Artikel 32 der DSGVO verpflichtet jedes Unternehmen, das personenbezogene Daten verarbeitet, "geeignete technische und organisatorische Maßnahmen" umzusetzen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Der Text liefert keine abschließende Liste verpflichtender Maßnahmen, was in der Praxis die häufigste Frage bei der Umsetzung der Compliance erzeugt: Welche Maßnahmen reichen tatsächlich aus.

Dieser Artikel erklärt, was Artikel 32 verlangt, was sich als praktische Antwort auf das Fehlen einer festen Liste am Markt bereits durchgesetzt hat, was sich bei besonderen Kategorien personenbezogener Daten ändert, wie bei einem Vorfall vorzugehen ist, und wie die Unternehmensgröße in die Gleichung einfließt. Der Unterschied zwischen diesem Thema und dem Datenschutz an sich wird in einem weiteren Artikel dieser Reihe behandelt; hier liegt der Fokus ausschließlich auf der technischen und organisatorischen Sicherheitsebene.

Die Entscheidung, keinen festen technischen Standard im Gesetzestext festzulegen, ist bewusst getroffen. Sicherheitstechnologie verändert sich in Zyklen von wenigen Monaten: Eine heute als robust geltende Verschlüsselung kann in wenigen Jahren veraltet sein, und ein Gesetz, das einen festen technischen Standard vorschreibt, wäre schnell überholt.

Artikel 32 überlässt daher dem Verantwortlichen die Aufgabe, das angemessene Sicherheitsniveau selbst zu bestimmen, gibt dafür aber klare Bewertungskriterien vor: den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.

Das bedeutet kein normatives Vakuum. Es bedeutet, dass die Anforderung variiert: Eine Klinik, die Gesundheitsdaten verarbeitet, braucht deutlich strengere Kontrollen als ein Newsletter, der nur Name und E-Mail-Adresse verarbeitet.

Eine technische Maßnahme ist jede Kontrolle, die direkt in der technologischen Infrastruktur des Unternehmens umgesetzt wird, unabhängig von einer menschlichen Entscheidung im Moment der Nutzung. Sechs Kategorien treten in den vom Markt als angemessen angesehenen Umsetzungen am häufigsten auf.

Daten bei der Übertragung bewegen sich zwischen Systemen, etwa zwischen dem Browser des Kunden und dem Server des Unternehmens. Daten bei der Speicherung liegen in einer Datenbank oder Datei. Beides braucht Verschlüsselung: HTTPS-Verbindungen decken den ersten Fall ab, Algorithmen wie AES-256 auf Datenbankebene den zweiten.

Nicht jeder Mitarbeiter muss jede Daten sehen. Rollenbasierte Zugriffskontrolle bedeutet, dass das Support-Team die Bestellhistorie des Kunden sieht, nicht aber etwa die vollständigen Bankdaten, die dem Finanzteam vorbehalten bleiben.

Ein einzelnes Passwort gilt für Systeme mit relevantem Umfang personenbezogener Daten als unzureichend. Zwei-Faktor-Authentifizierung ist heute der Mindeststandard für den administrativen Zugriff auf jedes System, das personenbezogene Daten verarbeitet.

Artikel 32 spricht ausdrücklich vom Schutz gegen "Verlust" und "Zerstörung" der Daten, nicht nur gegen unbefugten Zugriff. Eine regelmäßige, periodisch getestete Sicherung stellt sicher, dass ein Ransomware-Angriff oder ein Hardwaredefekt nicht zum dauerhaften Datenverlust wird.

Systeme, die ungewöhnliches Verhalten protokollieren und melden, ermöglichen es dem Unternehmen, einen Vorfall innerhalb von Stunden statt Monaten zu entdecken. Die Zeit zwischen dem Eintreten eines Datenlecks und seiner Entdeckung ist historisch einer der Faktoren, die den entstandenen Schaden am stärksten verschärfen.

In der Praxis bedeutet die Aufrechterhaltung eines dem Risiko "angemessenen" Sicherheitsniveaus, die umgesetzten Kontrollen regelmäßig zu testen, etwa durch interne Audits oder externe Penetrationstests, um zu prüfen, dass sie mit der Weiterentwicklung des Systems weiterhin funktionieren.

Eine organisatorische Maßnahme ist eine Kontrolle, die von organisatorischen Prozessen und menschlichem Verhalten abhängt, nicht nur von der Systemkonfiguration. Vier Bereiche erweisen sich als besonders relevant.

Ein von der Geschäftsführung genehmigtes, formelles Dokument, das klare Regeln festlegt: Wer auf welches System zugreifen darf, wie ein Passwort erstellt werden muss, was bei einem erkannten Phishing-Versuch zu tun ist. Ohne dieses Dokument wendet jeder Mitarbeiter sein eigenes Urteilsvermögen an, genau am empfindlichsten Punkt der Organisation.

Die meisten Sicherheitsvorfälle in der Praxis beginnen nicht mit einem ausgeklügelten technischen Angriff, sondern damit, dass ein Mitarbeiter auf einen schädlichen Link klickt oder versehentlich ein Passwort weitergibt. Wiederkehrende Schulungen, nicht nur beim Onboarding, reduzieren diesen Risikofaktor messbar.

Beauftragt das Unternehmen einen Dienstleister, der in seinem Namen personenbezogene Daten verarbeitet (einen Marketing-E-Mail-Dienst, eine Support-Plattform, eine CMP), verschwindet die Verantwortung für die Datensicherheit nicht allein dadurch, dass sie ausgelagert ist. Verträge mit spezifischen Sicherheitsklauseln und ein Bewertungsprozess des Dienstleisters vor Vertragsschluss sind Teil der geforderten organisatorischen Maßnahme.

Die DSGVO verlangt die Benennung eines Datenschutzbeauftragten in bestimmten Fällen (Behörde, umfangreiche Verarbeitung, umfangreiche Verarbeitung besonderer Kategorien), aber auch außerhalb dieser Fälle muss jemand im Unternehmen dafür verantwortlich sein, dass eine Sicherheitsrichtlinie existiert, befolgt und aktualisiert wird, sobald sich das Risiko ändert. Ohne klar benannte Verantwortung veralten Sicherheitsrichtlinien in der Regel unbemerkt.

Artikel 9 der DSGVO definiert besondere Kategorien personenbezogener Daten (Gesundheit, rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische oder biometrische Daten, sexuelle Orientierung) und verlangt grundsätzlich eine verstärkte Rechtsgrundlage für ihre Verarbeitung.

Diese verstärkte Anforderung überträgt sich direkt auf die Sicherheit: Besondere Kategorien personenbezogener Daten erfordern in der Regel eine physische oder logische Trennung vom übrigen Datenbestand, eine granularere Zugriffsprotokollierung (wer hat den konkreten Datensatz einer bestimmten Person eingesehen, nicht nur wer generell Systemzugriff hatte), eine strengere Datenminimierung bei der Erhebung sowie häufigere Zugriffsüberprüfungen, um Berechtigungen von Mitarbeitern zu entziehen, die sie nicht mehr benötigen.

Selbst bei angemessenen Kontrollen kommt es zu Vorfällen. Bei einer Datenschutzverletzung, die voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, schreibt die DSGVO eine Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntniserlangung vor, und bei hohem Risiko zusätzlich eine direkte Benachrichtigung der betroffenen Personen.

Jeden Vorfall intern zu dokumentieren, auch solche, die als nicht meldepflichtig eingestuft werden, gehört zu den Nachweispflichten aus Artikel 33: Das Ausbleiben einer Meldung entbindet nicht davon, die Bewertung, die zu dieser Entscheidung geführt hat, nachvollziehbar festzuhalten.

Der Begriff "Datenleck" hat sich umgangssprachlich für jedes Ereignis unzulässiger Offenlegung von Informationen durchgesetzt, doch der weitere rechtliche Begriff der "Datenschutzverletzung" umfasst verschiedene Szenarien: unbefugten Zugriff, Verlust, unrechtmäßige Veränderung und Zerstörung der Daten. Ein Ransomware-Angriff, der Daten verschlüsselt und für das Unternehmen selbst unzugänglich macht, ohne sie zwingend nach außen zu kopieren, stellt ebenfalls eine Datenschutzverletzung im Sinne der DSGVO dar, auch ohne "Leck" im umgangssprachlichen Sinne.

Die DSGVO sieht ein Sanktionsregime von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist, für die schwerwiegendsten Verstöße, einschließlich des Fehlens angemessener Sicherheitsmaßnahmen. Die tatsächliche Höhe berücksichtigt die Art des Verstoßes, den Grad der Zusammenarbeit mit der Aufsichtsbehörde, bereits ergriffene schadensmindernde Maßnahmen und frühere Verstöße.

Über die behördliche Sanktion hinaus steht ein Unternehmen, das eine bedeutende Datenschutzverletzung erleidet, einem Reputationsschaden gegenüber, der in den meisten am Markt dokumentierten Fällen den Betrag jedes Bußgelds deutlich übersteigt: Das Vertrauen der Kunden, einmal durch ein öffentlich gewordenes Datenleck erschüttert, braucht erheblich länger, um wiederhergestellt zu werden, als die Zeit, die zur Begleichung einer Sanktion nötig wäre.

Ein verbreiteter Irrtum besteht darin, anzunehmen, die DSGVO verlange von einem kleinen Unternehmen dasselbe technische Investitionsniveau wie von einem Großkonzern. Der Text spricht von Maßnahmen, die dem Risiko "angemessen" sind, was Raum für Verhältnismäßigkeit lässt, aber niemals für das völlige Fehlen von Kontrollen.

Ein Kleinstunternehmen, das nur Name, E-Mail und Telefonnummer seiner Kunden zur Rechnungsstellung verarbeitet, braucht nicht denselben Sicherheitsapparat wie eine Bank. Es braucht dennoch eine grundlegende Zugriffskontrolle, eine funktionierende Sicherung und ein Mindestmaß an Passworthygiene, genau weil Artikel 32 für keine Verarbeitung personenbezogener Daten eine Nullschwelle vorsieht.

Das Fehlen einer detaillierten technischen Regelung im DSGVO-Text bedeutet nicht, dass der deutsche Markt bei null anfängt. Die Datenschutzkonferenz (DSK) veröffentlicht regelmäßig Orientierungshilfen, etwa zu Cookie-Bannern, zum Einsatz von Analyse- und Tracking-Werkzeugen sowie zu technischen und organisatorischen Mindestanforderungen bestimmter Verarbeitungssituationen. Diese Orientierungshilfen sind kein Gesetzestext, gelten in der Praxis aber als der wichtigste Maßstab dafür, was eine Aufsichtsbehörde bei einer Prüfung tatsächlich erwarten würde.

Für ein deutsches Unternehmen, das auch Kunden in anderen europäischen Ländern betreut, verringert die Ausrichtung der internen Sicherheit an einem anerkannten internationalen Standard wie ISO/IEC 27001 den Mehraufwand, getrennte Kontrollen für jede Rechtsordnung zu begründen, da die technische Sicherheitsbasis in der Regel unabhängig davon gleich bleibt, welches Gesetz konkret geprüft wird.

• Existiert ein Verzeichnis darüber, wo jede Art personenbezogener Daten gespeichert ist?
• Ist der Zugriff auf besondere Kategorien personenbezogener Daten rollenbasiert eingeschränkt, statt für das gesamte Team offen zu sein?
• Verlangen die Verwaltungssysteme eine Zwei-Faktor-Authentifizierung?
• Gibt es eine getestete, nicht nur konfigurierte Backup-Routine?
• Gibt es eine aktive Überwachung anomaler Zugriffe auf Systeme mit personenbezogenen Daten?
• Existiert eine formelle, von der Geschäftsführung genehmigte Informationssicherheitsrichtlinie?
• Haben Dienstleister, die personenbezogene Daten im Auftrag des Unternehmens verarbeiten, eine vertragliche Sicherheitsklausel?
• Gibt es einen Notfallplan für Vorfälle, mit benannter und mindestens einmal getesteter Zuständigkeit?
• Werden Daten ohne aktiven Zweck tatsächlich gelöscht, statt nur unbegrenzt archiviert zu werden?

Die breite Einführung von Homeoffice hat den Sicherheitsperimeter vieler Unternehmen verändert. Früher blieben Daten in einem geschlossenen internen Netzwerk; heute werden sie von zu Hause, aus Coworking-Räumen und teils von privaten Geräten aus abgerufen.

Das ändert nichts an der Pflicht aus Artikel 32, sondern nur daran, wo die Kontrollen ansetzen müssen: VPN oder segmentierter Zugang für jedes System mit personenbezogenen Daten, Gerätemanagement (aktueller Virenschutz, verschlüsselte Festplatte, automatische Bildschirmsperre) und eine Richtlinie zur zulässigen Nutzung, die ausdrücklich Szenarien wie öffentliche WLAN-Netze oder die Nutzung privater Cloud-Speicher für dienstliche Dateien abdeckt.

Dokumentarische Compliance mit tatsächlicher technischer Compliance verwechseln. Eine in der Schublade liegende Sicherheitsrichtlinie ersetzt nicht die tatsächlich im System konfigurierte Zugriffskontrolle.

Sicherheit als einmalige Investition betrachten. Eine Kontrolle einmal einzurichten und nie zu überprüfen, entspricht nach einigen Jahren keiner Kontrolle mehr, weil sich Bedrohungen und Technologie kontinuierlich weiterentwickeln.

Übersehen, dass die Sicherheit der Cookie-Einwilligung derselben Pflicht unterliegt. Der Cookie-Banner der Website verarbeitet ebenfalls personenbezogene Daten (Browser-Kennungen, Navigationsverhalten), und die technische Integrität dieses Ablaufs unterliegt derselben Sicherheitsanforderung. Dieser Punkt wird in Datensicherheit bei der Einwilligung im Detail behandelt.

Sich auf Zusammenfassungen Dritter statt auf den Gesetzestext verlassen. Der vollständige Text von Artikel 32 ist auf EUR-Lex verfügbar, und es lohnt sich, ihn direkt zu prüfen, statt Entscheidungen ausschließlich auf Interpretationen Dritter zu stützen, einschließlich dieses Artikels.

Nicht jedes Unternehmen kann alle neun hier beschriebenen Kontrollkategorien auf einmal umsetzen. Eine praktische Prioritätsreihenfolge, ausgerichtet am Nutzen pro investiertem Euro, folgt meist dieser Abfolge: zuerst Zugriffskontrolle und verstärkte Authentifizierung, da dies die günstigste Kontrolle ist und die Risikofläche am schnellsten verringert; dann getestete Backups, da sie vor dem am schwersten umkehrbaren Schadensszenario schützen; anschließend Verschlüsselung der gespeicherten Daten für Datenbanken mit besonderen Kategorien oder Finanzdaten; danach dokumentierte Richtlinien und Schulung, kostengünstig und mit direkter Wirkung auf menschliches Fehlverhalten; und zuletzt Überwachung und Notfallplan, die erst dann ihren vollen Sinn entfalten, wenn die vorherigen Kontrollen die Anzahl der zu überwachenden Ereignisse bereits reduziert haben.

Ja, 72 Stunden nach Kenntniserlangung von der Verletzung, außer wenn diese voraussichtlich kein Risiko für die Rechte und Freiheiten der betroffenen Personen zur Folge hat; in diesem Fall ist keine Meldung an die Aufsichtsbehörde erforderlich, die Bewertung muss aber intern dokumentiert werden.

Die Sicherheitspflicht gilt für jeden Verantwortlichen, ohne Ausnahme nach Größe. Was variiert, ist die Verhältnismäßigkeit der Maßnahme im Verhältnis zum Risiko, nicht das Bestehen der Pflicht selbst.

Es gibt keine feste, offizielle Liste. Die Bewertung berücksichtigt, ob die Maßnahme dem Risiko und der Sensibilität der verarbeiteten Daten angemessen war, unter Berücksichtigung der zum Zeitpunkt der Verarbeitung verfügbaren Technik. Die getroffenen Maßnahmen und die Begründung jeder Entscheidung zu dokumentieren, hilft, bei einer Prüfung guten Willen nachzuweisen.

Nicht allein. Ein zuverlässiger Cloud-Anbieter deckt einen Teil der physischen und Netzwerksicherheit ab, das beauftragende Unternehmen bleibt aber für Zugriffskontrolle, Aufbewahrungsrichtlinie und Vorfallreaktion innerhalb der eigenen Anwendung verantwortlich.

Keine Zertifizierung garantiert für sich allein automatische rechtliche Konformität. Zertifizierungen wie ISO/IEC 27001 helfen, eine Reife in der Informationssicherheit nachzuweisen, die abschließende Angemessenheitsbewertung bleibt aber immer einzelfallabhängig.

Ja. Artikel 32 verlangt Maßnahmen, die auch das Risiko internen menschlichen Versagens abdecken, nicht nur externe Angriffe. Ein Versagen, das durch einen Mitarbeiter verursacht wurde, der unsachgemäß ein Passwort weitergegeben hat, entbindet das Unternehmen nicht von der Verantwortung, wenn keine Schulung, Richtlinie oder technische Kontrolle existierte, die dieses konkrete Risiko hätte mindern können.

Der Cookie-Banner Ihrer Website verarbeitet personenbezogene Daten wie jedes andere System und verdient dieselbe Aufmerksamkeit im Sinne von Artikel 32. Jetzt kostenlos mit AdOpt starten und das Einwilligungsregister mit derselben technischen Sorgfalt organisieren, die bereits im Rest der Organisation gilt.

• Datenschutz vs. Datensicherheit: Was Ist der Unterschied?
• Datensicherheit bei der Einwilligung: Vom Consent bis zur Aktivierung