GDPR: Wer darf Datenschutz-Zertifikate nach DSGVO vergeben?

Datenschutz-Zertifikate sind entscheidend für das Business

Für Unternehmen sind Datenschutz-Zertifikate noch aus einem anderen Grund wichtig: Nicht nur die eigenen Kunden wollen einen Nachweis über den Datenschutz, auch jedes Unternehmen selbst braucht dies, zum Beispiel bei der Beauftragung von Dienstleistern, da dann die Vorgaben für eine Auftragsverarbeitung (Artikel 28 DSGVO) erfüllt sein müssen.

Die Nutzung externer Dienste gehört zunehmend zum Betriebsalltag. Drei von zehn Unternehmen (29 Prozent) nutzen eine Cloud-Lösung, die in ein zertifiziertes Rechenzentrum ausgelagert ist. Weitere zehn Prozent planen dies, 28 Prozent diskutieren darüber. Das zeigt der Digital Office Index 2018 von Bitkom.

Da zunehmend auf eine Zertifizierung von Datenschutz und Datensicherheit geachtet wird, sind Datenschutz-Zertifizierungen ein durchaus interessantes Geschäftsmodell. Entsprechend viele Anbieter für Zertifizierungen gibt es, eine deutliche Zunahme ist noch zu erwarten.

Zertifizierer müssen selbst spezielle Vorgaben nach DSGVO erfüllen

Die DSGVO macht nicht nur Vorgaben für die Datenschutz-Zertifizierung (Artikel 42 DSGVO), sondern auch für die Zertifizierungsstellen (Artikel 43 DSGVO). Die Vorgaben müssen Zertifizierer beachten, auch Unternehmen, die sich zertifizieren lassen wollen oder die Zertifikate ihrer Dienstleister überprüfen wollen, sollten die Anforderungen kennen.

Aufsichtsbehörden beziehungsweise nationale Akkreditierungsstellen akkreditieren Zertifizierungsstellen nur unter bestimmten Voraussetzungen, und nur akkreditierte Zertifizierer können DSGVO-konforme Zertifikate an Unternehmen erteilen.

Die Vorgaben der DSGVO zur Akkreditierung von Zertifizierungsstellen sind insbesondere:

Zertifizierungsstellen müssen

• ihre Unabhängigkeit und ihr Fachwissen hinsichtlich des Gegenstands der Zertifizierung zur Zufriedenheit der zuständigen Aufsichtsbehörde nachgewiesen haben
• Verfahren für die Erteilung, die regelmäßige Überprüfung und den Widerruf der Datenschutzzertifizierung sowie der Datenschutzsiegel und -prüfzeichen festgelegt haben
• Verfahren und Strukturen festgelegt haben, mit denen sie Beschwerden über Verletzungen der Zertifizierung oder die Art und Weise, in der die Zertifizierung von dem Verantwortlichen oder dem Auftragsverarbeiter umgesetzt wird oder wurde, nachgehen und diese Verfahren und Strukturen für betroffene Personen und die Öffentlichkeit transparent machen, und
• zur Zufriedenheit der zuständigen Aufsichtsbehörde nachgewiesen haben, dass ihre Aufgaben und Pflichten nicht zu einem Interessenkonflikt führen.

Ob eine Zertifizierungsstelle akkreditiert ist oder nicht, können Unternehmen in Zukunft einsehen: Der Europäische Datenschutzausschuss (EDPB) nimmt alle Zertifizierungsverfahren und Datenschutzsiegel und -prüfzeichen in ein Register auf und veröffentlicht sie in geeigneter Weise.

Aufsichtsbehörden nennen Details zu Anforderungen an Zertifizierer

Die Datenschutzkonferenz, bestehend aus den Datenschutzbehörden des Bundes und der Länder in Deutschland, haben inzwischen „Anforderungen zur Akkreditierung gemäß Art. 43 Abs. 3 DSGVO i.V.m. DIN EN ISO/IEC 17065“ veröffentlicht, die weitere Details zu den Anforderungen an Zertifizierungsstellen enthalten.

Es versteht sich, dass Dienstleister, die als Zertifizierungsstelle akkreditiert werden wollen, diese Anforderungen kennen und erfüllen müssen. Aber auch Unternehmen, die zertifiziert werden wollen oder Zertifikate zu prüfen haben, sollten die Anforderungen anschauen, denn dadurch erhalten sie einen Überblick über den Wert einer Datenschutz-Zertifizierung nach DSGVO.

Als Beispiele seien hier zwei Punkte mit näheren Anforderungen genannt, die aufzeigen, was Zertifizierer unter anderem vorweisen können müssen:

Die Zertifizierungsstelle muss über Ressourcen mit Kenntnissen in folgenden Bereichen verfügen und diese nachweisen können:

1. Kenntnisse der relevanten Normen zur Konformitätsbewertung (insbesondere ISO-Normen, Gesetze etc.)
2. Kenntnisse in den für den Zertifizierungsbereich relevanten Management-Systemen (beispielsweise ISO 9001 /27001 /27017 /27018 / IT-Grundschutz)
3. Kenntnisse im Datenschutzrecht (DSGVO/BDSG/einschlägige Landesdatenschutzgesetze)
4. Kenntnisse im Telekommunikationsrecht sowie dem Recht der Dienste der Informationsgesellschaft beziehungsweise der ePrivacy-Verordnung
5. Gegebenenfalls Kenntnisse in weiteren relevante Datenschutznormen, deren Einschlägigkeit sich aus dem eingesetzten Zertifizierungsprogramm ergibt.

Zahlreiche Prozesse müssen im eigenen Management der Zertifizierungsstelle umgesetzt werden. Dazu gehören:

1. Verwaltung der Zertifizierungskriterien und entsprechender Genehmigungsverfahren
2. Überwachung, Kontrolle, Evaluierung und Verbesserung der Struktur der internen Abläufe der Zertifizierungsstelle mit Fortschreibung der entsprechenden intern geführten Nachweise,
3. Verwaltung des Beschwerde-Managements,
4. Aussetzung und Zurückziehung der Zertifizierung und Dokumentation der Gründe,
5. Vertrags-Management,
6. Sicherstellung der Unabhängigkeit (Unparteilichkeit/finanzielle Stabilität) und Management der entsprechenden Nachweise,
7. Veröffentlichung von Zertifizierungskriterien/Zertifizierungsentscheidungen etc.,
8. Ressourcen (Personalkompetenz und externe Ressourcen),
9. Antrags-Management,
10. Überwachung von Änderungen mit Auswirkungen auf Zertifizierungen und
11. Überwachung der Verwendung von Zertifizierungen.

Völlig zu Recht sind somit die Anforderungen an die Zertifizierungsstellen hoch, denn nur dann können die Datenschutz-Zertifikate auch den Wert haben, der für die Vertrauensbildung in Datensicherheit und Datenschutz notwendig ist.

Folgen Sie SearchSecurity.de auch auf Twitter, Google+, Xing und Facebook!