Datenschutzzertifizierung (Art. 42 DSGVO)

Art. 42 DSGVO führt datenschutzspezifische Zertifizierungsverfahren, Siegel und Prüfzeichen als Instrument der regulierten Selbstregulierung ein. Zertifiziert wird nicht ein Unternehmen als Ganzes, sondern ein konkret abgegrenzter Verarbeitungsvorgang oder eine Reihe von Verarbeitungsvorgängen eines Verantwortlichen oder Auftragsverarbeiters. Die Teilnahme ist freiwillig (Art. 42 Abs. 3 DSGVO), und das Verfahren muss über ein transparentes Kriterienwerk laufen: Die Kriterien werden von der zuständigen Aufsichtsbehörde genehmigt oder – wenn sie unionsweit gelten sollen – nach dem Kohärenzverfahren vom Europäischen Datenschutzausschuss gebilligt; in diesem Fall kann daraus ein Europäisches Datenschutzsiegel werden (Art. 42 Abs. 5 DSGVO). Ein nach diesem Muster gebilligtes Schema ist Europrivacy, das der EDSA 2022 als erstes Europäisches Datenschutzsiegel bestätigt hat.

Ausgestellt wird das Zertifikat entweder von der Aufsichtsbehörde selbst oder von einer Zertifizierungsstelle, die nach Art. 43 DSGVO akkreditiert ist. In Deutschland erfolgt die Akkreditierung im Zusammenspiel von nationaler Akkreditierungsstelle (DAkkS) auf Grundlage der EN ISO/IEC 17065 und den von der Aufsichtsbehörde festgelegten zusätzlichen Datenschutzanforderungen; § 39 BDSG regelt dieses Zusammenwirken. Ein Zertifikat gilt höchstens drei Jahre und kann unter denselben Bedingungen verlängert werden; es ist zu widerrufen, wenn die Kriterien nicht mehr erfüllt sind (Art. 42 Abs. 7 DSGVO). Der Verantwortliche muss der Zertifizierungsstelle alle für die Prüfung erforderlichen Informationen und Zugang zu den Verarbeitungstätigkeiten gewähren (Art. 42 Abs. 6 DSGVO).

Praktisch relevant ist vor allem die Nachweiswirkung: Eine genehmigte Zertifizierung ist ein Faktor, mit dem die Einhaltung der Pflichten aus Art. 24 Abs. 3, Art. 25 Abs. 3 und Art. 32 Abs. 3 DSGVO nachgewiesen werden kann, sie stützt also die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Bei der Auswahl von Auftragsverarbeitern dient sie als Element der geforderten hinreichenden Garantien (Art. 28 Abs. 5 DSGVO), und bei Bußgeldern ist die Einhaltung genehmigter Zertifizierungsverfahren ausdrücklich als mildernder Umstand zu berücksichtigen (Art. 83 Abs. 2 lit. j DSGVO). Eine Zertifizierung mit rechtsverbindlichen und durchsetzbaren Verpflichtungen des Datenimporteurs kann außerdem als Garantie für Drittlandübermittlungen dienen (Art. 46 Abs. 2 lit. f DSGVO). Wichtig ist die Grenze: Das Zertifikat mindert nicht die Verantwortung des Verantwortlichen oder Auftragsverarbeiters und lässt die Befugnisse der Aufsichtsbehörden unberührt (Art. 42 Abs. 4 DSGVO). Es ist ein Indiz, kein Freibrief – und kein Ersatz für ein gelebtes Datenschutzmanagement.