DSGVO Art. 32 (Sicherheit der Verarbeitung)

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter zu technischen und organisatorischen Maßnahmen nach dem Stand der Technik, einschließlich regelmäßiger Überprüfung ihrer Wirksamkeit.

Artikel 32 der Datenschutz-Grundverordnung (DSGVO) regelt die „Sicherheit der Verarbeitung“. Er verpflichtet Verantwortliche und Auftragsverarbeiter, geeignete technische und organisatorische Maßnahmen (TOM) zu treffen, um ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten zu gewährleisten. Maßstab sind der Stand der Technik, die Implementierungskosten, Art und Umfang der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere des Risikos für die betroffenen Personen.

Anders als viele Compliance-Vorgaben nennt Art. 32 nicht nur Schutzmaßnahmen, sondern verlangt in Absatz 1 Buchstabe d ausdrücklich „ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit“ dieser Maßnahmen. Damit ist der Wirksamkeitsnachweis nicht Kür, sondern Teil der gesetzlichen Pflicht.

Was Art. 32 konkret verlangt

Absatz 1 nennt beispielhaft vier Maßnahmenbereiche:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten;
• die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme dauerhaft sicherzustellen (vgl. die Schutzziele);
• die Fähigkeit, Verfügbarkeit und Zugang zu Daten nach einem Zwischenfall rasch wiederherzustellen;
• ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen.

Absatz 2 verlangt, bei der Bewertung insbesondere Risiken durch Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung zu berücksichtigen. Absatz 4 verpflichtet dazu, dass Beschäftigte Daten nur auf Anweisung verarbeiten. Als Nachweis der Einhaltung kann nach Absatz 3 die Einhaltung genehmigter Verhaltensregeln oder Zertifizierungen herangezogen werden, etwa ein ISMS nach ISO 27001.

Bedeutung für Unternehmen

Art. 32 betrifft praktisch jedes Unternehmen, weil nahezu jede Organisation personenbezogene Daten von Kunden, Beschäftigten oder Lieferanten verarbeitet. Verstöße können nach Art. 83 mit Bußgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes belegt werden. Aufsichtsbehörden haben in der Vergangenheit wiederholt Bußgelder verhängt, weil Systeme ungepatcht, Passwörter schwach oder Zugriffe nicht protokolliert waren.

Für Sicherheitstests ist Art. 32 die am häufigsten übersehene Rechtsgrundlage. Wer nie prüft, ob seine TOM einem Angriff standhalten, kann die Pflicht aus Absatz 1 Buchstabe d kaum erfüllen. Ein Penetrationstest der Systeme, die personenbezogene Daten verarbeiten, ist daher nicht nur sinnvoll, sondern eine naheliegende Umsetzung der Norm. Kommt es trotzdem zu einem Data Breach, ist die Dokumentation regelmäßiger Tests zudem ein wichtiger Faktor bei der Bemessung von Bußgeldern.

Praxis-Hinweise

1. Verknüpfen Sie Ihr Verzeichnis von Verarbeitungstätigkeiten mit der IT-Inventarisierung: Sie müssen wissen, welche Systeme welche Daten halten, um Tests richtig zu priorisieren.
2. Legen Sie einen festen Prüfturnus fest, etwa jährliche Pentests der exponierten Anwendungen und anlassbezogene Tests nach größeren Änderungen.
3. Dokumentieren Sie Testergebnisse, Behebung und Retest. Diese Kette ist der Nachweis nach Absatz 1 Buchstabe d.
4. Schließen Sie bei Tests mit Zugriff auf Echtdaten eine Auftragsverarbeitungsvereinbarung mit dem Dienstleister und regeln Sie Datenlöschung nach Projektende.
5. Beziehen Sie den Datenschutzbeauftragten in das Scoping ein. Das verhindert Konflikte und stärkt die Dokumentation.