Datenschutz-Zertifizierung

Definition: Eine Datenschutz-Zertifizierung ist eine von einer akkreditierten Zertifizierungsstelle ausgestellte formelle Bescheinigung, die bestätigt, dass ein Unternehmen, ein Produkt, ein Dienst oder ein Verarbeitungsverfahren die Anforderungen eines definierten Datenschutz- oder Informationssicherheitsstandards erfüllt. Artikel 42 DSGVO schafft ausdrücklich die rechtliche Grundlage für solche Zertifizierungsverfahren und verpflichtet die Aufsichtsbehörden sowie den Europäischen Datenschutzausschuss (EDPB) zur Förderung von Datenschutzzertifizierungen, Datenschutzsiegeln und Datenschutzprüfzeichen. Eine Datenschutz-Zertifizierung entbindet ein Unternehmen nicht von seiner Verantwortung nach der DSGVO, dient aber als offiziell anerkannter Nachweis für die Einhaltung definierter Anforderungen gegenüber Aufsichtsbehörden, Kunden und Geschäftspartnern. Sie kann sowohl als wettbewerbliches Differenzierungsmerkmal als auch als risikominderndes Element in der Compliance-Strategie eingesetzt werden. Für Auftragsverarbeiter bietet eine Zertifizierung den Vorteil, gegenüber Auftraggebern geeignete Garantien im Sinne des Art. 28 Abs. 5 DSGVO nachweisen zu können.

Erläuterung

Art. 42 DSGVO gibt Unternehmen die Möglichkeit, durch Zertifizierungsverfahren die Einhaltung der DSGVO zu demonstrieren. Die Zertifizierung muss freiwillig sein und durch ein transparentes Verfahren erlangt werden. Sie wird von akkreditierten Zertifizierungsstellen vergeben und gilt für höchstens drei Jahre; danach muss eine erneute Prüfung erfolgen. Die Kriterien für die Zertifizierung müssen von den nationalen Datenschutzbehörden oder dem EDPB genehmigt werden. Obwohl die DSGVO bereits seit 2018 in Kraft ist, hat sich der europäische Markt für DSGVO-spezifische Zertifizierungen noch in der Entwicklung befunden – vollständig anerkannte DSGVO-Gütesiegel gemäß Art. 42 standen lange aus, wenngleich Pilotprojekte und nationale Initiativen Fortschritte gemacht haben.

Im Markt etabliert sind mehrere Zertifizierungsstandards mit Datenschutzbezug. Der bekannteste ist EuroPriSe (European Privacy Seal), ein von der deutschen Datenschutzaufsichtsbehörde Schleswig-Holstein entwickeltes und später europäisiertes Zertifizierungsschema, das IT-Produkte und IT-basierte Dienstleistungen auf DSGVO-Konformität prüft. ISO/IEC 27701 ist eine internationale Norm, die das Informationssicherheitsmanagementsystem nach ISO 27001 um ein Privacy Information Management System (PIMS) erweitert; sie ist besonders für international tätige Unternehmen relevant. BSI C5 (Cloud Computing Compliance Criteria Catalogue) ist ein deutsches Schema des Bundesamts für Sicherheit in der Informationstechnik für Cloud-Dienste und kann für Marketing-SaaS-Anbieter von Belang sein.

Für den Online-Marketing-Bereich besonders relevant ist das Zertifizierungsökosystem rund um Consent Management. Der IAB Transparency & Consent Framework (TCF) ist zwar kein behördliches Zertifikat, aber ein branchenweiter Standard für konforme Einwilligungsverwaltung. Zudem verlangen Werbenetzwerke und Demand-Side-Plattformen (DSPs) von angebundenen Publishern zunehmend, zertifizierte CMPs zu nutzen. Die Google-Plattformen beispielsweise setzen für die Nutzung von Consent Mode und bestimmten Targeting-Funktionen eine CMP voraus, die vom IAB TCF zertifiziert ist.

Neben diesen spezifischen Datenschutzzertifizierungen spielen im unternehmerischen Kontext auch allgemeine Informationssicherheitszertifizierungen wie ISO 27001 eine wichtige Rolle, da Informationssicherheit und Datenschutz untrennbar miteinander verbunden sind: Eine ordnungsgemäße Informationssicherheit ist Voraussetzung für den Schutz personenbezogener Daten nach Art. 32 DSGVO.

Wichtige Datenschutz-Zertifizierungen im Überblick

• EuroPriSe: Europäisches Datenschutzgütesiegel für IT-Produkte und Dienste; prüft Konformität mit der DSGVO; ausgereiftes Verfahren mit anerkannten Gutachtern.
• ISO/IEC 27701: Erweiterung von ISO 27001 um Privacy Information Management; international anerkannt; besonders für Auftragsverarbeiter mit globaler Kundschaft geeignet.
• ISO/IEC 27001: Grundlegender Standard für Informationssicherheitsmanagementsysteme (ISMS); indirekte Relevanz für Datenschutz durch Nachweis sicherer Verarbeitungsumgebungen.
• BSI C5: Spezifisch für Cloud-Dienste; testiert Sicherheits- und Datenschutzanforderungen für Cloud-Umgebungen; relevant für Marketing-Cloud-Anbieter.
• IAB TCF (Zertifizierung für CMPs): Branchenstandard für Consent-Management-Plattformen; Voraussetzung für Anbindung an viele Werbenetzwerke; kombiniert technische und rechtliche Konformitätsprüfung.
• TÜV/Dekra-Datenschutzsiegel: National angebotene Prüfzeichen durch Prüforganisationen; Akzeptanz bei Aufsichtsbehörden variiert; bieten praktische Nutzungsmöglichkeiten in der Kundenkommunikation.

Nutzen für Marketing und Auftragsverarbeitung

• Nachweis gegenüber Auftraggebern: Art. 28 Abs. 5 DSGVO erlaubt es, durch eine Zertifizierung die erforderlichen Garantien für eine ordnungsgemäße Auftragsverarbeitung nachzuweisen, was AVV-Verhandlungen vereinfacht.
• Vertrauenssignal für Endkunden: Ein sichtbares Datenschutzgütesiegel auf der Website oder im App Store kann die Conversion-Rate bei Einwilligungsformularen erhöhen, da es Seriosität signalisiert.
• Bußgeldminderung: Zertifizierungen können von Aufsichtsbehörden bei der Bemessung von Bußgeldern als mildernder Umstand berücksichtigt werden (Art. 83 Abs. 2 lit. j DSGVO).
• Interne Strukturierungsfunktion: Der Zertifizierungsprozess selbst zwingt zur systematischen Bestandsaufnahme und Verbesserung der Datenschutzprozesse, unabhängig vom formalen Zertifikat.