Status Quo Zertifizierung nach DSGVO Endlich Bewegung in der Datenschutz-Zertifizierung

Anbieter zum Thema

FAST LTA GmbH

FTAPI Software GmbH

Insider Research

Das Warten hat langsam ein Ende: Es gibt erste Zertifizierungs­kriterien nach Datenschutz-Grundverordnung (DSGVO). Nicht nur Unternehmen waren schon ungeduldig, selbst den Aufsichtsbehörden dauerte es zu lange. Wir zeigen, was nun im Bereich der DSGVO-Zertifizierungen verfügbar ist und warum dies ein Meilenstein für den Datenschutz werden kann.

Was tut man, wenn ein Kunde wissen will, ob man bei der Verarbeitung von Kundendaten auch einem hohen Datenschutzstandard einhält? Gegenwärtig bestätigt man dies entweder selbst, zum Beispiel im Rahmen eines Vertrages, oder man verweist auf ein Datenschutzzertifikat, das man vor Jahren einmal erhalten hat, vielleicht sogar noch auf Basis des alten Bundesdatenschutzgesetzes.

Ähnlich ist es, wenn man mit seinem hohen Datenschutzniveau werben will. Man schreibt auf der eigenen Website, dass man die DSGVO einhält. Das ist aber eigentlich kein Wettbewerbsvorteil und Kundenversprechen, das ist die gesetzliche Pflicht für jedes Unternehmen in der EU. Was wirklich hilfreich wäre, ist eine unabhängige Bestätigung durch Dritte, eine Zertifizierung.

Umgekehrt ist es schwierig, eine datenschutzkonforme IT-Lösung auszuwählen, denn ein Zertifikat, wie es die Datenschutz-Grundverordnung vorsieht, kann man noch nicht von dem Anbieter erwarten. Was also verlangt man als Nachweis für den Datenschutz? Einen solchen Nachweis muss man sich ja geben lassen, wenn man zum Beispiel eine Auftragsverarbeitung im Bereich Cloud nutzen will.

Wenn also in der Bitkom-Umfrage zum Datenschutz ausgesagt wird, nur die wenigsten Unternehmen hätten Wettbewerbsvorteile durch die DSGVO, dann kann dies auch daran liegen, dass es immer noch keine DSGVO-Zertifizierung gibt.

Darum ist eine DSGVO-Zertifizierung so wichtig und begehrt

Wer sich jetzt fragt, warum denn viele Unternehmen ungeduldig auf eine Zertifizierung nach DSGVO warten, der findet in der Datenschutz-Grundverordnung dafür viele gute Gründe.

So kann eine Zertifizierung für den Nachweis der Einhaltung der DSGVO mit herangezogen werden in Bereichen wie die Erfüllung der Pflichten des Verantwortlichen, die Erfüllung der Anforderungen an Technikgestaltung und datenschutzfreundliche Voreinstellungen, Garantien des Auftragsverarbeiters, Sicherheit der Verarbeitung, Datenübermittlung an ein Drittland und Datenschutz-Folgeabschätzung.

Bislang war die Antwort auf den Stand bei den DSGVO-Zertifizierungen: Die Aufsichtsbehörden des Bundes und der Länder arbeiten derzeit intensiv an der Entwicklung abgestimmter, länderübergreifend geltender Kriterien, damit auch im Vollzug der Aufsichtsbehörden eine einheitliche Bewertung im Sinne der DSGVO ermöglicht wird. Ein Wildwuchs zahlreicher unterschiedlicher Zertifizierungsverfahren sollte gerade mit Blick auf ein einheitliches europäisches Datenschutzniveau im Interesse aller Beteiligten vermieden werden.

Eine neue Entwicklung bei der DSGVO-Zertifizierung

Nun hat die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI NRW) erstmals Kriterien für die Zertifizierung von Auftragsverarbeitern genehmigt. Damit kann sich das Unternehmen, das die Genehmigung erhalten hat, als Zertifizierungsstelle akkreditieren lassen.

Das Zertifikat „European Privacy Seal“ (EuroPriSe) soll anderen Unternehmen künftig attestieren, dass ihre Auftragsverarbeitungen den Anforderungen des europäischen Datenschutzrechts entsprechen.

„Insgesamt haben wir in Europa erst zwei Verfahren mit nationalen Zertifizierungskriterien abgeschlossen. Unsere Genehmigung der Kriterien für die EuroPriSe GmbH ist die erste in Deutschland und europaweit, die die Zertifizierungen durch Unternehmen betrifft“, erklärte Bettina Gayk, die Landesbeauftragte für Datenschutz in NRW.

Die Aufsichtsbehörde stellt klar: Eine Zertifizierung bedeutet – ganz allgemein – eine Begutachtung durch unabhängige Fachleute, die den Verarbeitungsvorgang personenbezogener Daten analysieren und auf Normgerechtigkeit prüfen. In einem „Konformitätsbewertungsprogramm“ sind Kriterien und Methoden für die Begutachtung festgelegt. Dieses Programm muss – so sieht es die Datenschutz-Grundverordnung (DSGVO) vor – der Aufsichtsbehörde zur Beurteilung und Genehmigung vorgelegt werden.

Dazu Bettina Gayk, die Landesbeauftragte für Datenschutz in NRW: „Wir haben gemäß dem europäischen Datenschutzrecht geprüft, ob die Kriterien, nach denen die Zertifikate an Auftragsverarbeiter erteilt werden sollen, tatsächlich die Einhaltung der DSGVO bei der Verarbeitung personenbezogener Daten sicherstellen – und damit die Persönlichkeitsrechte wahren.“

Die Aufsichtsbehörde betont: Zertifikate sind ein bewährtes Instrument, um den Marktteilnehmerinnen und Marktteilnehmern eine Orientierung zu datenschutzkonformen Produkten zu verschaffen.

„Zertifikate bedeuten für alle, deren Daten verarbeitet werden, mehr Transparenz. Sie liefern einen raschen Überblick über das Datenschutzniveau einschlägiger Produkte und Dienstleistungen“, erklärt die NRW-Datenschutzbeauftragte.

Auch der EDSA hat Neuigkeiten zur Zertifizierung

Neben der Entwicklung in Deutschland hatte sich zuvor auch in Luxemburg etwas getan. Der Europäische Datenschutzausschuss (EDSA) hat eine Stellungnahme zur Genehmigung der von der luxemburgischen Datenschutzbehörde (DPA) vorgelegten Europrivacy-Zertifizierungskriterien durch den Vorstand angenommen. Diese Stellungnahme markiert die Genehmigung des allerersten europäischen Datenschutzsiegels durch den EDSA gemäß DSGVO.

Der Europrivacy-Zertifizierungsmechanismus ist demnach ein allgemeines System, das auf eine Vielzahl unterschiedlicher Verarbeitungsvorgänge abzielt, die sowohl von Verantwortlichen als auch von Auftragsverarbeitern aus verschiedenen Sektoren durchgeführt werden. Das System enthält spezifische Kriterien, die es skalierbar und auf bestimmte Verarbeitungsvorgänge oder Tätigkeitsbereiche anwendbar machen. Die Genehmigung durch den EDSA ist ein weiterer Schritt in Richtung einer besseren DSGVO-Konformität.

Dabei ist wichtig zu betonen: Die Zertifizierung nach dem Datenschutzsiegel gilt in allen EU-Mitgliedstaaten. Es ermöglicht verschiedenen Verantwortlichen und Auftragsverarbeitern in verschiedenen Ländern, das gleiche Maß an Konformität für ähnliche Verarbeitungsvorgänge zu erreichen. Offensichtlich kommt der Datenschutz nach DSGVO nun einen guten Schritt weiter.

(ID:48667049)