Zertifizierungsstelle bringt Sicherheit in Datenschutzfragen

Die heimische Datenschutzbehörde hat mit der DSGVO-zt GmbH die erste behördlich anerkannte Zertifizierungsstelle nach Artikel 42 für DSGVO-Zertifikate in Österreich akkreditiert. Die Expert:innen der DSGVO-zt GmbH wollen damit nun die Sicherheit für Unternehmen in Datenschutzfragen erhöhen. [...]

Als erstes Unternehmen in Österreich hat die DSGVO-zt GmbH vor drei Jahren einen Antrag auf Akkreditierung bei der österreichischen Datenschutzbehörde gestellt. Nach einem aufwendigen Genehmigungs- und Konsultationsverfahren unter Einbindung des Europäischen Datenschutzausschusses (EDSA) wurde der DSGVO-zt am 27. 8. 2024 die Akkreditierung als DSGVO-Zertifizierungsstelle erteilt.

„Es gibt bereits Nachweise für datenschutzkonforme Prozesse und Dienstleistungen, die von Beratern als ‚Hauszertifikate‘ vergeben werden können. Die europäische Datenschutzgrundverordnung sieht allerdings ausschließlich Zertifikate nach Artikel 42 DSGVO als Bestätigung einer akkreditierten Zertifizierungsstelle für die DSGVO-konforme Verarbeitung personenbezogener Daten vor. Einem solchen Nachweis kommt daher in Verfahren vor Behörden und Verwaltungsgerichten besonderes Gewicht zu“, erklären Peter Gelber und Wolfgang Fiala, Gründer und Geschäftsführer der DSGVO-zt GmbH.

Verarbeitung großer Mengen an personenbezogenen Daten

DGSVO-zt will mit dem Zertifizierungsservice zunächst Unternehmen ansprechen, die große Mengen personenbezogener Daten verarbeiten. Zertifiziert werden können Produkte wie Apps, Softwaretools und Webseiten, Verarbeitungstätigkeiten wie Kreditvergabe und Bonitätsprüfungen oder Dienstleistungen wie Druck, Versand und vor allem Cloud-Dienste. Das DSGVO-Zertifikat ist in der Regel drei Jahre gültig.

Die Ziviltechniker freuen sich besonders über die Akkreditierung, da dieser Schritt ihre langjährige Arbeit im Datenschutz- und IT-Umfeld fortsetzt. Fiala und Gelber haben unter anderem Gutachten für ELGA, SVC oder das Gesundheitsministerium erstellt. Schon damals ging es unter anderem um den Schutz personenbezogener Daten. „Wir kennen nicht nur die Gesetzestexte, sondern können diese auch in die IT-Organisation eines Unternehmens einordnen. Es braucht auch viel Auditerfahrung, um die Umsetzung eines Regelwerks im Kontext der Unternehmensprozesse zu beurteilen“, betont Peter Gelber.

Wettbewerbsvorteil Datenschutz

Die Experten der DSGVO-zt warnen davor, das Thema Datenschutz auf die leichte Schulter zu nehmen. Die DSGVO sieht bei Datenschutzverstößen eine Strafe von bis zu vier Prozent des weltweiten Jahresumsatzes eines Unternehmens vor. Im Jahr 2023 wurden EU-weit Bußgelder in Höhe von 2,1 Milliarden Euro verhängt. Die Datenschutzbehörde kann aus drei Gründen tätig werden:

• Sie kann jederzeit eine Prüfung von Amts wegen anordnen,
• sie wird in der Regel bei Beschwerden tätig,
• sowie bei Datenschutzvorfällen, sofern diese meldepflichtig sind.

„Kann ein DSGVO-Zertifikat nach Artikel 42 vorgelegt werden, ist grundsätzlich klar, dass der Datenschutz im Unternehmen ernst genommen wird und ist von der Datenschutzbehörde zu berücksichtigen“, sagt Fiala. Eine externe Prüfung und Bestätigung der Konformität bedeute Sicherheit – Unternehmen bekommen verbrieft, gewissenhaft und DSGVO-konform zu agieren. Zudem haben Unternehmen mit entsprechender Zertifizierung einen Vorsprung gegenüber Mitbewerbern – und der lässt sich vermarkten: „Eine Bank zum Beispiel, die sich als erstes Finanzinstitut dem Thema DSGVO-Zertifizierung widmet, könnte dies öffentlichkeitswirksam kommunizieren“, argumentiert Fiala. Er ist überzeugt, dass in einigen Jahren die Zertifizierung in einigen Branchen zum Standard gehören wird. Bereits heute wird ein DSGVO-Zertifikat bei Ausschreibungen positiv mit Zusatzpunkten bewertet.