Branchenbezogene Konkretisierung
Allgemeine Datenschutzpflichten treffen auf sehr unterschiedliche tatsächliche Abläufe. Verhaltensregeln können beispielsweise transparente Verarbeitung, Information betroffener Personen oder die Ausübung ihrer Rechte näher beschreiben. Der jeweilige sachliche und persönliche Anwendungsbereich muss erkennbar sein. Ein Unternehmen kann nicht beliebige Empfehlungen als genehmigte Verhaltensregeln bezeichnen. Ebenso ist eine interne Arbeitsanweisung etwas anderes als ein nach dem gesetzlichen Verfahren geprüfter Branchenstandard. Für eine Berufung darauf muss feststehen, welche Regel in welcher Fassung tatsächlich gilt.
Prüfung durch die Aufsichtsbehörde
Artikel 40 Absatz 5 sieht die Vorlage des Entwurfs bei der zuständigen Aufsichtsbehörde vor. Sie prüft die Vereinbarkeit mit der Verordnung und die angebotenen Garantien. Für bestimmte genehmigte Regeln folgen Registrierung und Veröffentlichung. Bei Verarbeitung in mehreren Mitgliedstaaten ist ein zusätzliches europäisches Verfahren zu berücksichtigen. Die bloße Beteiligung einer Aufsicht an einem Gespräch ist damit nicht automatisch die gesetzlich vorgesehene Genehmigung. Entscheidend sind Gegenstand, Verfahrensstand und tatsächlicher Umfang der behördlichen Entscheidung.
Einhaltung muss überwacht werden
Verhaltensregeln müssen nach Artikel 40 Absatz 4 Verfahren zur Überwachung ihrer Einhaltung vorsehen. Artikel 41 beschreibt dafür besondere fachkundige und akkreditierte Stellen. Artikel 41 Absatz 6 nimmt die Verarbeitung durch Behörden und öffentliche Stellen von dieser akkreditierten Stellenüberwachung aus. Die Aufgaben und Befugnisse der Datenschutzaufsicht bleiben daneben bestehen. Eine Teilnahme an einem Regelwerk bedeutet daher keine Befreiung von Kontrollen. Sie muss vielmehr mit tatsächlich überprüfbaren Anforderungen verbunden sein. Für Unternehmen ist zu klären, welche Verpflichtungen sie übernommen haben, wie Beschwerden behandelt werden und welche Stelle die vorgesehene Überwachung wahrnimmt.
BGH zur Orientierung bei Speicherfristen
Der BGH befasste sich im Urteil vom 18. Dezember 2025, I ZR 97/25, mit Daten über Zahlungsstörungen bei Wirtschaftsauskunfteien. Genehmigte Verhaltensregeln konnten dort als Orientierung für die Interessenabwägung dienen, soweit sie typisiert einen angemessenen Ausgleich bewirken. Die Besonderheiten des Einzelfalls mussten weiterhin hinreichend berücksichtigt werden. Die Entscheidung schafft somit keinen allgemeinen Vorrang einer Branchenfrist vor Betroffenenrechten. Sie unterscheidet außerdem private Einmeldungen von andersartigen Einträgen in öffentlichen Registern.
Beispiel einer besonderen Löschungssituation
Eine Auskunftei beruft sich auf eine genehmigte Regel über Speicherfristen. Eine betroffene Person verlangt wegen konkreter besonderer Umstände eine frühere Löschung. Die bloße Nennung der Standardfrist beantwortet den Antrag nicht vollständig. Zu prüfen bleiben Datenherkunft, Verarbeitungszweck, einschlägige Rechtsgrundlage und die vorgetragenen Besonderheiten. Umgekehrt führt der Ausgleich einer Forderung nicht allein in jedem Fall zur sofortigen Löschung sämtlicher privat erhobener Daten. Die Regel kann strukturieren, aber die rechtlich notwendige Abwägung nicht pauschal suspendieren.
Abgrenzung zu Zertifizierung und Rechtsgrundlage
Ein genehmigter Verhaltenskodex ist nicht identisch mit einer individuellen Datenschutzzertifizierung. Ebenso schafft er nicht von sich aus jede benötigte Rechtsgrundlage für Datennutzung. Artikel 24 Absatz 3 erlaubt, die Einhaltung genehmigter Regeln als Gesichtspunkt für den Pflichtenachweis heranzuziehen. Das ist ein Nachweis- und Konkretisierungsinstrument. Eine unzulässige Verarbeitung wird nicht allein dadurch zulässig, dass das Unternehmen grundsätzlich Mitglied einer entsprechenden Organisation ist oder auf deren Regeln in seiner Datenschutzerklärung verweist.
Anwendbarkeit konkret dokumentieren
Vor der praktischen Nutzung sollten Originalfassung, Genehmigungsumfang, Teilnehmerkreis und tatsächlich betroffene Verarbeitung bestimmt werden. Interne Prozesse müssen die übernommenen Regeln umsetzen. Bei Einzelfallanfragen ist zu dokumentieren, wie der Standard und die besonderen Tatsachen zusammen bewertet wurden. Für Betroffene hilft eine genaue Bezeichnung der Daten und des beanstandeten Vorgangs. So können Verhaltensregeln Rechtssicherheit unterstützen, ohne die eigenständige Verantwortung des Unternehmens und die gesetzlichen Rechte der betroffenen Personen zu verdrängen.