European Privacy Seal Endlich Datenschutz nach DSGVO zertifizieren

Anbieter zum Thema

FAST LTA GmbH

FTAPI Software GmbH

Insider Research

Der Europäische Datenschutzausschuss (EDSA) hat europäische Kriterien für die Zertifizierung von Auftragsverarbeitern genehmigt. Das Zertifikat „European Privacy Seal“ (EuroPriSe) soll anderen Unternehmen in Europa künftig attestieren, dass ihre Auftragsverarbeitungen den Anforderungen der DSGVO entsprechen. Das könnte insbesondere auch die Wahl des Cloud-Providers erleichtern.

Datenschutz-Zertifikate sind eigentlich nichts Neues, diese gab es schon vor der Datenschutz-Grundverordnung (DSGVO) der EU. Doch genau darin lag und liegt noch das Problem: Nicht jedes Datenschutzzertifikat ist als Nachweis geeignet, dass die Vorgaben der DSGVO eingehalten werden. Darauf machen Datenschutz­aufsichts­behörden schon seit vielen Jahren aufmerksam, zum Beispiel die Datenschutzaufsicht von Schleswig-Holstein: „Seit dem 25. Mai 2018 können aufgrund der veränderten Rechtslage das Datenschutz-Gütesiegel Schleswig-Holstein und das Audit-Verfahren in der bisherigen Form nicht mehr angeboten werden“.

Dabei würden Datenschutz-Zertifikate mehr als benötigt, denn wer zum Beispiel eine Dienstleistung im Sinne einer Auftragsverarbeitung beauftragen will, muss sich von dem Datenschutzniveau des möglichen Dienstleisters überzeugen, so will es das EU-Datenschutzrecht. Dabei kann eine Datenschutz-Zertifizierung helfen, wenn sie den Vorgaben der DSGVO entspricht.

Ein typisches Beispiel aus der Praxis ist die Suche nach passenden Cloud-Services. Hier fragen sich die Unternehmen zu Recht, wie es um den Datenschutz steht. So ergab der Cloud Report 2024 des Digitalverbands Bitkom: Bei der Auswahl ihres Cloud-Anbieters sind für die Unternehmen insbesondere Vertrauen in IT-Sicherheit, Datenschutz und Compliance sehr wichtig (99 Prozent der Befragten).

Status Quo Zertifizierung nach DSGVO

Endlich Bewegung in der Datenschutz-Zertifizierung

Endlich kommt die DSGVO-Zertifizierung

Unternehmen wie Aufsichtsbehörden warten nun schon seit Jahren auf eine geeignete Zertifizierung. Im Jahr 2022 zeichnete sich ein entsprechender Fortschritt ab. Nun aber ist die Zertifizierung des Datenschutzes nach DSGVO endlich EU-weit greifbar.

Im Juli 2024 hat der Europäische Datenschutzausschuss (EDSA) europäische Kriterien für die Zertifizierung von Auftragsverarbeitern genehmigt. Es handelt sich um eine Fortentwicklung der bereits im Oktober 2022 genehmigten nationalen Kriterien eines in NRW ansässigen Unternehmens.

Das Zertifikat „European Privacy Seal“ (EuroPriSe) soll anderen Unternehmen in Europa künftig attestieren, dass ihre Auftragsverarbeitungen den Anforderungen des europäischen Datenschutzrechts entsprechen. „Diesem Verfahren vorausgegangen war die Genehmigung der nationalen Zertifizierungskriterien durch unsere Behörde. Jetzt können sich Auftragsverarbeiter in ganz Europa zertifizieren lassen“, erklärte Bettina Gayk, die Landesbeauftragte für Datenschutz und Informationsfreiheit in NRW.

Die Aufsichtsbehörde unterstreicht die Bedeutung: Viele Unternehmen oder Behörden lassen sich bei ihrer Datenverarbeitung durch Auftragsverarbeiter unterstützen. Darunter fallen beispielsweise die Dienste eines Rechenzentrums oder ausgelagerte Clouddienste. Ob diese Dienste datenschutzkonform sind, ist für diejenigen, die sie nutzen wollen, oft nicht leicht zu beurteilen. Ein Zertifikat vereinfacht diese Beurteilung, so die Datenschutzaufsicht von NRW.

Eine Zertifizierung bedeutet dabei eine Begutachtung durch unabhängige Fachleute, die den Verarbeitungsvorgang personenbezogener Daten analysieren und auf Normgerechtigkeit prüfen, wie die Aufsicht erläutert. In einem „Konformitätsbewertungsprogramm“ sind Kriterien und Methoden für die Begutachtung festgelegt. Dieses Programm muss – so sieht es die Datenschutz-Grundverordnung (DSGVO) vor – der Aufsichtsbehörde zur Beurteilung und Genehmigung vorgelegt werden. Europäische Zertifizierungskriterien genehmigt der EDSA selbst.

„Zertifikate sind ein wichtiges Instrument, um ein hohes Datenschutz-Niveau zu gewährleisten. Wer einen zertifizierten Auftragsverarbeiter auswählt, trifft eine gute Wahl und erhält Sicherheit, dass dessen Datenschutzkonformität in einem transparenten Verfahren überprüft und überwacht wird“, erklärte Bettina Gayk, die NRW-Datenschutzbeauftragte.

„Eine DSGVO-Zertifizierung trägt zum Nachweis von Compliance-Bemühungen und zu mehr Transparenz und Vertrauen bei“, so der Europäische Datenschutzausschuss. „Sie ermöglicht eine bessere Beurteilung des Schutzniveaus von Produkten, Dienstleistungen, Prozessen oder Systemen, die von Organisationen verwendet werden, die personenbezogene Daten verarbeiten.“

DSGVO-Zertifikate nicht nur für NRW oder Deutschland, sondern EU-weit

Als erste Stelle in Deutschland hatte die Bonner EuroPriSe Cert GmbH von der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) die Befugnis erhalten, Datenverarbeitungsprozesse zu zertifizieren. Damit können Auftragsverarbeiter ihre Datenverarbeitungsprozesse gemäß der Datenschutz-Grundverordnung (DSGVO) von dieser Zertifizierungsstelle zertifizieren lassen.

Die Zertifizierungsstelle kann die Verarbeitung personenbezogener Daten durch Auftragsverarbeiter begutachten und auf Normgerechtigkeit prüfen. Das Zertifikat „European Privacy Seal“ (EuroPriSe) soll attestieren, dass Auftragsverarbeitungen den Anforderungen des europäischen Datenschutzrechts entsprechen.

Durch die Entscheidung des EDSA gilt nun, dass die Kriterien von allen Aufsichtsbehörden europaweit anerkannt werden. Wichtig: Das Zertifikat „European Privacy Seal“ hat aber nicht den internationalen Datenverkehr zum Gegenstand, kann also nicht genutzt werden, um den Datenschutz für einen Drittlandtransfer nachzuweisen, wie der EDSA betont.

Das Europäische Datenschutz-Gütesiegel EuroPrise wird vom EDSA in das Register der Zertifizierungsmechanismen und Datenschutzsiegel gemäß Artikel 42 Absatz 8 DSGVO aufgenommen werden. In diesem Register kann man also als Unternehmen oder Behörde sehen, welche DSGVO-Zertifikate EU-weit durch den EDSA anerkannt wurden, somit ist das Register auch eine wichtige Informationsquelle, wenn man einen vorgelegten Nachweis zur DSGVO-Compliance hinterfragen und prüfen möchte, zum Beispiel bei der Wahl eines Cloud-Dienstes.

(ID:50138585)