Nachweis-Export: Fristeinhaltung dokumentieren nach Art. 5 Abs. 2 und Art. 33 Abs. 5 DSGVO

Eine Frist eingehalten zu haben und es belegen zu können, sind zwei verschiedene Dinge. Bei einer Beschwerde zählt das zweite. Die DSGVO verlangt den Nachweis an zwei Stellen mit unterschiedlicher Reichweite: allgemein über die Rechenschaftspflicht des Art. 5 Abs. 2 und speziell für jede Datenpanne über Art. 33 Abs. 5. Dieser Beitrag zeigt, was in beide Nachweise gehört, wann sie gebraucht werden und wo ein Export an seine Grenze kommt.

Zwei Pflichten, zwei Reichweiten

Art. 5 Abs. 2 DSGVO ist die allgemeine Regel: Der Verantwortliche ist für die Einhaltung der Grundsätze verantwortlich und muss sie nachweisen können. Das ist keine Pflicht, ein bestimmtes Dokument zu führen, sondern eine Pflicht, im Zweifel etwas vorzeigen zu können. Wie das aussieht, entscheidet der Verantwortliche.

Art. 33 Abs. 5 DSGVO ist die spezielle Regel und schreibt mehr vor. Zu dokumentieren sind sämtliche Verletzungen des Schutzes personenbezogener Daten, und zwar unter Berücksichtigung der Einzelheiten der Verletzung, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen. Diese Dokumentation dient ausdrücklich dazu, dass die Aufsichtsbehörde die Einhaltung überprüfen kann.

Die letzte Zeile ist die unbekannteste und in der Praxis die schärfste: Wer sich auf einen offenkundig unbegründeten oder exzessiven Antrag beruft, hat den Nachweis dafür zu erbringen. Die Beweislast liegt also beim Verantwortlichen und nicht bei der betroffenen Person.

Was der Nachweis zu einer Betroffenenanfrage enthält

Der Nachweis folgt dem Ablauf des Vorgangs. Sechs Angaben tragen ihn, und keine davon lässt sich später sinnvoll ergänzen:

• Eingang. Datum und Kanal. Ab hier läuft die Frist aus Art. 12 Abs. 3 DSGVO: unverzüglich, in jedem Fall aber binnen eines Monats.
• Anfrageart. Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit oder Widerspruch (Art. 15 bis 21 DSGVO). Sie entscheidet über den Inhalt der Antwort, nicht über die Frist.
• Identitätsentscheidung. Ob Zweifel bestanden, woran sie hingen und was angefordert wurde (Art. 12 Abs. 6 DSGVO).
• Umfang der Suche. Welche Systeme durchsucht wurden. Ohne diesen Punkt ist auch eine Negativauskunft nicht belegbar.
• Verlängerung, falls genutzt. Zeitpunkt der Mitteilung und die genannten Gründe (Art. 12 Abs. 3 Satz 3 DSGVO). Die Mitteilung muss im ersten Monat hinausgegangen sein.
• Antwort. Zeitpunkt und Weg des Versands, dazu bei einer Ablehnung die Gründe und der Hinweis auf Beschwerde und Rechtsbehelf (Art. 12 Abs. 4 DSGVO).

Der Zeitpunkt des Versands ist dabei der Punkt, an dem der Nachweis schließt. Versenden Sie so, dass sich der Versand belegen lässt, und halten Sie den Zeitpunkt im Vorgang fest. Welcher Kalendertag der letzte zulässige war, rechnet die Seite DSGVO-Frist berechnen vor.

Was der Nachweis zu einer Datenpanne enthält

Hier ist die Dokumentation nicht nur Beweismittel, sondern eigene Pflicht. Sie gilt unabhängig davon, ob gemeldet wurde:

• Kenntnis. Datum und Uhrzeit. Auf diesen Zeitpunkt rechnet die Frist von 72 Stunden aus Art. 33 Abs. 1 DSGVO, und bei einer Frist nach Stunden sagt ein Datum allein zu wenig.
• Sachverhalt. Was passiert ist, welche Datenkategorien betroffen sind und wie viele Personen ungefähr (Art. 33 Abs. 3 DSGVO).
• Bewertung mit Begründung. Ob eine Verletzung im Sinne von Art. 4 Nr. 12 DSGVO vorliegt, ob ein Risiko wahrscheinlich ist und ob es voraussichtlich hoch ist.
• Meldung. Ob gemeldet wurde, an welche Aufsichtsbehörde und wann. Bei Überschreitung der 72 Stunden zusätzlich die Begründung der Verzögerung.
• Benachrichtigung der Betroffenen. Ob nach Art. 34 DSGVO benachrichtigt wurde und wann.
• Abhilfemaßnahmen. Was ergriffen oder vorgeschlagen wurde, um die Verletzung zu beheben und ihre Folgen abzumildern.

Dieselben drei Fragen, die über Meldung und Benachrichtigung entscheiden, stellt die Seite Meldepflicht prüfen einzeln. Eine Frage, die offen bleibt, bleibt dort offen und gilt nicht als Nein. Die Trennung zwischen wahrscheinlichem und hohem Risiko führt der Beitrag Datenpanne: wann Sie die Betroffenen selbst informieren müssen aus.

Wann der Nachweis gebraucht wird

Drei Anlässe kommen in der Praxis vor, und alle drei kommen ohne Vorwarnung:

Dazu kommt die Vorlage des Verarbeitungsverzeichnisses: Nach Art. 30 Abs. 4 DSGVO ist es der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. Eine anlasslose Meldepflicht steht dort nicht, wohl aber die Erwartung, dass es vorlagefähig existiert. Was hineingehört, führt die Seite Verarbeitungsverzeichnis nach Art. 30 erstellen auf.

Der gemeinsame Nenner aller drei Anlässe: Verlangt wird nichts, was man nicht ohnehin entschieden hätte. Verlangt wird, dass die Entscheidung mit Zeitpunkt und Begründung noch auffindbar ist.

Pflicht, Empfehlung, Praxis

Bei der Dokumentation verschwimmen die Ebenen besonders leicht, weil viele Ratgeber Formate vorschreiben, die im Gesetz nicht stehen:

• Pflicht: Die Einhaltung nachweisen können (Art. 5 Abs. 2 DSGVO). Ein Format nennt die Vorschrift nicht.
• Pflicht: Jede Verletzung dokumentieren, mit Einzelheiten, Auswirkungen und Abhilfemaßnahmen (Art. 33 Abs. 5 DSGVO), auch ohne Meldung.
• Pflicht: Das Verarbeitungsverzeichnis auf Anfrage der Aufsichtsbehörde vorlegen (Art. 30 Abs. 4 DSGVO).
• Empfehlung: Einen Vorgang je Anfrage und je Vorfall führen statt einer Sammelliste. Das ist Organisation, keine Vorschrift.
• Empfehlung: Den Nachweis exportierbar halten, damit er ohne Zugriff auf das laufende System weitergegeben werden kann.

Zum Bußgeldrahmen, weil an dieser Stelle regelmäßig die falsche Zahl steht: Art. 33 DSGVO gehört zu den Pflichten aus den Artikeln 25 bis 39 und fällt damit unter Art. 83 Abs. 4 Buchstabe a DSGVO, also bis zu 10 Millionen Euro oder 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Für Verstöße gegen die Betroffenenrechte gilt der Rahmen des Art. 83 Abs. 5 DSGVO mit bis zu 20 Millionen Euro oder 4 Prozent. Beides sind Obergrenzen und keine Regelbeträge.

BetroffenenRecht24 führt jede Anfrage und jeden Vorfall als Vorgang mit Zeitstempeln und stellt den Nachweis-Export als Bezahlfunktion bereit. Der Export gibt wieder, was im Vorgang steht: Eingang, Frist, Entscheidungen mit Begründung und die Zeitpunkte von Mitteilung und Antwort.

Was die Software nicht tut: Sie erstellt keine Meldung an die Aufsichtsbehörde, sie bewertet Ihren Einzelfall nicht und sie ersetzt keine Rechtsberatung. Die Verantwortung für die Entscheidungen bleibt beim Verantwortlichen. Der Export belegt, dass sie getroffen wurden, und wann.

Häufige Fragen

Verlangt die DSGVO ein bestimmtes Format für den Nachweis?

Nein. Art. 5 Abs. 2 DSGVO verlangt, dass der Verantwortliche die Einhaltung der Grundsätze nachweisen kann, nennt dafür aber kein Dokument und kein Format. Art. 33 Abs. 5 DSGVO wird konkreter und verlangt für Verletzungen die Dokumentation der Einzelheiten, der Auswirkungen und der ergriffenen Abhilfemaßnahmen.

Muss ich auch dokumentieren, wenn ich eine Datenpanne nicht melde?

Ja, und dann besonders sorgfältig. Die Dokumentationspflicht aus Art. 33 Abs. 5 DSGVO gilt für sämtliche Verletzungen. Erwägungsgrund 85 DSGVO nennt für das Unterbleiben der Meldung die Bedingung, dass der Verantwortliche im Einklang mit der Rechenschaftspflicht nachweisen kann, dass kein Risiko wahrscheinlich ist.

Was gehört in den Nachweis zu einer Betroffenenanfrage?

Eingangsdatum und Kanal, die Anfrageart, die Identitätsentscheidung mit Begründung, der Umfang der Suche in den Systemen, eine etwaige Verlängerungsmitteilung mit Zeitpunkt und Gründen sowie Zeitpunkt und Weg der Antwort. Bei einer Ablehnung kommen die Gründe und der Hinweis auf Beschwerde und Rechtsbehelf hinzu (Art. 12 Abs. 4 DSGVO).

Wie lange muss ich die Nachweise aufbewahren?

Eine Aufbewahrungsfrist nennen Art. 5 Abs. 2 und Art. 33 Abs. 5 DSGVO nicht. Wer eine Dauer festlegt, trifft eine eigene Entscheidung und sollte sie begründen können. Die Grundsätze der Verarbeitung gelten dabei auch für den Nachweis selbst, er ist also nicht unbegrenzt vorzuhalten.

Muss ich das Verarbeitungs­verzeichnis bei der Aufsichtsbehörde einreichen?

Nein. Nach Art. 30 Abs. 4 DSGVO ist es der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen; eine anlasslose Meldepflicht steht dort nicht. Vorlagefähig muss es aber sein, und was erst zusammengesucht werden muss, hilft im Anfragefall nicht.

Welcher Bußgeldrahmen gilt für eine fehlende Dokumentation nach Art. 33 Abs. 5 DSGVO?

Art. 33 DSGVO gehört zu den Pflichten aus den Artikeln 25 bis 39 und fällt damit unter Art. 83 Abs. 4 Buchstabe a DSGVO: bis zu 10 Millionen Euro oder 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist. Die oft genannten 20 Millionen Euro und 4 Prozent stehen in Art. 83 Abs. 5 DSGVO und betreffen unter anderem die Betroffenenrechte.

Das Wichtigste in Kürze

Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Welche Nachweise im Einzelfall genügen und wie lange sie vorzuhalten sind, bleibt die Entscheidung des Verantwortlichen. Wenden Sie sich dafür an fachkundige Beratung.