Prüfprotokoll: eine belastbare Aufzeichnung führen

Warum das eine eigene Diskussion wert ist, nicht nur eine Randbemerkung

Prüfprotokolle kommen in dieser Wissensdatenbank immer wieder als unterstützendes Detail vor — eine Aufbewahrungssperre wird protokolliert, die Lösung eines Repressalien-Vorfalls wird protokolliert, eine Löschung wird protokolliert. Was nirgends direkt gesagt wird, ist, warum diese Protokollierung das ist, was tatsächlich zählt, nicht die Handlung, an die sie geknüpft ist. Der Rechenschaftspflicht-Grundsatz der DSGVO (Art. 5(2)) verlangt nicht nur, dass ein Unternehmen das Datenschutzrecht einhält — er verlangt, diese Einhaltung nachweisen zu können, und Art. 24 setzt das in eine konkrete Pflicht um, Maßnahmen umzusetzen, die diesen Nachweis überhaupt erst möglich machen. Eine ehrlich geführte Aufzeichnung dessen, was passiert ist, ist der Grund, warum "wir haben das ordnungsgemäß behandelt" aufhört, eine Behauptung zu sein, und zu etwas wird, das Sie tatsächlich zeigen können.

Was eine belastbare Aufzeichnung tatsächlich erfassen muss

Der nützliche Test für jedes Prüfprotokoll, welche Plattform es auch erzeugt: Könnte jemand außerhalb des Unternehmens — eine Behörde, ein Gericht, eine Beschäftigte, die sich unfair behandelt fühlt — daraus rekonstruieren, was wann passiert ist, ohne jemandem sein Wort glauben zu müssen? Das bedeutet in der Regel, für jede relevante Handlung Folgendes zu erfassen:

• Wer es getan hat. Nicht "ein Fallbearbeiter", sondern eine konkrete, zuordenbare Person oder ein Konto.
• Wann. Ein echter Zeitstempel, keine ungefähre, später rekonstruierte Erinnerung.
• Was sich geändert hat. Der tatsächliche Vorher-Nachher-Zustand, nicht nur, dass etwas passiert ist.
• Warum, bei allem, was eine Ermessensentscheidung war. Eine Statusänderung oder ein Routine-Update braucht vielleicht keinen angehängten Grund — aber eine Aufbewahrungssperre, eine Löschung oder die Lösung eines Repressalien-Vorfalls sollte einen haben, denn genau das sind Handlungen, bei denen später jemand fragen könnte "warum haben Sie das getan". Siehe wann Sie eine Aufbewahrungssperre setzen sollten und einen Repressalien-Hinweis bearbeiten für zwei konkrete Beispiele von Entscheidungen, die einen Grund in der Akte brauchen, nicht nur einen Zeitstempel.

Die Lücke, die die meisten Protokolle haben: wer nachgesehen hat, nicht nur wer geändert hat

Ein Protokoll, das nur Änderungen erfasst — Statuswechsel, hinzugefügte Notizen, ein festgehaltenes Ergebnis —, verfehlt die Hälfte dessen, was Vertraulichkeit tatsächlich verlangt. Art. 9(1)(a)s Pflicht zur Kanalsicherheit betrifft die Verhinderung des Zugriffs durch nicht befugtes Personal, was bedeutet, dass wer einen Fall eingesehen hat genauso ein vertraulichkeitsrelevanter Fakt ist wie, wer ihn bearbeitet hat. Kann ein Unternehmen zeigen, wer einen Fall geändert hat, aber nicht, wer ihn eingesehen hat, kann es die Frage nicht beantworten, die eine Untersuchung eines Vertraulichkeitsbruchs zuerst stellen würde: Wer hatte Einblick. Eine belastbare Aufzeichnung deckt Zugriffe ab, nicht nur Bearbeitungen.

Die Aufzeichnung ist das, was die Beweislast erfüllt, nicht nur unterstützt

Das wird am konkretesten genau in der Situation relevant, die in was als Repressalie gilt behandelt wird: Sobald eine meldende Person zeigt, dass sie eine Meldung gemacht hat und ihr danach ein Nachteil entstanden ist, vermutet Art. 21(5), dass dieser Nachteil eine Repressalie war, und es ist die Pflicht des Unternehmens, das Gegenteil zu beweisen. An diesem Punkt ist eine dokumentierte, mit Zeitstempel versehene Aufzeichnung, warum eine Entscheidung getroffen wurde, kein nettes Extra, das den Fall des Unternehmens stützt — sie ist das Einzige, das diese Beweislast überhaupt erfüllen kann. Ein Unternehmen, das sich auf Erinnerung oder auf informelle Slack-Nachrichten verlässt, die niemand aufzubewahren dachte, versucht im Nachhinein, eine Negativtatsache zu beweisen, ohne dass dafür je etwas aufgebaut wurde.

Wie Provoxis das umgesetzt hat

Provoxis schreibt jede dieser Handlungen — eine Aufbewahrungssperre zu setzen oder aufzuheben, einen Repressalien-Vorfall zu melden oder zu lösen, eine Meldung zu löschen — als Prüfprotokoll-Eintrag, der in derselben Datenbanktransaktion wie die Handlung selbst erstellt wird. Das ist eine strukturelle Garantie, keine prozessuale: Das System ist so gebaut, dass die Handlung nie ohne eine entsprechende protokollierte Aufzeichnung dessen erfolgreich sein kann, wer sie wann und warum durchgeführt hat, statt dass die Protokollierung ein separater Schritt ist, der fehlschlagen, übersprungen oder nachträglich ergänzt werden könnte. Ein Unternehmen, das seinen eigenen Prozess auf einem gemeinsamen Posteingang oder einer Tabelle aufbaut, verlässt sich darauf, dass sich jemand daran erinnert, die Notiz zu machen — eine belastbare Aufzeichnung sollte davon nicht abhängen.

Rechtsgrundlage

• Art. 5(2), DSGVO — der Rechenschaftspflicht-Grundsatz: Der Verantwortliche muss die Einhaltung nachweisen können, nicht nur einhalten.
• Art. 24, DSGVO — die Pflicht, Maßnahmen umzusetzen, die diesen Nachweis überhaupt erst möglich machen.
• Art. 21(5), Richtlinie (EU) 2019/1937 — die Umkehrung der Beweislast, die eine dokumentierte Aufzeichnung tatsächlich erfüllt.