wie weise ich nach, dass ich die DSGVO einhaltbar bin, ohne teure Zertifizierung

Ja, mit Dokumenten und nachweisbarem Verhalten statt eines Zertifikats

Ein ISO-Zertifikat ist keine gesetzliche Anforderung nach der DSGVO, und das Fehlen eines solchen Zertifikats bedeutet nicht, dass ein Unternehmen die DSGVO nicht einhält. Was die DSGVO fordert, ist die sogenannte Rechenschaftspflicht: Eine Organisation muss nachweisen können, dass sie die Grundsätze der Verordnung einhält, nicht dass sie ein Gütesiegel hat. Diesen Nachweis erbringt man in der Praxis durch eine Kombination aus Dokumenten, festgehaltenen Absprachen und ordnungsgemäßen Arbeitsabläufen: ein aktuelles Verzeichnis der Verarbeitungstätigkeiten, unterzeichnete Datenverarbeitungsverträge mit Lieferanten, eine Datenschutzerklärung und den Nachweis, dass Risiken bei neuen Verarbeitungen durchdacht wurden.

In der Praxis läuft dies meist auf eine Dokumentensammlung hinaus, die mit dem Geschäftsbetrieb wächst, nicht auf ein einziges Gütesiegel, das man irgendwann erhält. Denken Sie an die Frage was in ein Verarbeitungsverzeichnis aufgeführt werden muss und, für einen Einzelunternehmer, ob dafür auch die Führung eines Verzeichnisses der Verarbeitungstätigkeiten erforderlich ist. Auch eine gute Antwort auf die Datenschutz-Checkliste eines Kunden oder auf was eine Ausschreibung zu Datenschutz fragt zählt als Nachweis: Eine Organisation, die solche Fragen mit konkreten Dokumenten beantworten kann, weist in der Praxis mehr nach als ein Zertifikat an der Wand.

Grundlage hierfür: Artikel 5 und Artikel 28 DSGVO

Die Rechenschaftspflicht steht in Artikel 5 der DSGVO, der die Grundsätze der Verordnung benennt und ausdrücklich festlegt, dass der Verantwortliche diese Grundsätze nachweisen muss. Artikel 28 der DSGVO regelt außerdem die Absprachen, die mit Auftragsverarbeitern getroffen werden müssen, und diese Absprachen bilden selbst einen Teil des Nachweises. Was eine Aufsichtsbehörde bei einer Prüfung konkret sehen will, ist kein Zertifikat, sondern genau solche Dokumente — siehe auch was du zeigen kannst, wenn die niederländische Datenschutzbehörde eine Kontrolle durchführt. Diese Anforderungen gelten unmittelbar in der gesamten EU; wer sich fragt, wie er danach beurteilt wird, unterliegt der Aufsichtsbehörde des Landes, in dem er ansässig ist — in den Niederlanden ist das die niederländische Datenschutzbehörde, in anderen Mitgliedstaaten die nationale Aufsichtsbehörde dort.