Artikel 24 DSGVO: Verantwortung des für die Verarbeitung Verantwortlichen
(1) Der Verantwortliche setzt unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen um, um sicherzustellen und den Nachweis dafür erbringen zu können, dass die Verarbeitung gemäß dieser Verordnung erfolgt. Diese Maßnahmen werden erforderlichenfalls überprüft und aktualisiert.
(2) Sofern dies in einem angemessenen Verhältnis zu den Verarbeitungstätigkeiten steht, müssen die Maßnahmen gemäß Absatz 1 die Anwendung geeigneter Datenschutzvorkehrungen durch den Verantwortlichen umfassen.
(3) Die Einhaltung der genehmigten Verhaltensregeln gemäß Artikel 40 oder eines genehmigten Zertifizierungsverfahrens gemäß Artikel 42 kann als Gesichtspunkt herangezogen werden, um die Erfüllung der Pflichten des Verantwortlichen nachzuweisen.
Woraus die Pflicht zum Datenschutzmanagement folgt
Artikel 24 verlangt geeignete technische und organisatorische Maßnahmen, um die Einhaltung der Verordnung sicherzustellen und nachweisen zu können – einschließlich ihrer Überprüfung und Aktualisierung. Damit ist die Vorschrift die Grundlage für ein Datenschutzmanagementsystem, auch wenn die Verordnung diesen Begriff nicht verwendet. Absatz 2 nennt Datenschutzstrategien ausdrücklich, Absatz 3 Verhaltensregeln und Zertifizierungen als Nachweismittel. Wer nur einzelne Pflichten abarbeitet, ohne sie in einem System zusammenzuführen, erfüllt den Nachweisteil nicht.
Erwägungsgrund 74 verknüpft die Verantwortlichkeit unmittelbar mit der Nachweispflicht; die Maßnahmen sollen dem jeweiligen Risiko entsprechen.