Artikel 41 EU-DSGVO: Überwachung der genehmigten Verhaltensregeln
- Unbeschadet der Aufgaben und Befugnisse der zuständigen Aufsichtsbehörde gemäß den Artikeln 57 und 58 kann die Überwachung der Einhaltung von Verhaltensregeln gemäß Artikel 40 von einer Stelle durchgeführt werden, die über das geeignete Fachwissen hinsichtlich des Gegenstands der Verhaltensregeln verfügt und die von der zuständigen Aufsichtsbehörde zu diesem Zweck akkreditiert wurde.
- Eine Stelle gemäß Absatz 1 kann zum Zwecke der Überwachung der Einhaltung von Verhaltensregeln akkreditiert werden, wenn sie
- ihre Unabhängigkeit und ihr Fachwissen hinsichtlich des Gegenstands der Verhaltensregeln zur Zufriedenheit der zuständigen Aufsichtsbehörde nachgewiesen hat;
- Verfahren festgelegt hat, die es ihr ermöglichen, zu bewerten, ob Verantwortliche und Auftragsverarbeiter die Verhaltensregeln anwenden können, die Einhaltung der Verhaltensregeln durch die Verantwortlichen und Auftragsverarbeiter zu überwachen und die Anwendung der Verhaltensregeln regelmäßig zu überprüfen;
- Verfahren und Strukturen festgelegt hat, mit denen sie Beschwerden über Verletzungen der Verhaltensregeln oder über die Art und Weise, in der die Verhaltensregeln von dem Verantwortlichen oder dem Auftragsverarbeiter angewendet werden oder wurden, nachgeht und diese Verfahren und Strukturen für betroffene Personen und die Öffentlichkeit transparent macht; und
- zur Zufriedenheit der zuständigen Aufsichtsbehörde nachgewiesen hat, dass ihre Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.
- Die zuständige Aufsichtsbehörde übermittelt den Entwurf der Kriterien für die Akkreditierung einer Stelle nach Absatz 1 gemäß dem Kohärenzverfahren nach Artikel 63 an den Ausschuss.
- Unbeschadet der Aufgaben und Befugnisse der zuständigen Aufsichtsbehörde und der Bestimmungen des Kapitels VIII ergreift eine Stelle gemäß Absatz 1 vorbehaltlich geeigneter Garantien im Falle einer Verletzung der Verhaltensregeln durch einen Verantwortlichen oder einen Auftragsverarbeiter geeignete Maßnahmen, einschließlich eines vorläufigen oder endgültigen Ausschlusses des Verantwortlichen oder Auftragsverarbeiters von den Verhaltensregeln. 2Sie unterrichtet die zuständige Aufsichtsbehörde über solche Maßnahmen und deren Begründung.
- Die zuständige Aufsichtsbehörde widerruft die Akkreditierung einer Stelle gemäß Absatz 1, wenn die Voraussetzungen für ihre Akkreditierung nicht oder nicht mehr erfüllt sind oder wenn die Stelle Maßnahmen ergreift, die nicht mit dieser Verordnung vereinbar sind.
- Dieser Artikel gilt nicht für die Verarbeitung durch Behörden oder öffentliche Stellen.
Kommentar zu Artikel 5 EU-DSGVO:
Was sagt Art. 5 DSGVO aus?
Art. 5 DSGVO gibt in zwei Absätzen richtungsweisende Leitpunkte für die Verarbeitung personenbezogener Daten vor.
Nach Absatz 1 sind personenbezogene Daten rechtmäßig, transparent und unter Beachtung von Treu und Glauben zu verarbeiten. Weiterhin dürfen sie nur für festgelegte, eindeutige sowie legitime Zwecke erhoben werden. Die Verarbeitung von Daten unterliegt einer Zweckbindung, das betrifft auch die Weiterverarbeitung. Nach dem Prinzip der Datenminimierung ist die Datenverarbeitung auf das notwendige Maß zu beschränken. Der Grundsatz der Richtigkeit erfordert, dass personenbezogene Daten sachlich richtig und aktuell sein müssen. In zeitlicher Hinsicht gibt es eine Speicherbegrenzung für den Zeitraum, für den die entsprechenden personenbezogenen Daten im Hinblick auf den Zweck der Datenverarbeitung benötigt werden.
Schließlich gelten auch die Grundsätze der Integrität und Vertraulichkeit im Hinblick auf die Datenverarbeitung, was geeignete technische und organisatorische Maßnahmen umfasst, die die verarbeiteten Daten vor Verlust, unrechtmäßiger Verarbeitung, vor Zerstörung oder Schädigung schützen sollen.
Absatz 2 verpflichtet den Verantwortlichen zur Rechenschaft über die Einhaltung der Bedingungen aus Absatz 1.
Wichtig ist, dass die Datenverarbeitung zu wissenschaftlichen und historischen Zwecken von der Geltung der meisten Grundsätze des Art. 5 DSGVO ausgenommen wird.
Wie ist Art. 5 DSGVO zu verstehen?
Art. 5 DSGVO verbindet bereits bekannte Grundsätze der Datenverarbeitung, die man bisher unter dem Stichwort "Datensparsamkeit" zusammengefasst hat, mit neuen, auslegungsbedürftigen Grundsatzdefinitionen, die teilweise in den folgenden Artikeln konkretisiert werden.
Welche Folgen ergeben sich aus Art. 5 DSGVO?
Auf den auf den ersten Blick klingt die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO einfach. Allerdings setzt an dieser Vorschrift eine der wesentlichen Vorgaben für eine dokumentierte Datenschutz-Compliance an. Es ist unter anderem Art. 5 DSGVO, der Unternehmen im Rahmen der DSGVO zur Einführung von Datenschutz-Managementsystemen und sehr konkret definierten Verantwortlichkeiten im Rahmen der datenschutzrechtlichen Pflichtenkreise zwingt. Aus unternehmerischer Sicht ist diese Verpflichtung deshalb schwer einzuschätzen, weil Erfahrungswerte im Umgang mit der Rechenschaftspflicht noch nicht vorliegen. Denken Sie in diesem Kontext an das von uns angebotene Datenschutzaudit, um mit uns gemeinsam ein tragfähiges Datenschutzkonzept für Ihr Unternehmen zu entwickeln.