Art. 24 DSGVO ist eine strukturelle Vorschrift. Sie verpflichtet den Verantwortlichen nicht nur zur Einhaltung der DSGVO, sondern zur aktiven Einrichtung eines Systems, das deren Einhaltung dauerhaft gewährleistet. Diese Norm bildet die Grundlage für jedes funktionierende Datenschutzmanagement. Während andere Vorschriften konkrete Pflichten regeln, bestimmt Art. 24 DSGVO die Organisationsverantwortung als dauerhafte Leitlinie.
Die Rechtsprechung misst dieser Norm erhebliche Bedeutung bei. Der EuGH hat in der Entscheidung C-340/21 die Nachweispflicht und Strukturverantwortung besonders hervorgehoben. Auch das LG Wuppertal sowie verschiedene Finanzgerichte (u. a. FG Berlin-Brandenburg) betonen, dass interne Organisationsfehler nicht lediglich technische Missgeschicke darstellen, sondern eigenständige Datenschutzverstöße. Art. 24 DSGVO ist damit kein abstrakter Grundsatz, sondern eine unmittelbar wirksame Pflichtnorm, deren Verletzung regelmäßig zu erheblichen Sanktionen führt.
Art. 24 DSGVO verpflichtet Verantwortliche, geeignete technische und organisatorische Maßnahmen (TOM) zu ergreifen und laufend anzupassen. Die Maßnahmen müssen geeignet sein, die Einhaltung der gesamten DSGVO sicherzustellen. Unternehmen müssen die Wirksamkeit nachweisen können – ein Kernelement der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO.
Die Kombination aus Art. 24 und Art. 5 Abs. 2 DSGVO bedeutet:
Nicht der Betroffene muss Fehler nachweisen, sondern der Verantwortliche muss jederzeit eine funktionierende Organisation belegen.
Art. 24 DSGVO ist eng verknüpft mit:
Fehlt es an Strukturen, geraten zahlreiche Pflichten gleichzeitig ins Wanken.
Die Entscheidung des EuGH in C-340/21 betont ausdrücklich:
Organisationen müssen nachweisen, dass Strukturen existieren, die Datenverarbeitung kontrollierbar machen.
Das LG Wuppertal stellt klar:
Organisationsfehler sind eigenständige Verstöße – unabhängig davon, ob konkrete Schäden eingetreten sind.
Das FG Berlin-Brandenburg führt aus:
Dokumentationsmängel belegen regelmäßig die Verletzung der Rechenschaftspflicht.
Viele Organisationen verfügen über keinen definierten Ablauf zur Bearbeitung von Auskunftsersuchen nach Art. 15 DSGVO. Anfragen werden zufällig verteilt oder anhand individueller Entscheidungen bearbeitet. Dies führt dazu, dass Fristen überschritten werden oder Informationen unvollständig bleiben.
Art. 5 Abs. 2 DSGVO fordert vollständige Dokumentation.
In der Praxis fehlt häufig:
Das FG Berlin-Brandenburg stuft solche Dokumentationsdefizite als gravierende Verstöße ein.
In größeren Organisationen sind Zuständigkeiten oft fragmentiert. Datenschutzbeauftragte werden zu spät eingebunden oder verfügen nicht über ausreichende Ressourcen. Unklare Verantwortlichkeiten führen dazu, dass Vorgänge zwischen Abteilungen liegen bleiben.
Art. 32 DSGVO verlangt ein angemessenes Sicherheitsniveau.
Organisationsfehler zeigen sich insbesondere in:
Art. 24 DSGVO setzt voraus, dass Risiken erkannt und bewertet werden. Viele Organisationen führen keine Risikoanalysen durch oder berücksichtigen neue Verarbeitungstätigkeiten nicht. Dadurch werden Maßnahmen nicht aktualisiert, obwohl sich die Risiken verändern.
Datenschutz ist in Unternehmen häufig kein zentraler Bestandteil der internen Kommunikation. Werden Informationen nicht weitergegeben oder fehlen Eskalationsmechanismen, entstehen Verzögerungen und Fehleinschätzungen.
Die Norm ist nicht nur akzessorisch, sondern verpflichtet unmittelbar zur organisatorischen Qualität. Unternehmen müssen nicht nur punktuell reagieren, sondern dauerhaft wirksame Systeme schaffen.
Die Literatur und Rechtsprechung betonen, dass Art. 24 DSGVO eine Strukturverantwortung enthält, die über klassische Compliance-Modelle hinausgeht. Die Pflicht besteht unabhängig davon, ob konkrete Verstöße sichtbar werden.
Art. 24 Abs. 1 DSGVO verlangt, dass Verantwortliche die getroffenen Maßnahmen nicht nur treffen, sondern auch nachweisen können. Der EuGH führt in C-340/21 aus, dass der Verantwortliche hierfür die volle Beweislast trägt.
Fehlt der Nachweis, liegt der Verstoß bereits vor.
Die Maßnahmen müssen der Art, dem Umfang, dem Kontext und dem Risiko der Verarbeitung entsprechen.
Je größer oder komplexer die Organisation, desto höher die Anforderungen.
Organisationsfehler wirken sich nicht nur technisch, sondern strukturell aus. Sie führen dazu, dass Betroffenenrechte nicht fristgerecht, unvollständig oder gar nicht erfüllt werden. Betroffene können:
Die Rechtsordnung bewertet dies nicht als Nebenproblem. Die Rechtsprechung (u. a. LG Leipzig, LG Osnabrück) betont, dass bereits der Zustand der Ungewissheit über die Datenverarbeitung ein immaterieller Schaden im Sinne von Art. 82 DSGVO sein kann.
Organisationsfehler werden von Aufsichtsbehörden besonders streng bewertet, weil sie auf systemische Defizite hinweisen. Ein einzelner Fehler kann entschuldbar sein – strukturelle Defizite nicht.
Gerichte wie LG Leipzig, LG Bonn, LG Osnabrück und OLG Frankfurt wenden Art. 82 DSGVO konsequent an, wenn Betroffene darlegen können, dass die Organisation des Verantwortlichen unzureichend war.
Organisationsfehler wirken nicht punktuell, sondern kontinuierlich. Sie führen regelmäßig zu Folgeverstößen, etwa:
Eine Organisation, die strukturell fehlerhaft arbeitet, verliert Vertrauen. Dies trifft insbesondere auf datenintensive Branchen zu.
Ein datenschutzkonformes System muss mindestens folgende Elemente umfassen:
Diese Anforderungen werden durch die Rechtsprechung gestützt. Das OVG Hamburg betont die Bedeutung strukturierter Datensteuerung. Das LG Wuppertal hebt die Pflicht zur Überwachung und Anpassung hervor. Der EuGH unterstreicht die kontinuierliche Prüfbarkeit der TOM.
Wenn Betroffene Anzeichen für Organisationsfehler erkennen, etwa verspätete oder unvollständige Auskünfte, sollten sie:
Die Rechtsordnung füllt die bestehenden Lücken konsequent zugunsten der Betroffenen.
Art. 24 DSGVO ist eine Schlüsselnorm des Datenschutzrechts. Organisationsfehler sind nicht nur technische Versäumnisse, sondern strukturelle Rechtsverstöße. Unternehmen müssen funktionierende Systeme entwickeln, die Betroffenenrechte sichern, Risiken kontrollieren und Transparenz gewährleisten. Die Rechtsprechung hat die Anforderungen klar definiert: Ohne nachweisbare Strukturen ist die Verarbeitung personenbezogener Daten nicht rechtskonform.
Wenn Sie prüfen möchten, ob ein Unternehmen seine Organisationspflichten nach Art. 24 DSGVO erfüllt oder ob strukturelle Defizite zu Datenschutzverstößen geführt haben, stehe ich Ihnen für eine vertrauliche und strukturierte Beratung zur Verfügung.
Telefon: 0160 9955 5525
Kontakt: https://www.hortmannlaw.com/contact
Wenn Sie weitere Hintergrundanalysen zum Datenschutz suchen, finden Sie hier die wichtigsten vertiefenden Beiträge:
Wir helfen Ihnen gerne persönlich weiter – schildern Sie uns Ihr Anliegen und wir finden gemeinsam eine Lösung.
Entdecken Sie weitere Beiträge zu aktuellen Themen rund um Digitalrecht, Cybercrime, Datenschutz, KI und Steuerrecht. Unsere verwandten Artikel geben Ihnen zusätzliche Einblicke und vertiefende Analysen.