Technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Auswahl, Umsetzung und Dokumentation im Unternehmen

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO sind die konkreten Vorkehrungen, mit denen ein Unternehmen die Sicherheit der Verarbeitung personenbezogener Daten gewährleistet. Die Vorschrift verpflichtet Verantwortliche und Auftragsverarbeiter, ein dem Risiko angemessenes Schutzniveau herzustellen und dieses laufend zu überprüfen. Sie nennt dafür keine festen Produkte oder Zertifikate, sondern einen Maßstab, der im Einzelfall auszufüllen ist.

Gerade diese Offenheit bereitet im Mittelstand Schwierigkeiten. Viele Unternehmen besitzen eine Anlage „TOM“ zum Auftragsverarbeitungsvertrag, die vor Jahren aus einer Vorlage entstand und seither nicht mehr angefasst wurde. Dort stehen Sätze wie „Der Zutritt ist durch Schlüssel gesichert“, die weder der heutigen IT-Landschaft noch einem konkreten Risiko zugeordnet sind. Bei einer Prüfung, einem Kundenaudit oder nach einer Datenpanne zeigt sich dann, dass die Dokumentation und die gelebte Praxis auseinanderfallen.

Dieser Beitrag erläutert, was Art. 32 DSGVO verlangt, wie Sie Maßnahmen risikoorientiert auswählen, welche Kategorien sich bewährt haben und wie Sie Umsetzung und Wirksamkeit nachweisen. Ziel ist ein Maßnahmenkonzept, das für Geschäftsführung und Fachverantwortliche nachvollziehbar und im Betrieb pflegbar bleibt.

Hinweis: Dieser Beitrag gibt ausschließlich die redaktionellen Ansichten der Redaktion von rechtimunternehmen.de wieder. Er stellt keine Rechtsberatung dar und ersetzt nicht die Beratung durch eine qualifizierte Rechtsanwältin oder einen qualifizierten Rechtsanwalt. Für rechtlich verbindliche Auskünfte zu Ihrem konkreten Fall wenden Sie sich bitte an einen zugelassenen Rechtsbeistand.

Titelbild: Foto von Taylor Vick auf Unsplash.

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Was die Vorschrift verlangt

Art. 32 Abs. 1 DSGVO verpflichtet zu geeigneten technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dabei sind der Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen zu berücksichtigen. Das Gesetz fordert also keinen maximalen, sondern einen angemessenen Schutz, der sich am Risiko der betroffenen Personen orientiert, nicht am Risiko des Unternehmens.

Die Vorschrift nennt beispielhaft vier Bausteine:

• die Pseudonymisierung und Verschlüsselung personenbezogener Daten (lit. a),
• die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer sicherzustellen (lit. b),
• die Fähigkeit, Verfügbarkeit und Zugang bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen (lit. c),
• ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen (lit. d).

Abs. 2 verlangt, bei der Beurteilung des Schutzniveaus die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch Vernichtung, Verlust, Veränderung, unbefugte Offenlegung oder unbefugten Zugang. Abs. 4 stellt sicher, dass Personen, die dem Verantwortlichen unterstellt sind und Zugang zu Daten haben, diese nur auf Weisung verarbeiten. Die Vorschrift ergänzt damit den Grundsatz der Integrität und Vertraulichkeit aus Art. 5 Abs. 1 lit. f DSGVO und die allgemeine Verantwortlichkeit nach Art. 24 DSGVO.

Die DSGVO schreibt keine bestimmte Maßnahme vor. Sie schreibt vor, dass die gewählten Maßnahmen zum Risiko passen und dass dies belegbar ist.

Verhältnis zu Art. 25, Art. 28 und Art. 30 DSGVO

Art. 32 steht nicht isoliert. Art. 25 DSGVO verlangt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen schon bei der Planung neuer Verfahren. Art. 28 Abs. 3 lit. c DSGVO verpflichtet Auftragsverarbeiter, alle nach Art. 32 erforderlichen Maßnahmen zu ergreifen, und der Auftragsverarbeitungsvertrag verweist deshalb regelmäßig auf eine Anlage mit den Maßnahmen. Art. 30 Abs. 1 lit. g DSGVO sieht im Verzeichnis von Verarbeitungstätigkeiten, wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen vor.

Für die Praxis folgt daraus: Das Maßnahmenkonzept sollte zentral gepflegt werden und als Quelle für alle drei Dokumente dienen. Wer die Maßnahmen im Verzeichnis, in der AV-Anlage und im Sicherheitskonzept getrennt beschreibt, produziert Widersprüche. Eine einzige, versionierte Fassung mit klarer Verantwortlichkeit vermeidet das.

Warum die Risikobewertung am Anfang steht

Ohne Risikobewertung lässt sich die Angemessenheit der Maßnahmen weder begründen noch überprüfen. Ausgangspunkt ist die Frage: Was kann den betroffenen Personen durch die Verarbeitung schaden, wie wahrscheinlich ist das, und wie schwer wären die Folgen? Mögliche Folgen reichen von Rufschädigung und Identitätsmissbrauch über finanzielle Nachteile bis zur Diskriminierung.

Schutzbedarf der Daten einstufen

Ordnen Sie Verarbeitungstätigkeiten Schutzstufen zu. Ein praktikables Raster unterscheidet normalen, hohen und sehr hohen Schutzbedarf. Kontaktdaten für den Newsletter liegen eher im normalen Bereich. Beschäftigtendaten mit Bewerbungsunterlagen, Gehaltsdaten oder Krankheitsbezug liegen höher. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten, führen regelmäßig in den hohen oder sehr hohen Bereich.

Bedrohungen und Schwachstellen benennen

Für jede Verarbeitung sollten typische Szenarien betrachtet werden: Verlust eines Geräts, Fehlversand per E-Mail, Schadsoftware, Zugriff durch Unbefugte, Ausfall eines Dienstleisters, Fehlkonfiguration von Cloud-Speichern, unbeabsichtigte Löschung. Die Betrachtung muss nicht akademisch sein. Eine Tabelle mit Szenario, Wahrscheinlichkeit, Schwere und bestehenden Maßnahmen genügt, wenn sie ehrlich und vollständig geführt wird.

Abgrenzung zur Datenschutz-Folgenabschätzung

Die Risikobewertung nach Art. 32 ist von der Datenschutz-Folgenabschätzung nach Art. 35 DSGVO zu unterscheiden. Letztere ist nur bei voraussichtlich hohem Risiko erforderlich und tiefer gehend. Die Risikoanalyse für Art. 32 betrifft hingegen jede Verarbeitung. Ergibt sie ein hohes Risiko, ist zu prüfen, ob zusätzlich eine Folgenabschätzung durchgeführt werden muss.

Maßnahmenkategorien als Gliederung

Eine bewährte Gliederungshilfe bilden Kategorien, die früher in der Anlage zu § 9 BDSG alter Fassung standen und in der Praxis weiter verbreitet sind. Die DSGVO verwendet sie nicht wörtlich, die Struktur eignet sich aber, um Lücken zu finden. Die folgende Tabelle ordnet Kategorien Beispielen und Prüffragen zu.

Kategorie	Beispielmaßnahmen	Prüffrage
Zutrittskontrolle	Schließsystem, Besucherregelung, Alarmanlage	Wer kommt in Serverraum und Archiv?
Zugangskontrolle	Passwortrichtlinie, Zwei-Faktor-Authentifizierung, Bildschirmsperre	Wie wird die Anmeldung an Systemen abgesichert?
Zugriffskontrolle	Rollen- und Rechtekonzept, Protokollierung, Rezertifizierung	Wer darf welche Daten lesen und ändern?
Weitergabekontrolle	Verschlüsselung, VPN, sichere Übertragungswege	Wie gelangen Daten sicher zu Dritten?
Eingabekontrolle	Protokolle, Änderungshistorie	Ist nachvollziehbar, wer was geändert hat?
Auftragskontrolle	AV-Verträge, Dienstleisterprüfung	Wie wird der Dienstleister kontrolliert?
Verfügbarkeitskontrolle	Datensicherung, Notfallplan, unterbrechungsfreie Stromversorgung	Wie schnell sind Daten wiederherstellbar?
Trennungsgebot	Mandantentrennung, getrennte Test- und Produktivsysteme	Sind Daten verschiedener Zwecke getrennt?

Ergänzend gewinnen Pseudonymisierung, Verschlüsselung und Löschkonzepte an Bedeutung, weil Art. 32 Abs. 1 lit. a sie ausdrücklich nennt. Für die Gewährleistungsziele Datenminimierung, Intervenierbarkeit, Transparenz und Zweckbindung hilft das Standard-Datenschutzmodell der Datenschutzaufsichtsbehörden, das technische und organisatorische Anforderungen in einer einheitlichen Systematik zusammenführt.

Technische Maßnahmen im Überblick

Technische Maßnahmen setzen an Systemen, Netzen und Geräten an. Im Mittelstand haben sich einige Basisbausteine als besonders wirksam erwiesen.

• Verschlüsselung: Verschlüsselte Festplatten auf Notebooks, verschlüsselte Datenträger, Transportverschlüsselung für E-Mail und Webdienste, verschlüsselte Datensicherungen.
• Identitäts- und Zugriffsverwaltung: Personalisierte Konten, Zwei-Faktor-Authentifizierung, minimale Rechte, zeitnahe Deaktivierung beim Austritt.
• Patch- und Schwachstellenmanagement: Betriebssysteme, Anwendungen und Firmware werden zeitnah aktualisiert, nicht mehr unterstützte Software wird ersetzt oder isoliert.
• Netzwerksicherheit: Firewalls, Segmentierung, gesicherter Fernzugriff, getrennte Gastnetze.
• Schutz vor Schadsoftware: Endpunktschutz, E-Mail-Filter, Beschränkung von Makros und ausführbaren Dateien.
• Datensicherung: Regelmäßige Sicherungen nach dem Prinzip mehrerer Kopien auf unterschiedlichen Medien, davon eine getrennt vom Produktivnetz, mit getesteter Wiederherstellung.
• Protokollierung: Aufzeichnung sicherheitsrelevanter Ereignisse mit festgelegter Auswertung und Aufbewahrungsdauer.

Die Wirksamkeit hängt vom Betrieb ab. Eine Datensicherung, die nie zurückgespielt wurde, ist eine Annahme und kein Nachweis. Ein Virenschutz ohne Meldungskonzept bleibt ohne Folgen, wenn Alarme ungelesen bleiben.

Organisatorische Maßnahmen im Überblick

Organisatorische Maßnahmen betreffen Regeln, Verantwortlichkeiten und Verhalten. Sie sind häufig günstiger als Technik und entscheiden dennoch über Erfolg oder Scheitern.

• Verpflichtung und Schulung: Beschäftigte werden auf Vertraulichkeit verpflichtet und regelmäßig zu Datenschutz und Informationssicherheit geschult, mit Beispielen aus dem eigenen Arbeitsalltag.
• Richtlinien: Verständliche Regelungen zu Passwörtern, mobilen Geräten, Homeoffice, Umgang mit privaten Geräten, E-Mail-Nutzung und Entsorgung von Datenträgern.
• Clean-Desk und Bildschirmsperre: Unterlagen mit personenbezogenen Daten werden nicht offen liegen gelassen, Bildschirme beim Verlassen des Platzes gesperrt.
• Vorfallmanagement: Mitarbeiter wissen, wen sie bei Verlust oder Fehlversand sofort informieren. Meldewege für Datenpannen nach Art. 33 und 34 DSGVO sind vorbereitet.
• Dienstleistersteuerung: Auswahl, vertragliche Bindung und Kontrolle von Auftragsverarbeitern.
• Berechtigungs- und Änderungsmanagement: Neue Systeme und Änderungen werden vor Einführung auf Datenschutz und Sicherheit geprüft.
• Löschen und Vernichten: Löschfristen, Aktenvernichtung nach anerkannter Sicherheitsstufe und fachgerechte Entsorgung von Datenträgern.

Vorgehen in sieben Schritten

Wer ein Maßnahmenkonzept erstmals aufbaut oder grundlegend überarbeitet, kann sich an folgender Reihenfolge orientieren.

1. Verarbeitungen erfassen: Das Verzeichnis von Verarbeitungstätigkeiten bildet die Grundlage. Ohne vollständige Übersicht ist keine Risikobewertung möglich.
2. Schutzbedarf festlegen: Jeder Verarbeitung wird eine Schutzstufe zugeordnet, mit kurzer Begründung.
3. Risiken bewerten: Typische Szenarien werden nach Eintrittswahrscheinlichkeit und Schwere eingeordnet.
4. Bestehende Maßnahmen aufnehmen: Erfasst wird, was tatsächlich gelebt wird, nicht was in einem alten Dokument steht.
5. Lücken schließen: Für jedes nicht akzeptable Restrisiko wird eine Maßnahme mit Verantwortlichem, Frist und Budget festgelegt.
6. Dokumentieren: Ein zentrales Dokument beschreibt Maßnahmen, Zuständige, Prüfintervalle und Begründungen.
7. Überprüfen: Mindestens jährlich sowie bei wesentlichen Änderungen wird das Konzept auf Aktualität geprüft und fortgeschrieben.

Angemessenheit begründen

Die Angemessenheit ergibt sich aus der Abwägung von Risiko und Aufwand. Ein Betrieb mit zehn Beschäftigten und überwiegend Kundenkontaktdaten muss nicht dieselben Maßnahmen betreiben wie ein Unternehmen mit Gesundheitsdaten und einem eigenen Rechenzentrum. Wichtig ist, dass die Abwägung dokumentiert ist. Verzichtet das Unternehmen auf eine marktübliche Maßnahme, sollte die Begründung festgehalten werden, zum Beispiel mit alternativen Schutzvorkehrungen.

Stand der Technik berücksichtigen

Der Stand der Technik verändert sich. Orientierung bieten anerkannte Standards und Empfehlungen, etwa der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik oder die Norm ISO/IEC 27001 mit den Maßnahmen aus Anhang A. Eine Zertifizierung ist keine Pflicht, kann aber die Nachweisführung gegenüber Kunden erleichtern. Sie ersetzt jedoch nicht die Prüfung der datenschutzrechtlichen Besonderheiten im Einzelfall.

Nachweis und Dokumentation

Nach Art. 5 Abs. 2 und Art. 24 Abs. 1 DSGVO muss der Verantwortliche die Einhaltung der Grundsätze nachweisen können. Für Art. 32 bedeutet das: Es braucht Dokumente, die den Ist-Zustand belegen. Dazu zählen das Maßnahmenkonzept selbst, Richtlinien, Schulungsnachweise, Protokolle der Rechteüberprüfung, Berichte über Wiederherstellungstests, Ergebnisse von Schwachstellenscans und Dokumentationen zu Vorfällen.

Achten Sie auf Konsistenz. Behauptet die Anlage zum AV-Vertrag, alle Notebooks seien verschlüsselt, muss dies stimmen. Eine falsche Zusicherung ist im Streitfall schlimmer als eine ehrliche Lücke mit Maßnahmenplan. Prüfen Sie daher vor jeder Zusicherung gegenüber Kunden, ob sie der Realität entspricht.

Folgen mangelhafter Maßnahmen

Verstöße gegen Art. 32 DSGVO können nach Art. 83 Abs. 4 lit. a DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder bis zu zwei Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Tatsächlich verhängte Beträge hängen von den Umständen ab, etwa Dauer, Schwere, Verschulden und Kooperation. Daneben drohen Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO und vertragliche Folgen gegenüber Kunden, die auf Sicherheitszusagen vertrauen.

Praktisch relevanter als die Bußgeldobergrenze ist oft der Vertrauensverlust. Wenn nach einer Datenpanne offenbar wird, dass grundlegende Maßnahmen fehlten, etwa unverschlüsselte Datenträger oder ungeprüfte Zugriffsrechte, leidet die Geschäftsbeziehung. Geschäftsführer sollten Maßnahmen deshalb nicht als lästige Pflicht, sondern als Risikovorsorge im eigenen Interesse behandeln.

Typische Fehler und Stolperfallen

• Vorlage ohne Anpassung: Die TOM-Liste stammt aus einem Muster und spiegelt den Betrieb nicht wider.
• Reine Technikbetrachtung: Es fehlen organisatorische Regelungen, Schulungen und Verantwortlichkeiten.
• Keine Überprüfung: Das Dokument trägt ein Datum von vor mehreren Jahren und kennt weder Cloud-Dienste noch Homeoffice.
• Zuständigkeit ungeklärt: Weder die IT noch der Datenschutz fühlen sich für die Gesamtsicht verantwortlich.
• Dienstleister ungeprüft: Zusicherungen von Anbietern werden ungeprüft übernommen, Nachweise nicht angefordert.
• Unrealistische Zusagen: Es werden Maßnahmen versprochen, die im Alltag nicht umgesetzt werden.
• Wiederherstellung nie getestet: Die Datensicherung läuft, aber im Ernstfall lässt sich nichts zurückspielen.

Checkliste: Maßnahmenkonzept nach Art. 32 DSGVO

• Verzeichnis von Verarbeitungstätigkeiten liegt aktuell vor.
• Schutzbedarf je Verarbeitung ist festgelegt und begründet.
• Risikoanalyse mit Szenarien, Wahrscheinlichkeit und Schwere ist dokumentiert.
• Technische und organisatorische Maßnahmen sind je Kategorie beschrieben und einem Verantwortlichen zugeordnet.
• Verschlüsselung, Rechtekonzept, Datensicherung und Patchmanagement sind umgesetzt und geprüft.
• Beschäftigte sind verpflichtet und geschult, Meldewege für Vorfälle sind bekannt.
• Dienstleister sind vertraglich gebunden und werden kontrolliert.
• Wiederherstellungstests und Rechteüberprüfungen werden regelmäßig durchgeführt und protokolliert.
• Das Konzept wird mindestens jährlich überprüft und bei Änderungen angepasst.
• Aussagen in AV-Anlagen und Kundenfragebögen stimmen mit der Praxis überein.

Weiterführende Quelle

Den Wortlaut der Vorschrift finden Sie im Amtsblatt der Europäischen Union: Datenschutz-Grundverordnung, Art. 32 Sicherheit der Verarbeitung. Ergänzend bieten die Datenschutzaufsichtsbehörden und das Bundesamt für Sicherheit in der Informationstechnik Orientierungshilfen zur Umsetzung.

FAQ

Müssen kleine Unternehmen die Maßnahmen nach Art. 32 DSGVO ebenfalls umsetzen?
Ja, die Pflicht gilt unabhängig von der Unternehmensgröße. Die Angemessenheit richtet sich jedoch nach dem Risiko, sodass Umfang und Tiefe der Maßnahmen im kleinen Betrieb geringer ausfallen können als in großen Organisationen.

Ist eine Verschlüsselung immer vorgeschrieben?
Die Verschlüsselung wird in Art. 32 Abs. 1 lit. a DSGVO als Beispiel genannt, ist aber nicht in jedem Fall zwingend. Bei mobilen Geräten und der Übertragung sensibler Daten gilt sie in der Praxis jedoch als Standard. Ein Verzicht sollte begründet werden.

Wie oft sollten die technischen und organisatorischen Maßnahmen überprüft werden?
Art. 32 Abs. 1 lit. d DSGVO verlangt eine regelmäßige Überprüfung. In der Praxis hat sich mindestens ein jährlicher Rhythmus bewährt, zusätzlich bei wesentlichen Änderungen wie neuen Systemen, Dienstleistern oder Verarbeitungszwecken.

Was gehört in die Anlage „TOM“ zum Auftragsverarbeitungsvertrag?
Eine konkrete Beschreibung der tatsächlich umgesetzten Maßnahmen des Auftragsverarbeiters, gegliedert nach Kategorien. Allgemeine Floskeln reichen nicht, und die Angaben müssen mit der betrieblichen Realität übereinstimmen.

Reicht eine ISO-27001-Zertifizierung als Nachweis?
Eine Zertifizierung ist ein starkes Indiz für ein funktionierendes Sicherheitsmanagement, ersetzt aber nicht die Prüfung, ob die konkreten Verarbeitungen angemessen geschützt sind. Der Geltungsbereich des Zertifikats muss die betroffenen Verfahren abdecken.

Wer ist im Unternehmen für Art. 32 DSGVO verantwortlich?
Verantwortlich ist das Unternehmen, vertreten durch die Geschäftsführung. Die Umsetzung wird delegiert, etwa an IT-Leitung und Informationssicherheit. Die oder der Datenschutzbeauftragte berät und überwacht, übernimmt aber nicht die Verantwortung.