Zertifizierung
Die Zertifizierung im Datenschutz
Zertifizierungen im Rahmen des Datenschutzes, wie z.B. Datenschutzsiegel, dienen dazu, betroffenen Personen oder Vertragspartnern einen schnellen Überblick über das Datenschutzniveau von Produkten und Dienstleistungen oder über die Einhaltung des Datenschutzes in einem Unternehmen zu bieten.
Zertifizierungen nach der Datenschutz-Grundverordnung (DSGVO) dienen der Transparenz und sollen die Einhaltung datenschutzrechtlicher Regelungen verbessern.
Zertifizierungs-Verfahren
Die DSGVO sieht in Art. 42 sogenannte genehmigte Zertifizierungsverfahren vor. Dies soll die Verfahren vereinheitlichen. Bisher bereits vorhandene Verfahren, z.B. aus der ISO-Gruppe, decken datenschutzrechtliche Aspekte nämlich nur teilweise ab. Sie eignen sich nicht als Zertifizierung nach DSGVO.
Eine Zertifizierung erfolgt freiwillig über ein transparentes Verfahren. Die Zertifizierung erteilt eine Zertifizierungsstelle nach Art. 43 DSGVO oder die zuständige Aufsichtsbehörde für den Datenschutz.
Die Voraussetzungen der Erteilung ergeben sich entweder durch Festlegungen der zuständigen Aufsichtsbehörde, oder der Datenschutzausschuss (Europäischer Datenschutzausschuss) legt entsprechende Kriterien fest.
Hören Sie zu den zentralen Fragen der Zertifizierung im Datenschutz auch unseren Datenschutz-PRAXIS-Podcast mit Marit Hansen vom ULD.
Ein Unternehmen, das sich zertifizieren lassen will, muss der zuständigen Behörde die dafür erforderlichen Informationen zur Verfügung stellen und ihr Zugang zu seinen Verarbeitungstätigkeiten verschaffen.
Wie lange gilt ein Zertifikat?
Eine Zertifizierung, ein Prüfzeichen oder ein Datenschutzsiegel gilt nach Erteilung für maximal drei Jahre. Liegen danach die Erteilungsvoraussetzungen weiterhin vor, kann eine Verlängerung erfolgen.
Werden – auch vor Ablauf von drei Jahren – die Voraussetzungen für die Erteilung einer Zertifizierung nicht mehr erfüllt, so widerruft die zuständige Aufsichtsbehörde die erteilte Zertifizierung.
Der Europäische Datenschutzausschuss führt und veröffentlicht ein Register der Zertifizierungsmechanismen.
Was lässt sich zertifizieren?
Zertifizierte Unternehmen haben den Vorteil, mithilfe der Zertifizierung die Einhaltung bestimmter Anforderungen der DSGVO nachweisen zu können. Dazu gehören:
- Einhaltung der Pflichten des Verantwortlichen
- Sicherheit der Verarbeitung
- Erfüllung der Anforderungen an Technikgestaltung und datenschutzfreundliche Voreinstellungen
- Garantien des Auftragsverarbeiters
- Datenschutz-Folgenabschätzung
- Datenübermittlungen in Drittländer
Ein vorhandenes Datenschutzzertifikat ist daneben auch ein gutes Werbemittel. Denn es signalisiert, dass das Unternehmen den Datenschutz ernst nimmt.
Wie steht es mit der Zertifizierung außereuropäischer Unternehmen?
Unter bestimmten Voraussetzungen können Verantwortliche oder Auftragsverarbeiter, die nicht den Regelungen der DSGVO unterliegen, mittels genehmigter Zertifizierungsverfahren den Nachweis erbringen, dass sie den Schutz der Rechte betroffener Personen gewährleisten.
Diese Möglichkeit betrifft Unternehmen außerhalb der EU, die weder Waren noch Dienstleistungen an betroffene Personen in der EU anbieten noch an Personen innerhalb der EU Verhaltensbeobachtungen durchführen (siehe auch Marktortprinzip).
Zertifizierungsstellen
Zertifizierungsstellen müssen zuvor akkreditiert werden (Art. 43 Abs. 1 DSGVO) von der Deutschen Akkreditierungsstelle (DAkks, www.dakks.de) in Zusammenarbeit mit den Aufsichtsbehörden. Das regelt § 39 (Akkreditierung) des neuen BDSG.
Hierzu gibt es eine Kooperationsvereinbarung zwischen den deutschen Datenschutzaufsichtsbehörden und der DAkks. Diese besagt, dass die DAkks die Akkreditierung von Zertifizierungsstellen im Einvernehmen mit den Aufsichtsbehörden durchführt und das gesamte Akkreditierungsverfahren von den Aufsichtsbehörden mehr oder weniger gemeinsam mit der DAkks durchgeführt wird:
https://www.datenschutz.saarland.de/fileadmin/user_upload/uds/PM/2020/Kooperationsvereinbarung_Akkreditierung_DAkkS.pdf
Den Ablauf eines Akkreditierungsverfahrens stellt die DAkks auf ihrer Internetseite ausführlich dar:
https://www.dakks.de/sites/default/files/2_paw_ablauf_akkverf.pdf
Vorläufige ergänzende Anforderungen zur Akkreditierung gemäß Art. 43 Abs. 3 DSGVO hat die Datenschutzkonferenz (DSK) veröffentlicht. Hierzu liegt mit Datum 25. Mai 2020 die Stellungnahme des Europäischen Datenschutzausschusses vor, der einige Änderungsvorschläge macht. Auf diese ist eine Reaktion der Datenschutzkonferenz (DSK) notwendig. Die Datenschutzkonferenz (DSK) hat daraufhin ihre „Anforderungen zur Akkreditierung“ mit Datum vom 8. Oktober 2020 ergänzt. Sie sind zu finden unter:
https://www.datenschutzkonferenz-online.de/media/ah/20201008_din17065_Ergaenzungen_deutsch_nach_opinion.pdf
Die Akkreditierung einer Zertifizierungsstelle nach den Anforderungen der Datenschutzkonferenz (DSK) wird in sechs Phasen verlaufen:
- Antragsphase/Programmprüfung
- Programmprüfung und Genehmigung der Kriterien
- Antragsphase Akkreditierung/Befugniserteilung
- Begutachtungsphase
- Akkreditierungsphase/Befugniserteilung
- Überwachungsphase
Anforderungen an datenschutzrechtliche Zertifizierungsprogramme stellt die Datenschutzkonferenz (DSK) zur Verfügung unter:
https://www.datenschutzkonferenz-online.de/media/ah/DSK_Anwendungshinweis_Zertifizierungskriterien.pdf
Andrea Gailus