Verteidigungsorganisationen sind nicht von der Pflicht zu risikogerechten Maßnahmen ausgenommen
DSGVO ist seit Jahren verbindlich, und Artikel 32 bleibt die am häufigsten zitierte Vorschrift bei hohen Bußgeldern. Verteidigungsorganisationen, die Mitarbeiter- und Personaldaten verarbeiten, sind von dieser Verpflichtung nicht ausgenommen, nur weil ihr Hauptaugenmerk auf kontrollierten technischen Daten liegt.
Ein Grund dafür ist, dass Artikel 32 nicht wie eine Checkliste formuliert ist. Er nennt vier Kategorien von Maßnahmen beispielhaft und überlässt die Bewertung der „Angemessenheit“ dem jeweiligen Risiko. Dieser Artikel erläutert, was diese vier Kategorien in der Praxis für Verteidigungsorganisationen tatsächlich bedeuten.
Executive Summary
Artikel 32 der DSGVO benennt vier beispielhafte Kategorien technischer und organisatorischer Maßnahmen. Keine davon lässt sich durch eine einmalige Umsetzung erfüllen. Für Verteidigungsorganisationen besteht die praktische Aufgabe Jahre nach Inkrafttreten der Verordnung nicht darin, ob Artikel 32 einmal adressiert wurde, sondern ob er angesichts aktueller Risiken weiterhin eingehalten wird.
Wichtige Erkenntnisse
- Artikel 32 benennt vier beispielhafte Maßnahmenkategorien, keine feste Checkliste.
- „Angemessen zum Risiko“ bedeutet, dass sich der Maßstab mit der Sensibilität der Daten und der Bedrohungslage verändert.
- Sicherheitsmängel sind der Hauptgrund für hohe DSGVO-Bußgelder, nicht Verfahrenslücken.
- Verschlüsselung ohne Kundenschlüssel-Kontrolle erfüllt Pseudonymisierung nur unzureichend.
- Die vierte Kategorie, das regelmäßige Testen der Wirksamkeit, wird von den meisten Organisationen komplett ausgelassen.
Warum „angemessen“ für Personaldaten ein bewegliches Ziel ist
Artikel 32 vermeidet bewusst die Nennung konkreter Technologien und verlangt stattdessen, dass Maßnahmen dem jeweiligen Risiko der Verarbeitung angemessen sind.
Risikobasierte Formulierungen: Maßstab ändert sich mit Daten und Bedrohungslage
Eine Maßnahme, die für eine bestimmte Kategorie von Personaldaten als angemessen gilt, bleibt dies nicht automatisch, wenn sich die Sensibilität oder die Bedrohungslage verändert.
Aufsichtsbehörden bewerten „angemessen“ im Vergleich zu einer vernünftigen Organisation
Entscheidungen der Aufsichtsbehörden prüfen, ob die getroffenen Maßnahmen dem entsprachen, was eine vernünftige Organisation beim Umgang mit solchen Daten umgesetzt hätte.
Was jede der vier Kategorien tatsächlich verlangt
Jede Kategorie ist in der Praxis bereits mehrfach gescheitert, wie zahlreiche Durchsetzungsentscheidungen zeigen.
Pseudonymisierung und Verschlüsselung, die die Exponierung tatsächlich begrenzen
Verschlüsselung erfüllt diese Kategorie nur schwach, wenn die Organisation, die die verschlüsselten Daten hält, diese routinemäßig entschlüsseln kann.
Kontinuierliche Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Diese Kategorie ist ausdrücklich als kontinuierlicher Prozess zu verstehen, nicht als einmalig bei der Einführung zu bewerten.
Warum dieser Artikel weiterhin zu den höchsten Bußgeldern führt
Hohe Bußgelder bis 2026 konzentrieren sich weiterhin auf unzureichende technische und organisatorische Maßnahmen nach einem Datenschutzverstoß, nicht auf Dokumentationsmängel.
Wie Sie ein nachhaltiges Artikel-32-Programm aufbauen
Die praktische Antwort ist, alle vier Kategorien als fortlaufende operative Verpflichtungen zu behandeln: Überprüfen Sie, ob Verschlüsselung die Exponierung tatsächlich begrenzt, stellen Sie sicher, dass Zugriffskontrollen kontinuierlich überwacht werden, und testen Sie Notfallwiederherstellung nach einem echten Zeitplan.
Wie eine Data Control Plane kontinuierliche Artikel-32-Compliance unterstützt
Die Kiteworks Data Control Plane unterstützt kundeneigene Verschlüsselungsschlüssel über ein Hardware-Sicherheitsmodul, und Audit-Logs sind standardmäßig anonymisiert, was eine echte Pseudonymisierungsschicht hinzufügt. Single-Tenant-Architektur und integrierte Disaster-Recovery-Konfigurationen gewährleisten kontinuierlich Vertraulichkeit, Integrität und Belastbarkeit, während jede Aktion über alle Kanäle hinweg in einem fälschungssicheren, nicht limitierten Audit-Log erfasst wird, der direkt in SIEM-Tools eingespeist wird.
Verteidigungsorganisationen, die ihre aktuellen Maßnahmen anhand einer neuen Artikel-32-Bewertung prüfen möchten, können eine individuelle Demo vereinbaren.
Häufig gestellte Fragen
Nein, Verteidigungsorganisationen, die Mitarbeiter- und Personaldaten verarbeiten, sind nicht von den Pflichten aus Artikel 32 ausgenommen, nur weil ihr Hauptaugenmerk auf kontrollierten technischen Daten liegt.
Maßnahmen müssen am aktuellen Risiko der Verarbeitung gemessen werden. Der Maßstab verändert sich mit der Sensibilität der Daten und der Bedrohungslage und bleibt nicht nach der Erstumsetzung fixiert.
Hohe Bußgelder konzentrieren sich weiterhin auf unzureichende technische und organisatorische Maßnahmen nach einem Datenschutzverstoß, nicht auf Dokumentationsmängel. Die vierte Kategorie, das regelmäßige Testen der Wirksamkeit, wird von Organisationen oft komplett ausgelassen.
Verschlüsselung erfüllt die Kategorie nur unzureichend, wenn die Organisation, die die verschlüsselten Daten hält, diese routinemäßig entschlüsseln kann. Für eine stärkere Compliance ist die Kontrolle des Schlüssels durch den Kunden erforderlich, um die Exponierung tatsächlich zu begrenzen.