Datenschutz und Datensicherheit zu verwechseln ist einer der häufigsten und teuersten Compliance-Fehler. Ein Unternehmen kann seine Datenbank vorbildlich verschlüsseln (solide Datensicherheit) und trotzdem Daten ohne gültige Rechtsgrundlage erheben (Verstoß gegen den Datenschutz), oder umgekehrt: eine tadellose Datenschutzerklärung veröffentlichen, während eine technische Schwachstelle genau diese Daten offenlegt.

Dieser Artikel klärt den Unterschied zwischen beiden Begriffen unter der DSGVO, warum sie sich überschneiden, ohne je dasselbe zu bedeuten, und wie ein Unternehmen beide gleichzeitig behandeln muss, um wirklich compliant zu sein. Dieses Thema ist der Einstieg in eine Artikelreihe zur Datensicherheit, die Sie am Ende der Seite finden.

Datenschutz im Sinne der DSGVO ist das Recht der betroffenen Person, zu wissen, welche Daten zu welchem Zweck von wem erhoben werden, und darüber eine echte Kontrolle zu behalten: Einwilligung, Auskunftsrecht, Recht auf Berichtigung, Recht auf Löschung. Es geht um Governance und Transparenz: Wer entscheidet, und auf welcher Rechtsgrundlage.

Datensicherheit ist eine operative Teilmenge des Datenschutzes: Sobald eine Daten rechtmäßig erhoben wurde, sorgen technische und organisatorische Maßnahmen dafür, dass sie nicht verloren geht, verändert, zerstört oder unbefugt eingesehen wird. Es geht um Robustheit: Hält die Verschlüsselung, ist der Zugriff korrekt eingeschränkt, funktioniert die Sicherung wirklich.

Ein Unternehmen, das seine Datenerhebung vollständig transparent macht, mit einer klaren Datenschutzerklärung und ordnungsgemäß eingeholter Einwilligung, verstößt trotzdem gegen die DSGVO, wenn seine Datenbank nicht geschützt ist: Die DSGVO verlangt beides gleichzeitig, Artikel 5 (Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz) und Artikel 32 (Sicherheit der Verarbeitung) sind zwei eigenständige, kumulative Pflichten, keine Alternative zueinander.

Umgekehrt macht eine einwandfreie technische Sicherheit eine Erhebung ohne gültige Rechtsgrundlage nicht legitim. Ein unangreifbarer Server, der ohne Einwilligung erhobene Daten hostet, bleibt ein DSGVO-Verstoß, selbst wenn nie ein Datenleck aufgetreten ist.

Ein Onlineshop verarbeitet Bestellhistorie, Lieferadresse und häufig Verhaltensdaten für Remarketing. Der Datenschutz betrifft die Einwilligung zu diesem Remarketing; die Datensicherheit betrifft den Schutz der Bestelldatenbank vor unbefugtem Zugriff.

Eine Arztpraxis oder Klinik verarbeitet Gesundheitsdaten, eine besondere Kategorie personenbezogener Daten im Sinne von Artikel 9 DSGVO. Der Datenschutz verlangt eine ausdrückliche, verstärkte Einwilligung; die Datensicherheit verlangt eine strikte Trennung dieser Daten vom übrigen Informationssystem.

Ein Fintech-Unternehmen verarbeitet Transaktions- und Bonitätsdaten. Der Datenschutz regelt die Nutzung dieser Daten für Scoring; die Datensicherheit schützt vor direktem, finanziell verwertbarem Diebstahl derselben Daten.

Wenn ein Unternehmen einen Vorfall erleidet, lautet die erste Frage nicht nur "wurden wir gehackt", sondern "welcher Art ist das Versagen". Eine Datenschutzverletzung kann aus einer reinen Sicherheitslücke entstehen (ein unbefugter Zugriff auf einen schlecht geschützten Server) oder aus einem Governance-Versagen im Datenschutz (ein Auftragsverarbeiter, der Daten für einen Zweck nutzt, der von der ursprünglichen Einwilligung nicht gedeckt ist, ohne dass überhaupt eine technische Schwachstelle vorliegt).

Diese Unterscheidung verändert die richtige Reaktion grundlegend. Im ersten Fall liegt die Priorität in der sofortigen technischen Behebung: das betroffene System isolieren, Zugänge ändern, aus einer sauberen Sicherung wiederherstellen. Im zweiten Fall liegt die Priorität darin, den Vertrag mit dem Auftragsverarbeiter zu überprüfen, die Rechtsgrundlage der Verarbeitung neu zu bewerten und gegebenenfalls eine konforme Einwilligung neu einzuholen. Beide Szenarien mit demselben Verfahren zu behandeln, führt fast immer zu einer falsch kalibrierten Reaktion, die am falschen Teil des Problems ansetzt.

Eine wirksame Datenschutzrichtlinie begnügt sich nicht mit einem Kapitel zur technischen Sicherheit, gefolgt von einem Kapitel zu den Betroffenenrechten: Sie dokumentiert für jede Verarbeitungsart ausdrücklich sowohl die gewählte Rechtsgrundlage als auch die zugehörigen Sicherheitsmaßnahmen. Konkret bedeutet das, dass ein gut geführtes Verzeichnis von Verarbeitungstätigkeiten für jede Zeile nicht nur Zweck und Rechtsgrundlage angeben sollte, sondern auch das Verschlüsselungsniveau, die Zugriffskontrolle und die Aufbewahrungsfrist für diese Datenkategorie.

Dieser Ansatz hat bei einer Prüfung durch die Aufsichtsbehörde oder einem internen Audit einen direkten praktischen Vorteil: Er ermöglicht es, für jede Verarbeitung nachzuweisen, dass beide Pflichten gemeinsam durchdacht wurden, statt zwei voneinander losgelöste Dokumente vorzulegen, die sich nicht aufeinander beziehen.

Die breite Einführung von Homeoffice hat bei vielen Unternehmen die Sicherheitsgrenzen verschoben. Früher blieben Daten in einem geschlossenen internen Netzwerk; heute werden sie von zu Hause, aus Coworking-Räumen und teils von privaten Geräten aus abgerufen.

Das ändert nichts an der Pflicht aus Artikel 32, sondern nur daran, wo die Kontrollen ansetzen müssen: VPN oder segmentierter Zugang für jedes System mit personenbezogenen Daten, Gerätemanagement (aktueller Virenschutz, verschlüsselte Festplatte, automatische Bildschirmsperre) auf der Sicherheitsseite; und, auf der Datenschutzseite, eine Aktualisierung des Verzeichnisses von Verarbeitungstätigkeiten und gegebenenfalls der Datenschutz-Folgenabschätzung, wenn sich durch die veränderten Zugriffsbedingungen das Risiko für die betroffenen Personen wesentlich erhöht.

Compliance als einmaliges Projekt statt als fortlaufenden Prozess behandeln. Eine einmal formulierte und nie überarbeitete Datenschutzerklärung entkoppelt sich schnell von der tatsächlichen Verarbeitung, insbesondere wenn im Laufe der Zeit neue Marketing- oder Analysewerkzeuge hinzukommen.

Das gesamte DSGVO-Thema einer einzelnen, isolierten Person übertragen. Der Datenschutzbeauftragte kann allein weder die rechtliche Konformität noch die technische Robustheit garantieren; die Einbindung des technischen Teams in Compliance-Entscheidungen ist notwendig, nicht optional.

Annehmen, ein zertifizierter Auftragsverarbeiter übernehme die gesamte Verantwortung. Der Verantwortliche bleibt gegenüber der Aufsichtsbehörde für die Gesamtkonformität verantwortlich, auch wenn ein Teil der Verarbeitung an einen noch so seriösen Dienstleister ausgelagert wird.

Artikel 32 der DSGVO verpflichtet den Verantwortlichen, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung. Der Text nennt ausdrücklich, als nicht abschließendes Beispiel, die Pseudonymisierung und Verschlüsselung personenbezogener Daten sowie die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen.

Die Datenschutzkonferenz (DSK), das Gremium der deutschen Aufsichtsbehörden, veröffentlicht regelmäßig Orientierungshilfen, die diese abstrakten Anforderungen in konkrete Erwartungen für bestimmte Verarbeitungssituationen übersetzen, etwa zu Cookie-Bannern oder zum Einsatz von Analysewerkzeugen. Diese Orientierungshilfen sind rechtlich nicht bindend wie ein Gesetzestext, gelten in der Praxis aber als der wichtigste Maßstab dafür, was eine deutsche Aufsichtsbehörde bei einer Prüfung erwarten würde.

Der Datenschutzbeauftragte (DSB) wird oft ausschließlich als zuständig für die "Datenschutz"-Dimension der DSGVO wahrgenommen, doch seine Aufgabe umfasst auch die Prüfung, ob die erklärten Sicherheitsmaßnahmen tatsächlich umgesetzt sind. Der DSB konfiguriert nicht selbst die Firewall oder die Verschlüsselung, muss aber sicherstellen, dass eine Sicherheitsrichtlinie existiert, befolgt wird, und dass das Verzeichnis von Verarbeitungstätigkeiten die tatsächlich vorhandenen Maßnahmen widerspiegelt, nicht eine wunschgemäße Liste.

• Existiert für jede Verarbeitung personenbezogener Daten eine dokumentierte Rechtsgrundlage?
• Wird die Einwilligung, wo erforderlich, wirksam und nachweisbar eingeholt?
• Sind die technischen Sicherheitsmaßnahmen (Verschlüsselung, Zugriffskontrolle, Backup) dokumentiert und getestet?
• Ist das Verzeichnis von Verarbeitungstätigkeiten aktuell und entspricht es der technischen Realität?
• Gibt es ein Verfahren für Datenschutzverletzungen, das vom Verfahren zur Bearbeitung von Betroffenenanfragen getrennt ist?
• Überwacht der DSB oder eine gleichwertige Stelle beide Dimensionen, nicht nur die dokumentarische Compliance?

Die DSGVO steht mit dieser Unterscheidung nicht allein. In Brasilien trennt die LGPD auf dieselbe Weise die Rechtsgrundlagen der Verarbeitung von den Sicherheitsmaßnahmen. In Mexiko wendet die LFPDPPP über ihren Artikel 18 dieselbe Logik an. Diese internationale Konvergenz ist kein Zufall: Sie spiegelt einen weltweiten regulatorischen Konsens wider, dass Rechtmäßigkeit der Erhebung und technischer Schutz zwei getrennte, nie austauschbare Pflichten sind.

In einem kleinen oder mittleren Unternehmen trägt häufig eine einzige Person das gesamte DSGVO-Thema, was die Unterscheidung zwischen beiden Dimensionen umso nützlicher macht, um die eigene Zeit richtig zu priorisieren. Die Datenschutz-Dimension verlangt juristisches Verständnis und einen guten Überblick über die Datenflüsse des Unternehmens: Wer erhebt was, zu welchem Zweck, auf welcher Rechtsgrundlage. Die Sicherheits-Dimension verlangt technisches Wissen, oder zumindest einen vertrauenswürdigen Zugang zu jemandem, der es besitzt, sei es intern oder bei einem Dienstleister.

In einer größeren Organisation ist die Trennung meist klarer: Der Datenschutzbeauftragte oder die Rechtsabteilung trägt die Datenschutz-Konformität, die IT-Sicherheit oder das Infrastrukturteam die technische Sicherheit, und der häufigste Reibungspunkt entsteht genau an der Schnittstelle beider Bereiche, etwa wenn eine Sicherheitsentscheidung (zum Beispiel die Zentralisierung von Zugriffsprotokollen) selbst eine datenschutzrechtliche Auswirkung hat, weil diese Protokolle wiederum personenbezogene Daten darstellen, die der DSGVO unterliegen.

"Mit einem konformen Cookie-Banner sind wir vor Datenlecks geschützt." Der Cookie-Banner erfüllt die Einwilligungsanforderung (Datenschutz), nicht die technische Sicherheitsanforderung des Systems, das diese Daten anschließend verarbeitet.

"Sicherheit ist ausschließlich Aufgabe der IT-Abteilung." Artikel 32 verlangt organisatorische ebenso wie technische Maßnahmen: interne Richtlinien, Mitarbeiterschulung und die Steuerung von Dienstleistern gehören ebenfalls zur Sicherheit, nicht nur zur Serverkonfiguration.

"Eine ISO-27001-Zertifizierung garantiert automatisch vollständige DSGVO-Konformität." Sie belegt eine solide Reife im Bereich der Informationssicherheit, deckt aber weder die Rechtmäßigkeit der Erhebung noch die Wahrung der Betroffenenrechte automatisch ab.

Nein. Die Rechtmäßigkeit der Verarbeitung ergibt sich vor allem aus den Artikeln 5, 6 und 7; die Sicherheit der Verarbeitung aus Artikel 32. Beides sind eigenständige Pflichten, die beide für die Konformität notwendig sind.

Ja. Eine gültige Rechtsgrundlage für die Erhebung befreit in keiner Weise von der Pflicht, die Daten nach der Erhebung technisch abzusichern.

Das ist keine strikte gesetzliche Anforderung, doch der DSB muss in der Lage sein, mit dem technischen Team zu kommunizieren und zu prüfen, ob die erklärten Sicherheitsmaßnahmen tatsächlich umgesetzt werden, was zumindest ein funktionales Verständnis der technischen Zusammenhänge voraussetzt.

Der Artikel nennt Pseudonymisierung, Verschlüsselung sowie die Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, ohne eine abschließende Liste vorzugeben. Orientierungshilfen der DSK konkretisieren diese Anforderungen für bestimmte Praxisfälle.

Artikel 32 spricht von "angemessenen" Maßnahmen im Verhältnis zum Risiko, was Raum für Verhältnismäßigkeit nach Größe und Art der Verarbeitung lässt, aber kein Unternehmen von der Pflicht selbst befreit.

Das erfordert eine kombinierte Prüfung: einerseits ein Audit der Einwilligung und der Rechtsgrundlagen mithilfe einer zuverlässigen CMP, andererseits ein technisches Sicherheitsaudit des Systems, das diese Daten nach der Erhebung verarbeitet.

Indirekt ja. Um eine Auskunftsanfrage zu beantworten, muss ein Unternehmen genau wissen, wo und wie eine Daten gespeichert ist, was nur möglich ist, wenn die Sicherheitsübersicht (Datenkartierung, Zugriffskontrolle) selbst aktuell ist. Eine schwache Sicherheits-Governance erschwert daher auch die Bearbeitung von Betroffenenanfragen, selbst wenn die Sicherheit in der konkreten Anfrage nicht unmittelbar betroffen ist.

Echte DSGVO-Konformität beschränkt sich nie auf einen gut formulierten Cookie-Banner. Jetzt kostenlos mit AdOpt starten und die Einwilligung Ihrer Nutzer mit derselben Sorgfalt strukturieren, die auch von Ihren technischen Sicherheitsmaßnahmen erwartet wird.

• Datensicherheitsmaßnahmen nach der DSGVO: Was Artikel 32 Vorschreibt
• Datensicherheit bei der Einwilligung: Vom Consent bis zur Aktivierung