Nexvyra

DSGVO Art. 32 (VO 2016/679) – Technische und organisatorische Maßnahmen (TOM), Sicherheit der Verarbeitung

DSGVO Art. 32 (VO 2016/679) – Technische und organisatorische Maßnahmen (TOM), Sicherheit der Verarbeitung

Kurzantwort

Art. 32 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) verpflichtet Verantwortliche und Auftragsverarbeiter, ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten sicherzustellen. Sie müssen dazu geeignete technische und organisatorische Maßnahmen (TOM) treffen – unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte betroffener Personen (Art. 32 Abs. 1).

Das Gesetz nennt beispielhaft vier Maßnahmengruppen: Pseudonymisierung und Verschlüsselung (lit. a), Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme (lit. b), rasche Wiederherstellbarkeit nach einem Zwischenfall (lit. c) sowie ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOM (lit. d).

Die DSGVO ist als EU-Verordnung unmittelbar in Deutschland anwendbar – ein nationales Umsetzungsgesetz ist nicht erforderlich. Verstöße gegen Art. 32 fallen in den niedrigeren Bußgeldrahmen des Art. 83 Abs. 4 lit. a DSGVO: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (der höhere Betrag zählt). Die Nachweislast, dass die getroffenen TOM angemessen waren, trägt nach dem Rechenschaftsprinzip (Art. 5 Abs. 2, Art. 24) der Verantwortliche – das hat der EuGH mit Urteil vom 14.12.2023 (C-340/21) ausdrücklich bestätigt.

Kernfakten

PunktWert
RechtsaktVerordnung (EU) 2016/679 (DSGVO), Artikel 32 [EUR-Lex, CELEX:32016R0679]
RechtsnaturEU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)
Geltung ab25. Mai 2018 [Art. 99 Abs. 2 DSGVO]
VerpflichteteVerantwortlicher UND Auftragsverarbeiter (Art. 32 Abs. 1)
Maßstabdem Risiko angemessenes Schutzniveau – risikobasierter Ansatz
AbwägungskriterienStand der Technik, Implementierungskosten, Art/Umfang/Umstände/Zwecke, Eintrittswahrscheinlichkeit + Schwere des Risikos
lit. aPseudonymisierung und Verschlüsselung personenbezogener Daten
lit. bVertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit der Systeme und Dienste
lit. cFähigkeit zur raschen Wiederherstellung der Verfügbarkeit nach einem Zwischenfall
lit. dVerfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit
Risikobewertung (Abs. 2)insb. Risiken durch Vernichtung, Verlust, Veränderung, unbefugte Offenlegung/Zugang
Nachweis (Abs. 3)Einhaltung durch genehmigte Verhaltensregeln (Art. 40) oder Zertifizierung (Art. 42) darlegbar
Weisungsbindung (Abs. 4)unterstellte Personen dürfen Daten nur auf Weisung verarbeiten
Nachweislast AngemessenheitVerantwortlicher (Art. 5 Abs. 2, Art. 24; EuGH C-340/21)
Bußgeldrahmenbis zu 10 Mio. € oder 2 % weltweiter Jahresumsatz [Art. 83 Abs. 4 lit. a]
Verhältnis DatenpanneDatenschutzverletzung ↔ Meldepflichten Art. 33/34; TOM-Verstoß eigenständig sanktionierbar

Geltungsbereich

Art. 32 DSGVO gilt für jede ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung in einem Dateisystem (Art. 2 Abs. 1 DSGVO). Anders als die meisten Grundpflichten adressiert Art. 32 ausdrücklich sowohl den Verantwortlichen als auch den Auftragsverarbeiter – beide müssen eigenständig für angemessene Sicherheit sorgen. In Auftragsverarbeitungsverhältnissen ist die konkrete TOM-Ausgestaltung zusätzlich vertraglich nach Art. 28 Abs. 3 lit. c DSGVO festzulegen.

Räumlich erfasst die DSGVO nach dem Marktortprinzip (Art. 3) auch Verantwortliche und Auftragsverarbeiter außerhalb der EU, wenn sie betroffenen Personen in der EU Waren/Dienstleistungen anbieten oder deren Verhalten beobachten. Der Sicherheitsstandard ist kein starrer Katalog, sondern risikobasiert: Je höher das Risiko für die Rechte und Freiheiten der betroffenen Personen, desto strenger die Anforderungen an die TOM.

Die vier Maßnahmengruppen im Detail (Art. 32 Abs. 1 lit. a–d)

lit. a – Pseudonymisierung und Verschlüsselung. Das Gesetz hebt diese beiden Techniken ausdrücklich hervor. Pseudonymisierung (Art. 4 Nr. 5) ersetzt identifizierende Merkmale so, dass eine Zuordnung nur mit gesondert aufbewahrten Zusatzinformationen möglich ist. Verschlüsselung schützt Daten bei Speicherung („at rest") und Übertragung („in transit"). Beide sind Beispiele, keine Pflicht in jedem Fall – ihre Erforderlichkeit hängt vom Risiko ab.

lit. b – Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit. Klassische Schutzziele der Informationssicherheit: Vertraulichkeit (kein unbefugter Zugriff), Integrität (keine unbefugte Veränderung), Verfügbarkeit (Daten sind bei Bedarf zugänglich) und Belastbarkeit („Resilienz" – Systeme widerstehen Störungen und Angriffen). Umgesetzt u. a. durch Zugriffskontrollen, Rollen-/Rechtekonzepte, Protokollierung, Netzsegmentierung und redundante Systeme.

lit. c – Wiederherstellbarkeit. Nach einem physischen oder technischen Zwischenfall (z. B. Ransomware, Hardwaredefekt) muss die Verfügbarkeit und der Zugang zu den Daten rasch wiederhergestellt werden können. Kernmaßnahme sind getestete Back-up- und Recovery-Konzepte (Notfallmanagement, Business Continuity).

lit. d – Regelmäßige Überprüfung und Evaluierung. TOM sind kein Einmalprojekt: Es ist ein Verfahren einzurichten, das die Wirksamkeit der Maßnahmen regelmäßig überprüft, bewertet und evaluiert (z. B. Penetrationstests, Audits, Reviews). Sicherheit ist ein fortlaufender Prozess, der an neue Bedrohungen und den Stand der Technik anzupassen ist.

Risikobewertung und Nachweis (Art. 32 Abs. 2–4)

Nach Abs. 2 ist bei der Beurteilung des angemessenen Schutzniveaus insbesondere den Risiken Rechnung zu tragen, die mit der Verarbeitung verbunden sind – vor allem durch Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von bzw. unbefugten Zugang zu übermittelten, gespeicherten oder anderweitig verarbeiteten Daten (ob unbeabsichtigt oder unrechtmäßig).

Abs. 3 stellt klar, dass die Einhaltung des Art. 32 durch genehmigte Verhaltensregeln (Art. 40) oder ein genehmigtes Zertifizierungsverfahren (Art. 42) als Nachweis (Faktor, nicht Freibrief) herangezogen werden kann.

Abs. 4 verpflichtet Verantwortliche und Auftragsverarbeiter sicherzustellen, dass ihnen unterstellte Personen mit Zugang zu personenbezogenen Daten diese nur auf Weisung verarbeiten – es sei denn, sie sind gesetzlich zur Verarbeitung verpflichtet.

EuGH-Rechtsprechung: Beweislast und Haftung

EuGH, 14.12.2023 – C-340/21 (Natsionalna agentsia za prihodite). Nach einem Hackerangriff auf die bulgarische Steuerbehörde klagten Betroffene auf immateriellen Schadensersatz. Der EuGH entschied:

  1. Die Angemessenheit der TOM ist durch das nationale Gericht konkret und inhaltlich zu prüfen – nicht bloß abstrakt.
  2. Beweislast: Der Verantwortliche muss nachweisen, dass seine Sicherheitsmaßnahmen den Anforderungen des Art. 32 genügten (Ausfluss der Rechenschaftspflicht, Art. 5 Abs. 2, Art. 24).
  3. Allein die Tatsache, dass Dritte unbefugt Daten offengelegt oder Zugang erlangt haben, genügt nicht, um die TOM automatisch als „ungeeignet" zu bewerten.
  4. Der Verantwortliche kann sich von der Haftung nach Art. 82 Abs. 3 nur befreien, wenn er nachweist, dass er für den Schaden in keinerlei Hinsicht verantwortlich ist.

EuGH, 25.01.2024 – C-687/21 (MediaMarktSaturn). Ein Mitarbeiter hatte Vertragsunterlagen versehentlich an einen falschen Kunden ausgehändigt. Der EuGH stellte klar, dass ein rein hypothetisches Missbrauchsrisiko für sich genommen keinen ersatzfähigen immateriellen Schaden begründet; die betroffene Person muss einen tatsächlichen Schaden nachweisen. Zugleich bestätigte der Gerichtshof, dass die Haftung des Verantwortlichen für Fehler eigener Beschäftigter grundsätzlich in Betracht kommt.

Häufige Fehler

Quellen

Änderungsverlauf

Stand