Auch Hersteller verarbeiten personenbezogene Daten
DSGVO ist seit Jahren verbindlich, und Artikel 32 bleibt die am häufigsten zitierte Vorschrift bei hohen Bußgeldern. Hersteller, die personenbezogene Daten von Mitarbeitenden, Kunden und Lieferanten zusammen mit technischen Daten verarbeiten, sind von dieser Verpflichtung nicht ausgenommen.
Ein Grund dafür ist, dass Artikel 32 nicht als Checkliste formuliert ist. Er nennt vier Kategorien von Maßnahmen beispielhaft und überlässt die Bewertung der „Angemessenheit“ dem jeweiligen Risiko. Dieser Artikel erläutert, was diese vier Kategorien für Hersteller in der Praxis tatsächlich bedeuten.
Executive Summary
Artikel 32 der DSGVO definiert vier beispielhafte Kategorien technischer und organisatorischer Maßnahmen. Keine davon ist mit einer einmaligen Umsetzung erfüllt. Für Hersteller besteht die praktische Aufgabe Jahre nach Inkrafttreten der Verordnung nicht darin, ob Artikel 32 einmal adressiert wurde, sondern ob er weiterhin im Hinblick auf aktuelle Risiken eingehalten wird.
wichtige Erkenntnisse
- Artikel 32 nennt vier beispielhafte Maßnahmenkategorien, keine feste Checkliste.
- „Angemessen zum Risiko“ bedeutet, dass sich der Maßstab mit der Sensibilität der Daten und der Bedrohungslage verändert.
- Sicherheitsmängel sind der Hauptgrund für DSGVO-Bußgelder, nicht Verfahrenslücken.
- Verschlüsselung ohne Kontrolle des Verschlüsselungsschlüssels durch den Kunden erfüllt Pseudonymisierung nur unzureichend.
- Der vierte Punkt, die regelmäßige Überprüfung der Wirksamkeit, wird von den meisten Herstellern komplett ausgelassen.
Warum „angemessen“ für personenbezogene Daten ein bewegliches Ziel ist
Artikel 32 verzichtet bewusst auf die Nennung bestimmter Technologien und verlangt stattdessen, dass Maßnahmen dem Risiko der jeweiligen Verarbeitung angemessen sind.
Risiko-basierte Formulierungen verschieben den Maßstab mit den Daten und Bedrohungen
Eine für eine bestimmte Kategorie personenbezogener Daten als angemessen bewertete Maßnahme bleibt nicht automatisch angemessen, wenn sich die Sensibilität oder die Bedrohungslage verändert.
Aufsichtsbehörden bewerten „angemessen“ anhand dessen, was ein vernünftiger Hersteller getan hätte
Bei der Durchsetzung wird geprüft, ob die getroffenen Maßnahmen dem entsprachen, was ein vernünftiger Hersteller mit diesen Daten umgesetzt hätte.
Was jede der vier Kategorien tatsächlich verlangt
Jede Kategorie ist in der Praxis bereits auf Arten gescheitert, die sich in Durchsetzungsentscheidungen wiederholen.
Pseudonymisierung und Verschlüsselung, die die Exponierung tatsächlich begrenzen
Verschlüsselung erfüllt diese Anforderung nur unzureichend, wenn die Stelle mit Zugriff auf die verschlüsselten Daten diese routinemäßig entschlüsseln kann.
Kontinuierliche Vertraulichkeit, Integrität, Verfügbarkeit und Resilienz
Diese Kategorie ist ausdrücklich als fortlaufend zu verstehen, nicht als einmalig bei der Einführung zu prüfen.
Warum dieser Artikel weiterhin die höchsten Bußgelder auslöst
Hohe Bußgelder bis 2026 konzentrieren sich weiterhin auf unzureichende technische und organisatorische Maßnahmen nach einem Vorfall – nicht auf Dokumentationsmängel.
So bleibt ein Artikel-32-Programm auch nach Jahren belastbar
Die praktische Antwort: Alle vier Kategorien müssen als fortlaufende operative Verpflichtungen behandelt werden – prüfen Sie, ob Verschlüsselung die Exponierung wirklich begrenzt, stellen Sie sicher, dass Zugriffskontrollen kontinuierlich überwacht werden, und testen Sie Notfallwiederherstellung nach einem festen Zeitplan.
Wie ein Data Control Plane kontinuierliche Artikel-32-Compliance unterstützt
Das Kiteworks Data Control Plane unterstützt kundeneigene Verschlüsselungsschlüssel über ein Hardware-Sicherheitsmodul, und Audit-Logs werden standardmäßig anonymisiert, was eine echte Pseudonymisierungsschicht hinzufügt. Single-Tenant-Architektur und integrierte Notfallwiederherstellung sorgen für kontinuierliche Vertraulichkeit, Integrität und Resilienz, während jede Aktion über alle Kanäle hinweg in einem unveränderbaren, nicht gedrosselten Audit-Log erfasst wird, das direkt in SIEM-Tools eingespeist wird.
Hersteller, die ihre aktuellen Maßnahmen mit einer neuen Artikel-32-Bewertung abgleichen möchten, können eine individuelle Demo vereinbaren.
Häufig gestellte Fragen
Sicherheitsmängel sind der Hauptgrund für DSGVO-Bußgelder, nicht Dokumentationslücken. Artikel 32 verlangt fortlaufende technische und organisatorische Maßnahmen, die dem aktuellen Risikoniveau entsprechen.
Die geforderten Maßnahmen sind nicht festgelegt; der Maßstab verschiebt sich mit der Sensibilität der Daten und der Bedrohungslage. Aufsichtsbehörden prüfen, ob ein vernünftiger Hersteller mit ähnlichen Daten dieselben Kontrollen umgesetzt hätte.
Verschlüsselung erfüllt die Anforderung nur unzureichend, wenn das Unternehmen mit Zugriff auf die Daten diese routinemäßig entschlüsseln kann. Eine echte Begrenzung der Exponierung erfordert kundeneigene Verschlüsselungsschlüssel.
Der vierte Punkt – regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen – fehlt am häufigsten vollständig in Compliance-Programmen.