Source: https://pehcon.de/2017/11/datenschutz-zertifizierungen-nach-der-ds-gvo/
Timestamp: 2020-01-20 08:33:54
Document Index: 264390336

Matched Legal Cases: ['Art. 5', 'Art. 32', 'Art. 42', 'Art. 43', 'Art. 43', 'Art. 24', 'Art. 25', 'Art. 28', 'Art. 32']

Datenschutz-Zertifizierungen nach der DS-GVO | PEHcon GmbH
Dies ist jedoch nie erfolgt. In der Folge haben zahlreiche Zertifizierungsstellen versucht, mit ihren Standards am Markt erfolgreich zu sein. Da der Gesetzgeber für zertifizierte verantwortliche Stellen jedoch keine Erleichterungen oder sonstigen Vorteile definiert hatte, setzten sich die meisten Standards nicht durch. Erwähnenswert sind aus unserer Sicht beispielsweise das ULD-Gütesiegel der Aufsichtsbehörde in Schleswig-Holstein (Unabhängiges Landeszentrum für Datenschutz) sowie die DSZ (DSZ Datenschutz Zertifizierungsgesellschaft mbH, Bonn), die von den beiden große deutschen Datenschutzverbänden GDD und BvD ins Leben gerufen wurde und deren Vorgehensweise zur Zertifizierung vom damaligen Leiter der Aufsichtsbehörde in Nordrhein-Westfalen (LDI NRW) befürwortet wurde.
Mehr Relevanz von Zertifizierungsverfahren gemäß der DS-GVO
Nach der DS-GVO erhalten Zertifizierungen deutlich mehr Bedeutung. Dies liegt schon einmal an der grundsätzlich etwas anderen Ausrichtung der DS-GVO. An mehreren Stellen wird nämlich eine Nachweispflicht eingeführt. So heißt es in Art. 5 DS-GVO „Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können („Rechenschaftspflicht“). Auch Art. 32 DS-GVO, der festgelegt wie die Sicherheit der Verarbeitung zu gewährleisten ist, verpflichtet den Verantwortlichen, ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung, zu etablieren.
Klare Vorgaben durch die DS-GVO
Der Gesetzgeber ist mit der DS-GVO noch weiter gegangen und definiert die Rahmenbedingungen für Zertifizierungs- und Akkreditierungsstellen. Zusätzlich schafft er Erleichterungen für Verantwortliche, die eine Zertifizierung erfolgreich abgelegt haben. So werden zunächst in Art. 42 und Art. 43 DS-GVO die Rahmenbedingungen für Zertifizierungsverfahren sowie die gesetzlichen Voraussetzungen für Zertifizierungsstellen festgelegt. Entscheidend ist hierbei, dass Zertifizierungsverfahren freiwillig und über ein transparentes Verfahren zugänglich sein müssen. Eine Zertifizierung mindert nicht die Verantwortung des Verantwortlichen oder des Auftragsverarbeiters für die Einhaltung der DS-GVO und berührt nicht die Aufgaben und Befugnisse der zuständigen Aufsichtsbehörden. Zertifizierungen können nur durch genehmigte Zertifizierungsstellen oder durch die Aufsichtsbehörden selbst für eine Maximaldauer von drei Jahren erteilt werden. Danach kann eine Verlängerung erfolgen, sofern die einschlägigen Voraussetzungen erfüllt sind. Um diesen Nachweis erbringen zu können wird in der Regel eine Rezertifizierung notwendig sein.
Regelungen zu Zertifizierungsstellen werden in der DS-GVO in Art. 43 definiert. Zertifizierungsstellen werden von der zuständigen Aufsichtsbehörde oder einer noch einzurichtenden nationalen Akkreditierungsstelle akkreditiert. Hierzu müssen sie nachweisen, dass sie
Neben den bereits zuvor beschriebenen Vorteilen von Zertifizierungen zum besseren Nachweis der Einhaltung bestimmter gesetzlicher Vorschriften oder sicherheitstechnischer Standards definiert die DS-GVO weitere Konsequenzen, die durch eine Zertifizierung erreicht werden können. An den folgenden Stellen definiert die DS-GVO ganz konkret den möglichen Anwendungsbereich von Zertifizierungen. Demnach kann die Einhaltung eines genehmigten Zertifizierungsverfahrens
nach Art. 24 Abs. 3 DS-GVO dem Verantwortlichen dazu dienen, die Erfüllung seiner Nachweispflicht gegenüber der Aufsichtsbehörde zu erfüllen,
nach Art. 25 Abs. 3 DS-GVO dem Verantwortlichen dazu dienen, nachzuweisen, dass dessen Verarbeitungen die Anforderungen bezüglich datenschutzfreundlicher Voreinstellungen („privacy by default“, „privacy by design“) erfüllen,
nach Art. 28 Abs. 5 DS-GVO einem Auftragsverarbeiter dazu dienen, dem Auftraggeber Garantien dafür zu bieten, dass geeignete technische und organisatorische Maßnahmen getroffen wurden,
nach Art. 32 Abs. 3 DS-GVO einem Verantwortlichen dazu dienen, nachzuweisen, dass geeignete technische und organisatorische Maßnahmen getroffen wurden um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Es ist zu erwarten, dass die Bedeutung von Zertifizierungen mit der DS-GVO erheblich zunimmt. Bis es soweit ist, wird es jedoch noch etwas dauern. Derzeit gibt es weder akkreditierte Zertifizierungsstellen noch genehmigte Zertifizierungsverfahren. Über aktuelle Neuerungen werden wir informieren.