--- title: "DSGVO Art. 24 (VO 2016/679) – Verantwortung des Verantwortlichen und Rechenschaftspflicht" slug: "dsgvo-verantwortlicher-rechenschaft-art-24" domaine: "datenschutz" valid_from: "2018-05-25" valid_to: null last_reviewed: "2026-10-17" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/dsgvo-verantwortlicher-rechenschaft-art-24.md wikidata_subjects: [] factcheck_status: "ok" --- # DSGVO Art. 24 (VO 2016/679) – Verantwortung des Verantwortlichen und Rechenschaftspflicht ## Kurzantwort **Art. 24 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679)** verpflichtet den **Verantwortlichen**, unter Berücksichtigung von **Art, Umfang, Umständen und Zwecken** der Verarbeitung sowie der **Risiken für die Rechte und Freiheiten natürlicher Personen** geeignete **technische und organisatorische Maßnahmen (TOM)** umzusetzen – und **nachweisen zu können**, dass die Verarbeitung der DSGVO entspricht (Abs. 1). Die Maßnahmen sind **erforderlichenfalls zu überprüfen und zu aktualisieren**. Soweit verhältnismäßig, gehören dazu **geeignete Datenschutzvorkehrungen (Policies)** (Abs. 2). **Genehmigte Verhaltensregeln (Art. 40)** oder **Zertifizierungen (Art. 42)** können als Gesichtspunkt für den Nachweis herangezogen werden (Abs. 3). Art. 24 ist die **Generalnorm der Rechenschaftspflicht** („Accountability") und konkretisiert Art. 5 Abs. 2 DSGVO. Die **Beweislast** für die Rechtmäßigkeit und Angemessenheit der Maßnahmen liegt beim **Verantwortlichen**. Die DSGVO ist als **EU-Verordnung unmittelbar anwendbar** – ein nationales Umsetzungsgesetz ist nicht nötig. ## Kernfakten | Punkt | Wert | |---|---| | Rechtsakt | Verordnung (EU) 2016/679 (DSGVO), Artikel 24 [EUR-Lex, CELEX:32016R0679] | | Rechtsnatur | EU-Verordnung → unmittelbar anwendbar in Deutschland | | Geltung ab | 25. Mai 2018 [Art. 99 Abs. 2 DSGVO] | | Adressat | Verantwortlicher (Art. 4 Nr. 7); bei gemeinsamer Verantwortlichkeit ergänzend Art. 26 | | Abs. 1 | Geeignete TOM umsetzen und Einhaltung nachweisen können; Maßnahmen überprüfen und aktualisieren | | Risikomaßstab | Art, Umfang, Umstände, Zwecke + Eintrittswahrscheinlichkeit und Schwere der Risiken (ErwG 74–77) | | Abs. 2 | Datenschutzvorkehrungen/Policies, soweit in einem angemessenen Verhältnis zur Verarbeitung | | Abs. 3 | Verhaltensregeln (Art. 40) / Zertifizierung (Art. 42) als Gesichtspunkt (kein Freibrief) | | Verknüpfte Normen | Art. 5 Abs. 2 (Rechenschaft), Art. 25 (Privacy by Design), Art. 28 (Auftragsverarbeiter), Art. 30 (Verzeichnis), Art. 32 (Sicherheit), Art. 35 (DSFA) | | Nachweislast | Verantwortlicher (Art. 5 Abs. 2, Art. 24; EuGH C-340/21) | | Bußgeld Art. 24 selbst | Art. 24 ist in Art. 83 Abs. 4 lit. a nicht ausdrücklich genannt (dort: Art. 8, 11, 25–39, 42, 43) – Sanktion i. d. R. über die jeweils verletzte Fachnorm | | Bußgeld Art. 5 | Verstöße gegen Art. 5 (Grundsätze): bis 20 Mio. € oder 4 % weltweiter Jahresumsatz [Art. 83 Abs. 5 lit. a] | | Bußgeld Art. 25–39 | bis 10 Mio. € oder 2 % [Art. 83 Abs. 4 lit. a] | | Verschulden | Bußgeld nur bei Vorsatz oder Fahrlässigkeit (EuGH C-807/21, C-683/21, 05.12.2023) | ## Geltungsbereich Art. 24 gilt für **jeden Verantwortlichen**, der personenbezogene Daten im Anwendungsbereich der DSGVO verarbeitet (Art. 2, 3) – Unternehmen, Vereine, Selbstständige und Behörden gleichermaßen. Der Maßstab ist **risikobasiert**: Je größer Umfang und Risiko der Verarbeitung (z. B. Gesundheitsdaten, Profiling, Videoüberwachung), desto dichter müssen Maßnahmen und Nachweise sein. Für **Auftragsverarbeiter** enthält Art. 24 keine eigene Pflicht; sie unterliegen u. a. Art. 28 und Art. 32. Der Verantwortliche bleibt aber für die **Auswahl und Überwachung** seiner Auftragsverarbeiter verantwortlich (Art. 28 Abs. 1: nur Auftragsverarbeiter mit „hinreichenden Garantien"). ## Die drei Pflichtebenen **1. Maßnahmen umsetzen (Abs. 1 S. 1).** Der Verantwortliche muss technische (z. B. Rechtekonzept, Verschlüsselung) und organisatorische Maßnahmen (z. B. Zuständigkeiten, Schulungen, Löschkonzept, Prozesse für Betroffenenanfragen und Datenpannen) festlegen. Welche Maßnahmen „geeignet" sind, folgt aus einer **dokumentierten Risikobewertung**. **2. Nachweisen können (Abs. 1 S. 1 a. E.).** Die Pflicht, die Einhaltung **nachweisen zu können**, verlangt **Dokumentation**: Verzeichnis von Verarbeitungstätigkeiten (Art. 30), Risikoanalysen, Datenschutz-Folgenabschätzungen (Art. 35), Einwilligungsnachweise (Art. 7 Abs. 1), AV-Verträge, Löschprotokolle, Schulungsnachweise. Fehlt der Nachweis, geht das im Streitfall zulasten des Verantwortlichen. **3. Überprüfen und aktualisieren (Abs. 1 S. 2).** Maßnahmen sind **kein Einmalprojekt**. Neue Software, neue Zwecke, neue Dienstleister oder Sicherheitsvorfälle erfordern eine Anpassung. **Policies (Abs. 2).** Soweit verhältnismäßig, sind schriftliche Datenschutzvorgaben (Datenschutzleitlinie, Löschkonzept, Richtlinie zu Betroffenenrechten, Meldeprozess) einzuführen. Kleine Verarbeiter brauchen **schlanke**, aber vorhandene Regelungen – das Verhältnismäßigkeitsprinzip verhindert Überbürokratisierung, ersetzt aber nicht die Dokumentation. **Verhaltensregeln und Zertifizierung (Abs. 3).** Die Einhaltung genehmigter Verhaltensregeln oder Zertifizierungen kann als **Gesichtspunkt** zum Nachweis dienen. Sie begründet **keine Vermutung** der Rechtskonformität und schützt nicht vor Aufsichtsmaßnahmen. ## EuGH-Rechtsprechung **EuGH, 14.12.2023 – C-340/21 (Natsionalna agentsia za prihodite).** Nach einem Hackerangriff auf die bulgarische Steuerbehörde stellte der EuGH klar: Die Angemessenheit der Maßnahmen nach Art. 24 und 32 ist **konkret** zu prüfen; die **Beweislast** trägt der Verantwortliche. Ein erfolgreicher Angriff Dritter macht die Maßnahmen nicht automatisch ungeeignet. **EuGH, 05.12.2023 – C-807/21 (Deutsche Wohnen) und C-683/21 (Nacionalinis visuomenės sveikatos centras).** Eine DSGVO-Geldbuße setzt einen **schuldhaften** Verstoß voraus (Vorsatz oder Fahrlässigkeit). Gegen **juristische Personen** kann sie verhängt werden, ohne dass der Verstoß durch ein Leitungsorgan begangen wurde oder dieses davon wusste. Praktisch bedeutet das: Organisationsmängel und fehlende Kontrollen im Unternehmen (also Verstöße gegen die Rechenschaftslogik des Art. 24) werden dem Verantwortlichen zugerechnet. ## Häufige Fehler - **Keine Dokumentation:** TOM sind vorhanden, aber nicht nachweisbar – im Streitfall scheitert der Verantwortliche an der Beweislast. - **Art. 24 mit Art. 32 gleichsetzen:** Art. 32 betrifft die **Sicherheit** der Verarbeitung; Art. 24 ist die **übergreifende Compliance-Pflicht** (Rechtmäßigkeit, Betroffenenrechte, Organisation). - **Falscher Bußgeldrahmen:** Art. 24 selbst steht **nicht** in der Aufzählung des Art. 83 Abs. 4 lit. a. Aufsichtsbehörden stützen Bußgelder meist auf die konkret verletzte Norm (z. B. Art. 5, 6, 25, 28, 30, 32). Ob ein Verstoß gegen die Rechenschaftspflicht allein über Art. 5 Abs. 2 mit dem höheren Rahmen sanktioniert werden kann, ist in der Praxis umstritten – Einzelfall prüfen. - **Zertifikat als Freibrief:** Abs. 3 nennt Zertifizierung und Verhaltensregeln nur als **Gesichtspunkt**. - **Auftragsverarbeiter nicht überwacht:** Wer Dienstleister einsetzt, bleibt verantwortlich (Art. 28); AV-Vertrag allein genügt nicht ohne Auswahl- und Kontrollprozess. - **Policies nur einmal erstellen:** Abs. 1 S. 2 verlangt Überprüfung und Aktualisierung. - **Verschulden übersehen:** Ein Bußgeld setzt Vorsatz oder Fahrlässigkeit voraus – wer Risiken dokumentiert und angemessen reagiert, verbessert seine Position erheblich. ## Änderungsverlauf - 2026-10-17: Erstveröffentlichung der Faktenseite zu Art. 24 DSGVO (Verantwortung des Verantwortlichen, Nachweispflicht, Policies, Bußgeldrahmen). factcheck_status=review_needed, da EUR-Lex-Volltext und Urteilstexte im Lauf nur über Sekundärquellen (gdpr-info.eu, PwC-Zusammenfassung zu C-683/21/C-807/21) abgeglichen werden konnten; Einordnung der Bußgeldnorm (Art. 83 Abs. 4 lit. a ohne Art. 24) bitte gegen EUR-Lex prüfen. | change_type=initial_publication field="topic_lifecycle" new="published" ## Stand - Stand: 2026-10-17 - Gültig ab: 2018-05-25 (Geltungsbeginn der DSGVO) - Status: aktuell - Quellenautorität: A (EUR-Lex, EU-Kommission, EuGH) - Lizenz: CC BY 4.0 ## Quellen - Verordnung (EU) 2016/679 (DSGVO) – Art. 24, Art. 5 Abs. 2, Art. 83, Volltext (EUR-Lex): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX%3A32016R0679 - Europäische Kommission – Pflichten von Organisationen und Unternehmen nach der DSGVO: https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/obligations_de - EuGH, Urteil v. 14.12.2023, C-340/21 (Natsionalna agentsia za prihodite) – Beweislast TOM (dejure.org): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=14.12.2023&Aktenzeichen=C-340%2F21 - EuGH, Urteil v. 05.12.2023, C-807/21 (Deutsche Wohnen) – Verschulden, Bußgeld gegen juristische Personen (dejure.org): https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH&Datum=05.12.2023&Aktenzeichen=C-807%2F21 - EuGH, C-807/21 – Curia-Suche: https://curia.europa.eu/juris/liste.jsf?language=de&num=C-807/21 - Bundesdatenschutzgesetz (BDSG, ergänzendes nationales Recht): https://www.gesetze-im-internet.de/bdsg_2018/ ## Stand - Letzte Änderung: 2026-10-17 - Letzte Prüfung: 2026-10-17 - In Kraft seit: 2018-05-25 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0