Welche häufigen Fehler gibt es bei DSGVO Art. 24 (VO 2016/679)?

Keine Dokumentation: TOM sind vorhanden, aber nicht nachweisbar – im Streitfall scheitert der Verantwortliche an der Beweislast. Art. 24 mit Art. 32 gleichsetzen: Art. 32 betrifft die Sicherheit der Verarbeitung; Art. 24 ist die übergreifende Compliance-Pflicht (Rechtmäßigkeit, Betroffenenrechte, Organisation). Falscher Bußgeldrahmen: Art. 24 selbst steht nicht in der Aufzählung des Art. 83 Abs. 4 lit. a.

DSGVO Art. 24 (VO 2016/679) – Verantwortung des Verantwortlichen und Rechenschaftspflicht In Kraft

Q: Für wen gilt DSGVO Art. 24 (VO 2016/679)?

Art. 24 gilt für jeden Verantwortlichen, der personenbezogene Daten im Anwendungsbereich der DSGVO verarbeitet (Art. 2, 3) – Unternehmen, Vereine, Selbstständige und Behörden gleichermaßen. Der Maßstab ist risikobasiert: Je größer Umfang und Risiko der Verarbeitung (z. B. Gesundheitsdaten, Profiling, Videoüberwachung), desto dichter müssen Maßnahmen und Nachweise sein. Für Auftragsverarbeiter enthält Art.

Kurzantwort **Art. 24 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679)** verpflichtet den **Verantwortlichen**, unter Berücksichtigung von **Art, Umfang, Umständen und Zwecken** der Verarbeitung sowie der **Risiken für die Rechte und Freiheiten natürlicher Personen** geeignete **technische und organisatorische Maßnahmen (TOM)** umzusetzen – und **nachweisen zu können**, dass die Verarbeitung der DSGVO entspricht (Abs. 1). Die Maßnahmen sind **erforderlichenfalls zu überprüfen und zu aktualisieren**. Soweit verhältnismäßig, gehören dazu **geeignete Datenschutzvorkehrungen (Policies)** (Abs. 2). **Genehmigte Verhaltensregeln (Art. 40)** oder **Zertifizierungen (Art. 42)** können als Gesichtspunkt für den Nachweis herangezogen werden (Abs. 3). Art. 24 ist die **Generalnorm der Rechenschaftspflicht** („Accountability") und konkretisiert Art. 5 Abs. 2 DSGVO. Die **Beweislast** für die Rechtmäßigkeit und Angemessenheit der Maßnahmen liegt beim **Verantwortlichen**. Die DSGVO ist als **EU-Verordnung unmittelbar anwendbar** – ein nationales Umsetzungsgesetz ist nicht nötig.

Kernfakten

Punkt	Wert
Rechtsakt	Verordnung (EU) 2016/679 (DSGVO), Artikel 24 [EUR-Lex, CELEX:32016R0679]
Rechtsnatur	EU-Verordnung → unmittelbar anwendbar in Deutschland
Geltung ab	25. Mai 2018 [Art. 99 Abs. 2 DSGVO]
Adressat	Verantwortlicher (Art. 4 Nr. 7); bei gemeinsamer Verantwortlichkeit ergänzend Art. 26
Abs. 1	Geeignete TOM umsetzen und Einhaltung nachweisen können; Maßnahmen überprüfen und aktualisieren
Risikomaßstab	Art, Umfang, Umstände, Zwecke + Eintrittswahrscheinlichkeit und Schwere der Risiken (ErwG 74–77)
Abs. 2	Datenschutzvorkehrungen/Policies, soweit in einem angemessenen Verhältnis zur Verarbeitung
Abs. 3	Verhaltensregeln (Art. 40) / Zertifizierung (Art. 42) als Gesichtspunkt (kein Freibrief)
Verknüpfte Normen	Art. 5 Abs. 2 (Rechenschaft), Art. 25 (Privacy by Design), Art. 28 (Auftragsverarbeiter), Art. 30 (Verzeichnis), Art. 32 (Sicherheit), Art. 35 (DSFA)
Nachweislast	Verantwortlicher (Art. 5 Abs. 2, Art. 24; EuGH C-340/21)
Bußgeld Art. 24 selbst	Art. 24 ist in Art. 83 Abs. 4 lit. a nicht ausdrücklich genannt (dort: Art. 8, 11, 25–39, 42, 43) – Sanktion i. d. R. über die jeweils verletzte Fachnorm
Bußgeld Art. 5	Verstöße gegen Art. 5 (Grundsätze): bis 20 Mio. € oder 4 % weltweiter Jahresumsatz [Art. 83 Abs. 5 lit. a]
Bußgeld Art. 25–39	bis 10 Mio. € oder 2 % [Art. 83 Abs. 4 lit. a]
Verschulden	Bußgeld nur bei Vorsatz oder Fahrlässigkeit (EuGH C-807/21, C-683/21, 05.12.2023)

Geltungsbereich

Art. 24 gilt für jeden Verantwortlichen, der personenbezogene Daten im Anwendungsbereich der DSGVO verarbeitet (Art. 2, 3) – Unternehmen, Vereine, Selbstständige und Behörden gleichermaßen. Der Maßstab ist risikobasiert: Je größer Umfang und Risiko der Verarbeitung (z. B. Gesundheitsdaten, Profiling, Videoüberwachung), desto dichter müssen Maßnahmen und Nachweise sein. Für Auftragsverarbeiter enthält Art. 24 keine eigene Pflicht; sie unterliegen u. a. Art. 28 und Art. 32. Der Verantwortliche bleibt aber für die Auswahl und Überwachung seiner Auftragsverarbeiter verantwortlich (Art. 28 Abs. 1: nur Auftragsverarbeiter mit „hinreichenden Garantien").

Die drei Pflichtebenen

1. Maßnahmen umsetzen (Abs. 1 S. 1). Der Verantwortliche muss technische (z. B. Rechtekonzept, Verschlüsselung) und organisatorische Maßnahmen (z. B. Zuständigkeiten, Schulungen, Löschkonzept, Prozesse für Betroffenenanfragen und Datenpannen) festlegen. Welche Maßnahmen „geeignet" sind, folgt aus einer dokumentierten Risikobewertung.

2. Nachweisen können (Abs. 1 S. 1 a. E.). Die Pflicht, die Einhaltung nachweisen zu können, verlangt Dokumentation: Verzeichnis von Verarbeitungstätigkeiten (Art. 30), Risikoanalysen, Datenschutz-Folgenabschätzungen (Art. 35), Einwilligungsnachweise (Art. 7 Abs. 1), AV-Verträge, Löschprotokolle, Schulungsnachweise. Fehlt der Nachweis, geht das im Streitfall zulasten des Verantwortlichen.

3. Überprüfen und aktualisieren (Abs. 1 S. 2). Maßnahmen sind kein Einmalprojekt. Neue Software, neue Zwecke, neue Dienstleister oder Sicherheitsvorfälle erfordern eine Anpassung.

Policies (Abs. 2). Soweit verhältnismäßig, sind schriftliche Datenschutzvorgaben (Datenschutzleitlinie, Löschkonzept, Richtlinie zu Betroffenenrechten, Meldeprozess) einzuführen. Kleine Verarbeiter brauchen schlanke, aber vorhandene Regelungen – das Verhältnismäßigkeitsprinzip verhindert Überbürokratisierung, ersetzt aber nicht die Dokumentation.

Verhaltensregeln und Zertifizierung (Abs. 3). Die Einhaltung genehmigter Verhaltensregeln oder Zertifizierungen kann als Gesichtspunkt zum Nachweis dienen. Sie begründet keine Vermutung der Rechtskonformität und schützt nicht vor Aufsichtsmaßnahmen.

EuGH-Rechtsprechung

EuGH, 14.12.2023 – C-340/21 (Natsionalna agentsia za prihodite). Nach einem Hackerangriff auf die bulgarische Steuerbehörde stellte der EuGH klar: Die Angemessenheit der Maßnahmen nach Art. 24 und 32 ist konkret zu prüfen; die Beweislast trägt der Verantwortliche. Ein erfolgreicher Angriff Dritter macht die Maßnahmen nicht automatisch ungeeignet.

EuGH, 05.12.2023 – C-807/21 (Deutsche Wohnen) und C-683/21 (Nacionalinis visuomenės sveikatos centras). Eine DSGVO-Geldbuße setzt einen schuldhaften Verstoß voraus (Vorsatz oder Fahrlässigkeit). Gegen juristische Personen kann sie verhängt werden, ohne dass der Verstoß durch ein Leitungsorgan begangen wurde oder dieses davon wusste. Praktisch bedeutet das: Organisationsmängel und fehlende Kontrollen im Unternehmen (also Verstöße gegen die Rechenschaftslogik des Art. 24) werden dem Verantwortlichen zugerechnet.

Häufige Fehler

Keine Dokumentation: TOM sind vorhanden, aber nicht nachweisbar – im Streitfall scheitert der Verantwortliche an der Beweislast.
Art. 24 mit Art. 32 gleichsetzen: Art. 32 betrifft die Sicherheit der Verarbeitung; Art. 24 ist die übergreifende Compliance-Pflicht (Rechtmäßigkeit, Betroffenenrechte, Organisation).
Falscher Bußgeldrahmen: Art. 24 selbst steht nicht in der Aufzählung des Art. 83 Abs. 4 lit. a. Aufsichtsbehörden stützen Bußgelder meist auf die konkret verletzte Norm (z. B. Art. 5, 6, 25, 28, 30, 32). Ob ein Verstoß gegen die Rechenschaftspflicht allein über Art. 5 Abs. 2 mit dem höheren Rahmen sanktioniert werden kann, ist in der Praxis umstritten – Einzelfall prüfen.
Zertifikat als Freibrief: Abs. 3 nennt Zertifizierung und Verhaltensregeln nur als Gesichtspunkt.
Auftragsverarbeiter nicht überwacht: Wer Dienstleister einsetzt, bleibt verantwortlich (Art. 28); AV-Vertrag allein genügt nicht ohne Auswahl- und Kontrollprozess.
Policies nur einmal erstellen: Abs. 1 S. 2 verlangt Überprüfung und Aktualisierung.
Verschulden übersehen: Ein Bußgeld setzt Vorsatz oder Fahrlässigkeit voraus – wer Risiken dokumentiert und angemessen reagiert, verbessert seine Position erheblich.

Änderungsverlauf

2026-10-17: Erstveröffentlichung der Faktenseite zu Art. 24 DSGVO (Verantwortung des Verantwortlichen, Nachweispflicht, Policies, Bußgeldrahmen). factcheck_status=review_needed, da EUR-Lex-Volltext und Urteilstexte im Lauf nur über Sekundärquellen (gdpr-info.eu, PwC-Zusammenfassung zu C-683/21/C-807/21) abgeglichen werden konnten; Einordnung der Bußgeldnorm (Art. 83 Abs. 4 lit. a ohne Art. 24) bitte gegen EUR-Lex prüfen. | change_type=initial_publication field="topic_lifecycle" new="published"

Stand

Stand: 2026-10-17
Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO)
Status: aktuell
Quellenautorität: A (EUR-Lex, EU-Kommission, EuGH)
Lizenz: CC BY 4.0

Quellen

Verordnung (EU) 2016/679 (DSGVO) – Art. 24, Art. 5 Abs. 2, Art. 83, Volltext (EUR-Lex): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679 A
Europäische Kommission – Pflichten von Organisationen und Unternehmen nach der DSGVO: https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/obligations_de A
EuGH, Urteil v. 14.12.2023, C-340/21 (Natsionalna agentsia za prihodite) – Beweislast TOM (dejure.org): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=14.12.2023&Aktenzeichen=C-340%2F21 A
EuGH, Urteil v. 05.12.2023, C-807/21 (Deutsche Wohnen) – Verschulden, Bußgeld gegen juristische Personen (dejure.org): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=05.12.2023&Aktenzeichen=C-807%2F21 A
EuGH, C-807/21 – Curia-Suche: https://curia.europa.eu/juris/liste.jsf?language=de&num=C-807/21 A
Bundesdatenschutzgesetz (BDSG, ergänzendes nationales Recht): https://www.gesetze-im-internet.de/bdsg_2018/ A

Letzte Änderung:: 2026-10-17
Letzte Prüfung:: 2026-10-17
In Kraft seit:: 2018-05-25
Status:: In Kraft
Quellen-Autorität:: A
Lizenz:: CC BY 4.0

Fehler gefunden? Bitte melden an info@nexvyra.fr.