Artikel 42 EU-DSGVO: Datenschutz-Zertifizierung

Datenpannen können Unternehmen teuer zu stehen kommen. Es drohen nicht nur hohe Bußgelder durch die DSGVO – auch die Reputation steht auf dem Spiel. Aus diesem Grund ist es für Unternehmen besonders wichtig, Vertrauenswürdigkeit und Transparenz bei der Verarbeitung von personenbezogenen Daten zu vermitteln.

Doch wie weisen Sie einen verantwortungsvollen Umgang mit sensiblen Daten nach? Art. 42 DSGVO sieht eine Zertifizierung vor, die für Verbraucher und Unternehmen Klarheit schaffen soll. Eine Datenschutz-Zertifizierung bringt sowohl für Unternehmen als auch für Verbraucher zahlreiche Vorteile.

Lesen Sie, inwiefern Sie von einer Zertifizierung nach Art. 42 DSGVO profitieren können und worauf Sie beim Zertifizierungsverfahren achten müssen.

Das besagt Artikel 42 DSGVO

Art. 42 DSGVO schafft nun erstmals einen gesetzlichen Rahmen für ein Datenschutz-Zertifikat. Demnach können alle IT-gestützten Verarbeitungsvorgänge von personenbezogenen Daten von Verantwortlichen und von Auftragsverarbeitern zertifiziert werden. Eine DSGVO-Zertifizierung ist für eine Höchstdauer von 3 Jahren gültig und kann anschließend verlängert werden, sofern die geltenden Kriterien weiterhin erfüllt sind. 

Art. 42 Abs. 1 DSGVO sieht außerdem vor, dass der Ablauf des Zertifizierungsverfahrens den besonderen Bedürfnissen von Kleinstunternehmen sowie kleinen und mittleren Unternehmen Rechnung tragen soll. Diese dürften nicht durch unverhältnismäßig hohe Kosten belastet werden.
 

1. Die Mitgliedstaaten, die Aufsichtsbehörden, der Ausschuss und die Kommission fördern insbesondere auf Unionsebene die Einführung von datenschutzspezifischen Zertifizierungsverfahren sowie von Datenschutzsiegeln und -prüfzeichen, die dazu dienen, nachzuweisen, dass diese Verordnung bei Verarbeitungsvorgängen von Verantwortlichen oder Auftragsverarbeitern eingehalten wird. Den besonderen Bedürfnissen von Kleinstunternehmen sowie kleinen und mittleren Unternehmen wird Rechnung getragen.

2. Zusätzlich zur Einhaltung durch die unter diese Verordnung fallenden Verantwortlichen oder Auftragsverarbeiter können auch datenschutzspezifische Zertifizierungsverfahren, Siegel oder Prüfzeichen, die gemäß Absatz 5 des vorliegenden Artikels genehmigt worden sind, vorgesehen werden, um nachzuweisen, dass die Verantwortlichen oder Auftragsverarbeiter, die gemäß Artikel 3 nicht unter diese Verordnung fallen, im Rahmen der Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen nach Maßgabe von Artikel 46 Absatz 2 Buchstabe f geeignete Garantien bieten. Diese Verantwortlichen oder Auftragsverarbeiter gehen mittels vertraglicher oder sonstiger rechtlich bindender Instrumente die verbindliche und durchsetzbare Verpflichtung ein, diese geeigneten Garantien anzuwenden, auch im Hinblick auf die Rechte der betroffenen Personen.

3. Die Zertifizierung muss freiwillig und über ein transparentes Verfahren zugänglich sein.

4. Eine Zertifizierung gemäß diesem Artikel mindert nicht die Verantwortung des Verantwortlichen oder des Auftragsverarbeiters für die Einhaltung dieser Verordnung und berührt nicht die Aufgaben und Befugnisse der Aufsichtsbehörden, die gemäß Artikel 55 oder 56 zuständig sind.

5. Eine Zertifizierung nach diesem Artikel wird durch die Zertifizierungsstellen nach Artikel 43 oder durch die zuständige Aufsichtsbehörde anhand der von dieser zuständigen Aufsichtsbehörde gemäß Artikel 58 Absatz 3 oder – gemäß Artikel 63 – durch den Ausschuss genehmigten Kriterien erteilt. Werden die Kriterien vom Ausschuss genehmigt, kann dies zu einer gemeinsamen Zertifizierung, dem Europäischen Datenschutzsiegel, führen.

6. Der Verantwortliche oder der Auftragsverarbeiter, der die von ihm durchgeführte Verarbeitung dem Zertifizierungsverfahren unterwirft, stellt der Zertifizierungsstelle nach Artikel 43 oder gegebenenfalls der zuständigen Aufsichtsbehörde alle für die Durchführung des Zertifizierungsverfahrens erforderlichen Informationen zur Verfügung und gewährt ihr den in diesem Zusammenhang erforderlichen Zugang zu seinen Verarbeitungstätigkeiten.

7. Die Zertifizierung wird einem Verantwortlichen oder einem Auftragsverarbeiter für eine Höchstdauer von drei Jahren erteilt und kann unter denselben Bedingungen verlängert werden, sofern die einschlägigen Voraussetzungen weiterhin erfüllt werden. Die Zertifizierung wird gegebenenfalls durch die Zertifizierungsstellen nach Artikel 43 oder durch die zuständige Aufsichtsbehörde widerrufen, wenn die Voraussetzungen für die Zertifizierung nicht oder nicht mehr erfüllt werden.

8. Der Ausschuss nimmt alle Zertifizierungsverfahren und Datenschutzsiegel und -prüfzeichen in ein Register auf und veröffentlicht sie in geeigneter Weise.

Darum ist eine Zertifizierung nach Artikel 42 DSGVO wichtig

Mit Hilfe einer DSGVO-Zertifizierung können Unternehmen und Behörden belegen, dass ihre Verarbeitungsvorgänge DSGVO-konform sind. Dies hat für Unternehmen und Verbraucher folgende Vorteile:

• Höheres Datenschutzniveau: Die dezidierte Umsetzung aller geforderten Datenschutzregeln führt zu besseren Datenschutzstandards im Unternehmen. Datenpannen und teuren Bußgeldern wird dadurch effizient vorgebeugt.
• Stärkung der Reputation: Unternehmen können durch anerkannte Siegel ihre Vertrauenswürdigkeit belegen und stärken damit ihre Reputation. Dadurch entsteht ein klarer Wettbewerbsvorteil für zertifizierte Unternehmen.
• Einhaltung von Marktzutrittsvoraussetzungen: Datenschutz-Zertifikate werden in bestimmten Bereichen vorgeschrieben. Im Gesundheitswesen ist dies beispielsweise bei der Durchführung von Videosprechstunden der Fall.
• Schadensbegrenzung bei Datenpannen: Im Falle einer Datenpanne können sich Datenschutz-Zertifikate mildernd auf die Bemessung von Geldbußen auswirken.
• Erfüllung von Nachweis- und Rechenschaftspflichten: Art. 5 Abs. 2 DSGVO sieht eine Nachweis- und Rechenschaftspflicht über die Einhaltung von Datenschutzvorgaben vor. Eine DSGVO-Zertifizierung ist ein wichtiger Baustein für Ihre Compliance-Arbeit.

Zertifizierung: das sollten Sie in der Praxis beachten

Eine Zertifizierung nach Art. 42 DSGVO darf ausschließlich von akkreditierten Zertifizierungsstellen nach Art. 43 oder den zuständigen Aufsichtsbehörden erteilt werden. Die Zertifizierung erfolgt freiwillig und über ein transparentes Verfahren.  

Für die erfolgreiche Durchführung der DSGVO-Zertifizierung muss ein Verantwortlicher oder ein Auftragsverarbeiter alle erforderlichen Informationen zur Verfügung stellen. Eine erteilte Zertifizierung gemäß Art. 42 DSGVO mindert nicht die Verantwortung für die Einhaltung der DSGVO. 

Sollten die einschlägigen Kriterien nicht mehr erfüllt sein, kann die Zertifizierung durch die zuständigen Aufsichtsbehörden oder die Zertifizierungsstellen widerrufen werden. Unternehmen sollten das Thema Datenschutz also nachhaltig in ihre Prozesse integrieren und dessen Umsetzung kontinuierlich überprüfen. Nur so ist gewährleistet, dass alle Anforderungen für die DSGVO-Zertifizierung erfüllt sind.

DSGVO-Zertifizierung: Gütesiegel für Unternehmen 

Mit Art. 42 DSGVO schafft die Datenschutz-Grundverordnung den gesetzlichen Rahmen für eine Datenschutz-Zertifizierung. Für Unternehmen hat dies gleich mehrere Vorteile: Während die Umsetzung aller datenschutzrechtlich relevanten Bedingungen das Datenschutzniveau im Unternehmen erhöht, erzeugt ein seriöses Datenschutz-Zertifikat Transparenz und Vertrauen bei Verbrauchern. Für Unternehmen bedeutet dies einen klaren Wettbewerbsvorteil.