{
    "slug": "dsgvo-verantwortlicher-rechenschaft-art-24",
    "titre": "DSGVO Art. 24 (VO 2016/679) – Verantwortung des Verantwortlichen und Rechenschaftspflicht",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Art. 24 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) verpflichtet den Verantwortlichen, unter Berücksichtigung von Art, Umfang, Umständen und…",
    "resume_court": "**Art. 24 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679)** verpflichtet den **Verantwortlichen**, unter Berücksichtigung von **Art, Umfang, Umständen und Zwecken** der Verarbeitung sowie der **Risiken für die Rechte und Freiheiten natürlicher Personen** geeignete **technische und organisatorische Maßnahmen (TOM)** umzusetzen – und **nachweisen zu können**, dass die Verarbeitung der DSGVO entspricht (Abs. 1). Die Maßnahmen sind **erforderlichenfalls zu überprüfen und zu aktualisieren**. Soweit verhältnismäßig, gehören dazu **geeignete Datenschutzvorkehrungen (Policies)** (Abs. 2). **Genehmigte Verhaltensregeln (Art. 40)** oder **Zertifizierungen (Art. 42)** können als Gesichtspunkt für den Nachweis herangezogen werden (Abs. 3).\n\nArt. 24 ist die **Generalnorm der Rechenschaftspflicht** („Accountability\u0022) und konkretisiert Art. 5 Abs. 2 DSGVO. Die **Beweislast** für die Rechtmäßigkeit und Angemessenheit der Maßnahmen liegt beim **Verantwortlichen**. Die DSGVO ist als **EU-Verordnung unmittelbar anwendbar** – ein nationales Umsetzungsgesetz ist nicht nötig.",
    "faits": [
        {
            "point": "Rechtsakt",
            "valeur": "Verordnung (EU) 2016/679 (DSGVO), Artikel 24 [EUR-Lex, CELEX:32016R0679]",
            "autorite": "A"
        },
        {
            "point": "Rechtsnatur",
            "valeur": "EU-Verordnung → unmittelbar anwendbar in Deutschland",
            "autorite": "A"
        },
        {
            "point": "Geltung ab",
            "valeur": "25. Mai 2018 [Art. 99 Abs. 2 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Adressat",
            "valeur": "Verantwortlicher (Art. 4 Nr. 7); bei gemeinsamer Verantwortlichkeit ergänzend Art. 26",
            "autorite": "A"
        },
        {
            "point": "Abs. 1",
            "valeur": "Geeignete TOM umsetzen und Einhaltung nachweisen können; Maßnahmen überprüfen und aktualisieren",
            "autorite": "A"
        },
        {
            "point": "Risikomaßstab",
            "valeur": "Art, Umfang, Umstände, Zwecke + Eintrittswahrscheinlichkeit und Schwere der Risiken (ErwG 74–77)",
            "autorite": "A"
        },
        {
            "point": "Abs. 2",
            "valeur": "Datenschutzvorkehrungen/Policies, soweit in einem angemessenen Verhältnis zur Verarbeitung",
            "autorite": "A"
        },
        {
            "point": "Abs. 3",
            "valeur": "Verhaltensregeln (Art. 40) / Zertifizierung (Art. 42) als Gesichtspunkt (kein Freibrief)",
            "autorite": "A"
        },
        {
            "point": "Verknüpfte Normen",
            "valeur": "Art. 5 Abs. 2 (Rechenschaft), Art. 25 (Privacy by Design), Art. 28 (Auftragsverarbeiter), Art. 30 (Verzeichnis), Art. 32 (Sicherheit), Art. 35 (DSFA)",
            "autorite": "A"
        },
        {
            "point": "Nachweislast",
            "valeur": "Verantwortlicher (Art. 5 Abs. 2, Art. 24; EuGH C-340/21)",
            "autorite": "A"
        },
        {
            "point": "Bußgeld Art. 24 selbst",
            "valeur": "Art. 24 ist in Art. 83 Abs. 4 lit. a nicht ausdrücklich genannt (dort: Art. 8, 11, 25–39, 42, 43) – Sanktion i. d. R. über die jeweils verletzte Fachnorm",
            "autorite": "A"
        },
        {
            "point": "Bußgeld Art. 5",
            "valeur": "Verstöße gegen Art. 5 (Grundsätze): bis 20 Mio. € oder 4 % weltweiter Jahresumsatz [Art. 83 Abs. 5 lit. a]",
            "autorite": "A"
        },
        {
            "point": "Bußgeld Art. 25–39",
            "valeur": "bis 10 Mio. € oder 2 % [Art. 83 Abs. 4 lit. a]",
            "autorite": "A"
        },
        {
            "point": "Verschulden",
            "valeur": "Bußgeld nur bei Vorsatz oder Fahrlässigkeit (EuGH C-807/21, C-683/21, 05.12.2023)",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Verordnung (EU) 2016/679 (DSGVO) – Art. 24, Art. 5 Abs. 2, Art. 83, Volltext (EUR-Lex)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679",
            "autorite": "A"
        },
        {
            "titre": "Europäische Kommission – Pflichten von Organisationen und Unternehmen nach der DSGVO",
            "url": "https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/obligations_de",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Urteil v. 14.12.2023, C-340/21 (Natsionalna agentsia za prihodite) – Beweislast TOM (dejure.org)",
            "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH\u0026Datum=14.12.2023\u0026Aktenzeichen=C-340%2F21",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Urteil v. 05.12.2023, C-807/21 (Deutsche Wohnen) – Verschulden, Bußgeld gegen juristische Personen (dejure.org)",
            "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH\u0026Datum=05.12.2023\u0026Aktenzeichen=C-807%2F21",
            "autorite": "A"
        },
        {
            "titre": "EuGH, C-807/21 – Curia-Suche",
            "url": "https://curia.europa.eu/juris/liste.jsf?language=de\u0026num=C-807/21",
            "autorite": "A"
        },
        {
            "titre": "Bundesdatenschutzgesetz (BDSG, ergänzendes nationales Recht)",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt DSGVO Art. 24 (VO 2016/679) – Verantwortung des Verantwortlichen und Rechenschaftspflicht?",
            "reponse": "Art. 24 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) verpflichtet den Verantwortlichen, unter Berücksichtigung von Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen (TOM) umzusetzen – und nachweisen zu können, dass die Verarbeitung der DSGVO entspricht (Abs. 1)."
        },
        {
            "question": "Für wen gilt DSGVO Art. 24 (VO 2016/679)?",
            "reponse": "Art. 24 gilt für jeden Verantwortlichen, der personenbezogene Daten im Anwendungsbereich der DSGVO verarbeitet (Art. 2, 3) – Unternehmen, Vereine, Selbstständige und Behörden gleichermaßen. Der Maßstab ist risikobasiert: Je größer Umfang und Risiko der Verarbeitung (z. B. Gesundheitsdaten, Profiling, Videoüberwachung), desto dichter müssen Maßnahmen und Nachweise sein. Für Auftragsverarbeiter enthält Art."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei DSGVO Art. 24 (VO 2016/679)?",
            "reponse": "Keine Dokumentation: TOM sind vorhanden, aber nicht nachweisbar – im Streitfall scheitert der Verantwortliche an der Beweislast. Art. 24 mit Art. 32 gleichsetzen: Art. 32 betrifft die Sicherheit der Verarbeitung; Art. 24 ist die übergreifende Compliance-Pflicht (Rechtmäßigkeit, Betroffenenrechte, Organisation). Falscher Bußgeldrahmen: Art. 24 selbst steht nicht in der Aufzählung des Art. 83 Abs. 4 lit. a."
        }
    ],
    "wikidata": [
        "Q1172506",
        "Q60520997"
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-10-17",
    "derniere_verification": "2026-10-17",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/dsgvo-verantwortlicher-rechenschaft-art-24"
}