Sicherheitsmaßnahmen im Gesundheitswesen, die von Aufsichtsbehörden weiterhin beanstandet werden
DSGVO ist seit Jahren verbindlich, und Artikel 32 bleibt die am häufigsten zitierte Vorschrift bei hohen Bußgeldern. Gesundheitssysteme, die besondere Kategorien von Patientendaten verarbeiten, unterliegen dabei besonders strengen Anforderungen im Sinne von „angemessen zum Risiko“.
Ein Grund dafür ist, dass Artikel 32 nicht wie eine Checkliste aufgebaut ist. Er benennt vier Kategorien von Maßnahmen beispielhaft und überlässt die Beurteilung der „Angemessenheit“ dem jeweiligen Risiko. Dieser Beitrag zeigt, was diese vier Kategorien in der Praxis für Gesundheitssysteme tatsächlich bedeuten.
Executive Summary
Artikel 32 der DSGVO beschreibt vier beispielhafte Kategorien technischer und organisatorischer Maßnahmen. Keine davon ist mit einer einmaligen Umsetzung erledigt. Für Gesundheitssysteme besteht die praktische Aufgabe Jahre nach Inkrafttreten der Verordnung darin, nicht zu fragen, ob Artikel 32 einmal erfüllt wurde, sondern ob er weiterhin im Hinblick auf aktuelle Risiken eingehalten wird.
wichtige Erkenntnisse
- Artikel 32 benennt vier beispielhafte Maßnahmenkategorien, keine feste Checkliste.
- „Angemessen zum Risiko“ bedeutet, dass sich die Anforderungen mit der Sensitivität der Patientendaten und der Bedrohungslage verändern.
- Sicherheitsmängel sind der Hauptgrund für DSGVO-Bußgelder, nicht Verfahrenslücken.
- Verschlüsselung ohne Kontrolle über den eigenen Schlüssel erfüllt die Pseudonymisierung nur unzureichend.
- Die vierte Kategorie, das regelmäßige Testen der Wirksamkeit, wird von den meisten Gesundheitssystemen komplett übergangen.
Warum „angemessen“ für Patientendaten ein bewegliches Ziel ist
Artikel 32 vermeidet bewusst die Nennung konkreter Technologien und fordert stattdessen, dass Maßnahmen dem jeweiligen Risiko der Verarbeitung angemessen sein müssen.
Risiko-basierte Formulierungen verschieben die Anforderungen mit Daten und Bedrohungslage
Eine Maßnahme, die für eine bestimmte Kategorie von Patientendaten angemessen war, bleibt dies nicht automatisch, wenn sich Sensitivität oder Bedrohungslage ändern.
Aufsichtsbehörden bewerten „angemessen“ anhand dessen, was ein vernünftiges Gesundheitssystem getan hätte
Bei der Durchsetzung wird geprüft, ob die getroffenen Maßnahmen dem entsprechen, was ein vernünftiges Gesundheitssystem für diese Art von Patientendaten umgesetzt hätte.
Was jede der vier Kategorien tatsächlich verlangt
Jede Kategorie ist in der Praxis bereits auf Arten gescheitert, die sich in behördlichen Entscheidungen wiederfinden.
Pseudonymisierung und Verschlüsselung, die die Exponierung tatsächlich begrenzen
Verschlüsselung erfüllt diese Kategorie nur schwach, wenn die Stelle, die die verschlüsselten Patientendaten hält, sie routinemäßig auch entschlüsseln kann.
Fortlaufende Vertraulichkeit, Integrität, Verfügbarkeit und Resilienz
Diese Kategorie ist ausdrücklich als kontinuierlicher Prozess zu verstehen, nicht als einmalige Bewertung bei der Einführung.
Warum dieser Artikel weiterhin die höchsten Bußgelder verursacht
Hohe Bußgelder bis 2026 resultieren weiterhin aus unzureichenden technischen und organisatorischen Maßnahmen nach einem Vorfall – nicht aus Dokumentationsmängeln.
So bleibt ein Artikel-32-Programm auch nach Jahren wirksam
Die praktische Antwort ist, alle vier Kategorien als fortlaufende operative Verpflichtungen zu behandeln: Überprüfen Sie, ob Verschlüsselung die Exponierung wirklich begrenzt, stellen Sie sicher, dass Zugriffskontrollen kontinuierlich überwacht werden, und testen Sie die Notfallwiederherstellung nach einem festen Plan.
Wie eine Data Control Plane kontinuierliche Artikel-32-Compliance unterstützt
Die Kiteworks Data Control Plane unterstützt kundeneigene Verschlüsselungsschlüssel über ein Hardware-Sicherheitsmodul, sodass Verschlüsselung die Exponierung tatsächlich begrenzt und Audit-Logs standardmäßig anonymisiert werden – eine echte Pseudonymisierungsebene. Single-Tenant-Architektur und integrierte Notfallwiederherstellung sorgen für fortlaufende Vertraulichkeit, Integrität und Resilienz. Jede Aktion über alle Kanäle wird in einem unveränderbaren, uneingeschränkten Audit-Log erfasst, der direkt in SIEM-Tools eingespeist wird.
Gesundheitssysteme, die ihre aktuellen Maßnahmen anhand einer neuen Artikel-32-Bewertung prüfen möchten, können eine individuelle Demo vereinbaren.
Häufig gestellte Fragen
Artikel 32 benennt vier beispielhafte Kategorien technischer und organisatorischer Maßnahmen, die dem Risiko angemessen sein müssen – darunter Pseudonymisierung und Verschlüsselung, fortlaufende Vertraulichkeit, Integrität, Verfügbarkeit und Resilienz sowie regelmäßige Wirksamkeitstests.
Weil die Verordnung verlangt, dass Maßnahmen an die aktuelle Sensitivität der Daten und die Bedrohungslage angepasst werden. Eine Kontrolle, die früher ausreichend war, erfüllt den Standard möglicherweise nicht mehr, wenn sich die Risiken für Patientendaten verändern.
Verschlüsselung begrenzt die Exponierung nur dann wirksam, wenn das Unternehmen, das die Daten hält, sie nicht routinemäßig entschlüsseln kann. Andernfalls bleibt der Schutz oberflächlich und verfehlt die Intention der ersten Kategorie.
Am häufigsten wird die regelmäßige Überprüfung der Wirksamkeit der Maßnahmen ausgelassen. Das ist kritisch, weil alle vier Kategorien als fortlaufende operative Verpflichtungen und nicht als einmalige Maßnahmen zu behandeln sind.