelle Orientierung, welche Nachweise in der Praxis am häufigsten verlangt werden:
- Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) — aktuell gehalten und vollständig
- Auftragsverarbeitungsverträge (AVV) (Art. 28 DSGVO) mit externen Dienstleistern, sofern diese als Auftragsverarbeiter tätig sind
- Dokumentierte TOMs (Art. 32 DSGVO), sowohl die eigenen als auch die der Auftragsverarbeiter
- Nachweise zu eingeholten Einwilligungen, insbesondere bei Marketing und Tracking
- Dokumentiertes Ergebnis der Prüfung, ob eine Datenschutz-Folgenabschätzung nötig ist
Rechenschaftspflicht in der Praxis
Stellt euch ein kleines Steuerbüro mit acht Mitarbeitenden vor, das seit Kurzem ein KI-gestütztes Tool zur Belegerkennung einsetzt. Die Inhaberin geht davon aus, dass der Anbieter automatisch für den Datenschutz sorgt, weil dieser das in seiner Werbung so verspricht — ein Trugschluss, der teuer wird, sobald die Aufsichtsbehörde konkrete Nachweise verlangt und eine Werbeaussage allein dafür nicht ausreicht. Bei einer Anfrage der zuständigen Aufsichtsbehörde — etwa im Rahmen einer stichprobenartigen Prüfung oder nach einer Beschwerde eines Mandanten — reicht diese Zusicherung nicht aus.
Gefragt wird typischerweise: Gibt es ein aktuelles Verzeichnis von Verarbeitungstätigkeiten, das den Einsatz des KI-Tools abbildet? Liegt ein AVV mit dem Anbieter vor, falls dieser als Auftragsverarbeiter personenbezogene Mandantendaten verarbeitet? Sind die TOMs des Anbieters dokumentiert und bewertet worden, bevor das Tool eingeführt wurde? Wurde geprüft, ob wegen der neuen Verarbeitung eine Datenschutz-Folgenabschätzung (DSFA) nötig ist? Kann die Inhaberin diese Fragen nur mündlich und ohne Belege beantworten, verstößt das Steuerbüro gegen die Rechenschaftspflicht — unabhängig davon, ob die Verarbeitung selbst inhaltlich in Ordnung war. Genau das ist der Kern der Vorschrift: Nachweisbarkeit ist eine eigenständige Pflicht, nicht nur ein Nebeneffekt guter Praxis.
Warum ist die Rechenschaftspflicht für mein Unternehmen wichtig?
Für KMU und Selbstständige ist die Rechenschaftspflicht aus mehreren Gründen relevant. Erstens verlangt sie eine aktive Nachweispflicht: Ihr müsst die Einhaltung der Datenschutzgrundsätze dokumentieren und gegenüber einer Aufsichtsbehörde auf Anfrage belegen können. Zweitens ist ein Verstoß gegen die Rechenschaftspflicht selbst bußgeldbewehrt: Weil sie Teil der Grundsätze nach Art. 5 DSGVO ist, fällt sie unter den höheren Bußgeldrahmen nach Art. 83 Abs. 5 lit. a DSGVO — bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Verstöße gegen einzelne Nachweispflichten wie ein fehlendes oder veraltetes Verarbeitungsverzeichnis (Art. 30 DSGVO) oder einen fehlenden AVV (Art. 28 DSGVO) sind dagegen „nur“ nach Art. 83 Abs. 4 DSGVO mit einem niedrigeren Rahmen von bis zu 10 Millionen Euro oder 2 Prozent bedroht. In beiden Fällen gilt: Ein Nachweisverstoß kann eigenständig sanktioniert werden — unabhängig davon, ob bei der eigentlichen Datenverarbeitung inhaltlich etwas schiefgelaufen ist. Ob und in welcher Höhe tatsächlich ein Bußgeld verhängt wird, entscheidet die Aufsichtsbehörde im Einzelfall.
Drittens betrifft das auch kleine Unternehmen ganz konkret, gerade wenn KI-Tools, Cloud-Dienste oder externe Dienstleister im Einsatz sind: Die oft zitierte Ausnahme von der Pflicht zum Verarbeitungsverzeichnis für Unternehmen mit weniger als 250 Beschäftigten (Art. 30 Abs. 5 DSGVO) greift in der Praxis kaum. Sie entfällt bereits, wenn eine von mehreren Bedingungen erfüllt ist — etwa wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellen könnte oder besondere Datenkategorien betrifft. Schon das Kriterium der nicht nur gelegentlichen Verarbeitung trifft bei Kundendaten, Mitarbeitendendaten oder Newsletter-Listen praktisch immer zu, weshalb faktisch fast jedes KMU ein Verzeichnis führen muss. Wer die Rechenschaftspflicht von Anfang an mitdenkt, spart sich im Ernstfall Stress: Ein gepflegtes Verarbeitungsverzeichnis, aktuelle AVVs und dokumentierte TOMs lassen sich bei einer Anfrage erfahrungsgemäß deutlich schneller vorlegen, als wenn die Unterlagen erst unter Zeitdruck zusammengestellt werden müssten.
Weiterführendes
Die Rechenschaftspflicht hängt eng mit mehreren anderen DSGVO-Konzepten zusammen, die für den Alltag in KMU relevant sind: dem Verzeichnis von Verarbeitungstätigkeiten, dem Auftragsverarbeitungsvertrag (AVV), den technischen und organisatorischen Maßnahmen (TOMs) sowie der Datenschutz-Folgenabschätzung (DSFA). Wer diese Bausteine sauber dokumentiert, erfüllt damit erfahrungsgemäß auch den Großteil der Rechenschaftspflicht — eine Prüfung des jeweiligen Einzelfalls ersetzt das aber nicht.
Häufige Fragen
Was ist der Unterschied zwischen den Datenschutzgrundsätzen und der Rechenschaftspflicht?
Die Grundsätze aus Art. 5 Abs. 1 DSGVO, etwa Datenminimierung oder Zweckbindung, beschreiben, wie ihr mit personenbezogenen Daten umgehen müsst. Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt zusätzlich, dass ihr die Einhaltung dieser Grundsätze aktiv nachweisen könnt, zum Beispiel durch Dokumente und Verzeichnisse.
Muss auch mein kleines Unternehmen ein Verzeichnis von Verarbeitungstätigkeiten führen?
In den allermeisten Fällen ja. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten entfällt bereits, wenn eine von mehreren Bedingungen erfüllt ist, etwa wenn die Verarbeitung nicht nur gelegentlich erfolgt oder ein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellen könnte. Schon die nicht nur gelegentliche Verarbeitung ist bei Kunden-, Mitarbeitenden- oder Newsletterdaten praktisch immer gegeben, sodass faktisch fast jedes Unternehmen ein Verarbeitungsverzeichnis benötigt.
Welche Nachweise gehören konkret zur Rechenschaftspflicht?
Typische Nachweise sind ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, dokumentierte technische und organisatorische Maßnahmen nach Art. 32 DSGVO, Auftragsverarbeitungsverträge nach Art. 28 DSGVO mit externen Dienstleistern, sofern diese als Auftragsverarbeiter tätig sind, sowie Belege für eingeholte Einwilligungen. Welche Nachweise im Einzelfall nötig sind, hängt vom Risiko der jeweiligen Verarbeitung ab und sollte im Zweifel individuell geprüft werden.
Was passiert, wenn ich die Rechenschaftspflicht nicht erfülle?
Ein Verstoß gegen die Rechenschaftspflicht kann eigenständig geahndet werden, unabhängig davon, ob die zugrunde liegende Datenverarbeitung selbst beanstandet wurde. Weil die Rechenschaftspflicht Teil der Grundsätze nach Art. 5 DSGVO ist, gilt dafür der höhere Bußgeldrahmen nach Art. 83 Abs. 5 DSGVO von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Für einzelne Nachweispflichten wie ein fehlendes Verarbeitungsverzeichnis oder einen fehlenden AVV gilt dagegen der niedrigere Rahmen nach Art. 83 Abs. 4 DSGVO von bis zu 10 Millionen Euro oder 2 Prozent.