Die Rechenschaftspflicht ist ein allgemeiner Grundsatz für Organisationen in vielen verschiedenen Bereichen. Durch sie soll sichergestellt werden, dass Organisationen die in sie gesetzten Erwartungen – etwa in Bezug auf die Lieferung ihrer Produkte und das Verhalten gegenüber den Akteuren, mit denen sie interagieren – erfüllen. In der Datenschutz-Grundverordnung (DSGVO) äußert sich die Rechenschaftspflicht als Grundsatz, wonach Organisationen geeignete technische und organisatorische Maßnahmen ergreifen und in der Lage sein müssen, auf Anfrage nachzuweisen, was sie getan haben, und die Wirksamkeit ihrer Handlungen zu belegen.
Organisationen – und nicht Datenschutzbehörden – müssen nachweisen, dass sie die Gesetze achten. Dies umfasst unter anderem folgende Maßnahmen: angemessene Dokumentation darüber, welche Daten auf welche Weise, zu welchem Zweck und für wie lange verarbeitet werden; dokumentierte Prozesse und Verfahren zur frühzeitigen Lösung von Datenschutzproblemen beim Aufbau von Informationssystemen oder zur Reaktion auf Datenschutzverletzungen; die Einbindung eines Datenschutzbeauftragten in die organisatorische Planung und Betriebsabläufe usw.
Im Jahr 2015 initiierte der EDSB mit Blick auf die DSGVO ein Projekt zur Ausarbeitung eines Rahmens, um innerhalb unserer eigenen Organisation – in ihrer Rolle als Institution, Verwalter finanzieller und personeller Ressourcen und Verantwortlicher – für mehr Rechenschaftspflicht bei der Datenverarbeitung zu sorgen.
Darüber hinaus begannen wir, den Grundsatz der Rechenschaftspflicht durch Besuche bei kleinen, mittleren und großen EU-Einrichtungen zu fördern. Zweck dieser Besuche war es, die neuen Pflichten, die sich aus dem überarbeiteten Rechtsrahmen ergeben, sowie die Auswirkungen für EU-Organe und die Arbeit des EDSB als deren Aufsichtsbehörde zu erläutern.