Beweislast liegt beim eigenen Unternehmen
Eine der entscheidenden Änderungen, die sich durch die DS-GVO ergibt, ist die sogenannte Rechenschaftspflicht. Die verantwortliche Stelle ist nicht nur dazu verpflichtet, die Datenschutzgrundsätze einzuhalten, darüber hinaus muss sie auch nachweisen können, dass sie das macht (Stichwort Beweislastumkehr). Der mit dieser Nachweispflicht verbundene Dokumentationsaufwand stellt viele Unternehmen vor Herausforderungen und sollte systematisch angegangen werden.
In der Praxis bedeutet dies z. B., dass Einwilligungserklärungen schriftlich und möglichst konkret, bestenfalls auf den Einzelfall bezogen, eingeholt werden. In vielen Einrichtungen des Gesundheits- und Sozialwesens hat man in der Vergangenheit gesehen, dass Bewohnern oder Patienten allgemeine Entbindungen von der beruflichen Schweigepflicht abverlangt worden sind. Da hier ein konkreter Bezug zu einem Zweck aber nicht gegeben ist, kann dies nicht als Nachweis für eine Datenübermittlung herhalten.