Verhaltensregeln (Art. 40 DSGVO)

Verhaltensregeln (englisch Codes of Conduct) sind ein Instrument der Selbstregulierung, das die DSGVO in Art. 40 ausdrücklich fördert. Erarbeitet werden sie nicht von einzelnen Unternehmen, sondern von Verbänden und anderen Vereinigungen, die eine Kategorie von Verantwortlichen oder Auftragsverarbeitern vertreten – etwa Branchenverbände der Versicherungs-, Werbe-, Gesundheits- oder Cloud-Wirtschaft. Ihr Zweck ist es, die bewusst abstrakt gehaltenen Vorgaben der Verordnung für die typischen Verarbeitungssituationen eines Sektors zu präzisieren. Art. 40 Abs. 2 DSGVO nennt dafür einen offenen Katalog möglicher Regelungsgegenstände: faire und transparente Verarbeitung, berechtigte Interessen, Pseudonymisierung, Information der betroffenen Personen, Ausübung der Betroffenenrechte, Kinderschutz, technische und organisatorische Maßnahmen, Meldung von Datenschutzverletzungen sowie Drittlandübermittlungen und außergerichtliche Streitbeilegung. Der Beitritt ist freiwillig; wer beitritt, unterwirft sich den Regeln jedoch verbindlich.

Rechtliche Wirkung entfalten Verhaltensregeln erst durch das Genehmigungsverfahren. Der Verband legt den Entwurf nach Art. 40 Abs. 5 DSGVO der zuständigen Aufsichtsbehörde vor, die prüft, ob er mit der Verordnung vereinbar ist und ausreichende geeignete Garantien bietet; in Deutschland sind je nach Sitz und Reichweite die Landesdatenschutzbehörden oder der BfDI zuständig. Betrifft der Kodex Verarbeitungen in mehreren Mitgliedstaaten, übermittelt die Behörde den Entwurf vor der Genehmigung dem Europäischen Datenschutzausschuss, der eine Stellungnahme abgibt (Art. 40 Abs. 7 DSGVO); die Europäische Kommission kann solchen Regeln anschließend durch Durchführungsrechtsakt allgemeine Gültigkeit in der Union verleihen (Art. 40 Abs. 9 DSGVO). Genehmigte Verhaltensregeln werden registriert und veröffentlicht, der Ausschuss führt hierzu ein zentrales Register (Art. 40 Abs. 11 DSGVO). Für nicht-öffentliche Stellen ist zusätzlich eine Überwachungsstelle nach Art. 41 DSGVO erforderlich: eine fachkundige, von der Aufsichtsbehörde akkreditierte Einrichtung, die die Einhaltung überwacht, Beschwerden bearbeitet und Verstöße bis hin zum Ausschluss sanktioniert. Die Konkretisierung des Verfahrens liefern die Leitlinien 1/2019 des Europäischen Datenschutzausschusses.

Als Nachweisinstrument wirken Verhaltensregeln an mehreren Stellen der Verordnung: Die Einhaltung genehmigter Regeln kann nach Art. 24 Abs. 3 DSGVO herangezogen werden, um die Erfüllung der Pflichten des Verantwortlichen zu belegen, nach Art. 28 Abs. 5 DSGVO, um hinreichende Garantien eines Auftragsverarbeiters nachzuweisen, und nach Art. 32 Abs. 3 DSGVO, um die Angemessenheit der Sicherheitsmaßnahmen zu untermauern. Bei Übermittlungen in Drittländer können genehmigte Verhaltensregeln zusammen mit rechtsverbindlichen und durchsetzbaren Verpflichtungen des Empfängers als Garantie nach Art. 46 Abs. 2 lit. e DSGVO dienen; nach Art. 40 Abs. 3 DSGVO können ihnen auch Stellen außerhalb des Anwendungsbereichs der Verordnung beitreten. Im Bußgeldverfahren berücksichtigt die Aufsichtsbehörde die Einhaltung nach Art. 83 Abs. 2 lit. j DSGVO als Zumessungskriterium. Zugleich sind die Grenzen klar: Verhaltensregeln ersetzen weder eine Rechtsgrundlage noch die Rechenschaftspflicht, sie verschieben keine Verantwortlichkeit und entfalten keine Bindungswirkung gegenüber Gerichten. Praktisch etabliert haben sie sich vor allem im Cloud-Umfeld – der EU Cloud Code of Conduct wurde 2021 von der belgischen Datenschutzbehörde und der CISPE-Kodex im selben Jahr von der französischen CNIL genehmigt, jeweils nach Stellungnahme des Europäischen Datenschutzausschusses.