Behörden des öffentlichen Sektors und Maßnahmen, die nicht mehr als „angemessen“ gelten
Wichtige Erkenntnisse
- Artikel 32 nennt beispielhafte Kategorien. Er benennt vier Kategorien von Maßnahmen, ohne eine feste Checkliste vorzugeben; die Angemessenheit richtet sich nach dem Risiko.
- Das Risikoniveau verändert sich mit Daten und Bedrohungen. Maßnahmen müssen weiterhin angemessen bleiben, wenn das Volumen von Bürgerdaten und die Bedrohungslage sich im Laufe der Zeit verändern.
- Sicherheitsmängel führen zu hohen Bußgeldern. Durchsetzungsmaßnahmen konzentrieren sich auf unzureichende technische und organisatorische Maßnahmen, nicht auf Dokumentationsmängel.
- Regelmäßige Tests werden oft ausgelassen. Die kontinuierliche Überprüfung der Wirksamkeit von Maßnahmen ist das Element, das Behörden am häufigsten komplett übersehen.
DSGVO ist seit Jahren durchsetzbar, und Artikel 32 bleibt die am häufigsten zitierte Vorschrift bei hohen Bußgeldern. Öffentliche Stellen, die große Mengen an Bürgerdaten verarbeiten, sind von dieser Verpflichtung nicht ausgenommen und stehen aufgrund der Sensibilität und des Umfangs der Daten oft unter erhöhten Erwartungen.
Ein Grund dafür ist, dass Artikel 32 nicht wie eine Checkliste formuliert ist. Er nennt vier Kategorien von Maßnahmen beispielhaft und überlässt es der Risikobewertung, was als „angemessen“ gilt. Dieser Artikel erläutert, was diese vier Kategorien in der Praxis für öffentliche Stellen tatsächlich bedeuten.
Zusammenfassung
Artikel 32 der DSGVO definiert vier beispielhafte Kategorien technischer und organisatorischer Maßnahmen. Keine davon ist mit einer einmaligen Umsetzung erfüllt. Für öffentliche Stellen besteht die praktische Aufgabe Jahre nach Inkrafttreten der Verordnung nicht darin, ob Artikel 32 einmal adressiert wurde, sondern ob er angesichts aktueller Risiken weiterhin eingehalten wird.
Wichtige Erkenntnisse
- Artikel 32 nennt vier beispielhafte Maßnahmenkategorien, keine feste Checkliste.
- „Angemessen zum Risiko“ bedeutet, dass sich das Schutzniveau mit Datenvolumen und Bedrohungslage verändert.
- Sicherheitsmängel dominieren große DSGVO-Bußgelder, nicht Verfahrenslücken.
- Verschlüsselung ohne Kundenschlüssel erfüllt Pseudonymisierung nur eingeschränkt.
- Der vierte Punkt, die regelmäßige Wirksamkeitsprüfung, wird von Behörden am häufigsten ausgelassen.
Warum „angemessen“ für Bürgerdaten ein bewegliches Ziel ist
Artikel 32 verzichtet bewusst auf die Nennung spezifischer Technologien und verlangt stattdessen, dass Maßnahmen dem jeweiligen Risiko der Verarbeitung angemessen sind.
Risikoorientierte Sprache bedeutet, das Schutzniveau verändert sich mit Daten und Bedrohung
Eine Maßnahme, die für eine bestimmte Kategorie von Bürgerdaten als angemessen gilt, bleibt dies nicht automatisch, wenn sich Volumen oder Bedrohungslage ändern.
Aufsichtsbehörden bewerten „angemessen“ daran, was eine vernünftige Behörde getan hätte
Bei Durchsetzungsentscheidungen wird bewertet, ob die getroffenen Maßnahmen dem entsprachen, was eine vernünftige Behörde bei der Verarbeitung dieser Daten umgesetzt hätte.
Was jede der vier Kategorien tatsächlich erfordert
Jede Kategorie ist in der Praxis bereits mehrfach gescheitert, wie sich in Durchsetzungsentscheidungen zeigt.
Pseudonymisierung und Verschlüsselung, die die Exponierung tatsächlich begrenzen
Verschlüsselung erfüllt diese Kategorie nur eingeschränkt, wenn die Stelle, die die verschlüsselten Daten hält, sie routinemäßig auch entschlüsseln kann.
Laufende Vertraulichkeit, Integrität, Verfügbarkeit und Resilienz
Diese Kategorie ist ausdrücklich kontinuierlich zu gewährleisten und nicht nur einmalig bei der Einführung zu prüfen.
Warum dieser Artikel weiterhin die höchsten Bußgelder verursacht
Hohe Bußgelder bis 2026 konzentrieren sich weiterhin auf unzureichende technische und organisatorische Maßnahmen nach einem Datenschutzverstoß, nicht auf Dokumentationsmängel.
Wie ein Artikel-32-Programm auch nach Jahren Bestand hat
Die praktische Antwort ist, alle vier Kategorien als fortlaufende operative Verpflichtungen zu behandeln: Überprüfen Sie, ob Verschlüsselung die Exponierung tatsächlich begrenzt, stellen Sie sicher, dass Zugriffskontrollen kontinuierlich überwacht werden, und testen Sie die Notfallwiederherstellung nach einem festen Zeitplan.
Wie eine Data Control Plane die kontinuierliche Einhaltung von Artikel 32 unterstützt
Die Kiteworks Data Control Plane unterstützt kundeneigene Verschlüsselungsschlüssel über ein Hardware-Sicherheitsmodul, und Audit-Logs werden standardmäßig anonymisiert, was eine echte Pseudonymisierungsschicht hinzufügt. Single-Tenant-Architektur und integrierte Notfallwiederherstellung sorgen für kontinuierliche Vertraulichkeit, Integrität und Resilienz, während jede Aktion über alle Kanäle hinweg in einem unveränderbaren, nicht gedrosselten Audit-Log erfasst und direkt in SIEM-Tools eingespeist wird.
Behörden, die ihre aktuellen Maßnahmen anhand einer neuen Artikel-32-Bewertung testen möchten, können eine individuelle Demo vereinbaren.
Häufig gestellte Fragen
Sicherheitsmängel stehen im Mittelpunkt großer DSGVO-Durchsetzungsmaßnahmen, nicht Dokumentationslücken. Artikel 32 verlangt fortlaufende technische und organisatorische Maßnahmen, die sich an verändernde Risiken anpassen.
Die erforderlichen Maßnahmen sind nicht festgelegt; das Schutzniveau verändert sich mit dem Volumen der Bürgerdaten und der Bedrohungslage und erfordert eine kontinuierliche Neubewertung anhand dessen, was eine vernünftige Behörde umsetzen würde.
Verschlüsselung erfüllt die Anforderung nur eingeschränkt, wenn die kontrollierende Stelle die Daten routinemäßig entschlüsseln kann; eine echte Begrenzung der Exponierung wird erreicht, wenn Behörden kundeneigene Verschlüsselungsschlüssel nutzen.
Die Verpflichtung, die Wirksamkeit technischer und organisatorischer Maßnahmen regelmäßig zu testen, zu bewerten und zu evaluieren, wird von Behörden am häufigsten komplett ausgelassen, obwohl sie für die kontinuierliche Compliance essenziell ist.