Was „technische Maßnahmen“ für die firmeneigenen Systeme einer Kanzlei bedeutet
Was „technische Maßnahmen“ für die eigenen Systeme einer Kanzlei bedeutet
DSGVO ist seit Jahren durchsetzbar, und Artikel 32 bleibt die am häufigsten zitierte Vorschrift bei hohen Bußgeldern. Kanzleien, die personenbezogene Daten von Mandanten verarbeiten, sind nicht von dieser Prüfung ausgenommen, nur weil es sich dabei auch um privilegierte Daten handelt.
Ein Grund dafür ist, dass Artikel 32 keine Checkliste vorgibt. Er benennt vier Kategorien von Maßnahmen beispielhaft und überlässt die Bewertung der „Angemessenheit“ dem jeweiligen Risiko. Dieser Beitrag erläutert, was diese vier Kategorien für Kanzleien in der Praxis tatsächlich verlangen.
Zusammenfassung
Artikel 32 der DSGVO beschreibt vier beispielhafte Kategorien technischer und organisatorischer Maßnahmen. Keine davon ist mit einer einmaligen Umsetzung erfüllt. Für Kanzleien besteht die praktische Aufgabe Jahre nach Inkrafttreten der Verordnung nicht darin zu fragen, ob Artikel 32 einmal adressiert wurde, sondern ob er angesichts aktueller Risiken weiterhin eingehalten wird.
wichtige Erkenntnisse
- Artikel 32 benennt vier beispielhafte Maßnahmenkategorien, keine feste Checkliste.
- „Angemessen zum Risiko“ bedeutet, dass sich der Maßstab mit der Sensibilität der Daten und der Bedrohungslage verschiebt.
- Sicherheitsmängel sind der Hauptgrund für große DSGVO-Bußgelder, nicht Verfahrenslücken.
- Verschlüsselung ohne Kontrolle des Verschlüsselungsschlüssels durch den Kunden erfüllt die Pseudonymisierung nur unzureichend.
- Die vierte Kategorie, die regelmäßige Wirksamkeitsprüfung, wird von den meisten Kanzleien komplett übergangen.
Warum „angemessen“ für Mandantendaten ein bewegliches Ziel ist
Artikel 32 vermeidet bewusst die Nennung konkreter Technologien und verlangt stattdessen, dass Maßnahmen dem jeweiligen Risiko der Verarbeitung angemessen sind.
Risiko-basierte Formulierungen verschieben den Maßstab mit Daten und Bedrohungslage
Eine für eine bestimmte Mandantendaten-Kategorie als angemessen bewertete Maßnahme bleibt nicht automatisch angemessen, wenn sich Sensibilität oder Bedrohungslage ändern.
Aufsichtsbehörden bewerten „angemessen“ an dem, was eine vernünftige Kanzlei getan hätte
Bei Durchsetzungsentscheidungen wird geprüft, ob die getroffenen Maßnahmen dem entsprachen, was eine vernünftige Kanzlei bei der Verarbeitung dieser Mandantendaten umgesetzt hätte.
Was jede der vier Kategorien tatsächlich verlangt
Jede Kategorie ist in der Praxis bereits gescheitert – das zeigen zahlreiche Durchsetzungsentscheidungen.
Pseudonymisierung und Verschlüsselung, die das Risiko tatsächlich begrenzen
Verschlüsselung erfüllt diese Kategorie nur schwach, wenn die Stelle, die die verschlüsselten Daten hält, diese routinemäßig auch entschlüsseln kann.
Ständige Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
Diese Kategorie ist ausdrücklich als kontinuierlicher Prozess zu verstehen, nicht als einmalige Bewertung bei der Einführung.
Warum dieser Artikel immer noch die höchsten Bußgelder verursacht
Hohe Bußgelder bis 2026 betreffen weiterhin unzureichende technische und organisatorische Maßnahmen nach einem Datenschutzverstoß – nicht fehlende Dokumentation.
So bleibt ein Artikel-32-Programm auch nach Jahren wirksam
Die praktische Antwort ist, alle vier Kategorien als dauerhafte operative Verpflichtungen zu behandeln: Überprüfen Sie, ob Verschlüsselung das Risiko tatsächlich begrenzt, stellen Sie sicher, dass Zugriffskontrollen kontinuierlich überwacht werden, und testen Sie die Notfallwiederherstellung nach einem echten Zeitplan.
Wie eine Data Control Plane die kontinuierliche Einhaltung von Artikel 32 unterstützt
Die Kiteworks Data Control Plane unterstützt kundeneigene Verschlüsselungsschlüssel über ein Hardware-Sicherheitsmodul, sodass Verschlüsselung die Exponierung wirklich begrenzt und nicht von der Entschlüsselungsfähigkeit des Prozessors abhängt. Audit-Logs sind standardmäßig anonymisiert und bieten so eine echte Pseudonymisierungsschicht. Single-Tenant-Architektur und integrierte Disaster-Recovery-Konfigurationen unterstützen fortlaufende Vertraulichkeit, Integrität und Belastbarkeit. Jede Aktion in jedem Kanal wird in einem unveränderbaren, uneingeschränkten Audit-Log erfasst, das direkt in SIEM-Tools eingespeist wird.
Kanzleien, die ihre aktuellen Maßnahmen mit einer neuen Artikel-32-Bewertung abgleichen möchten, können eine individuelle Demo vereinbaren.
Häufig gestellte Fragen
Artikel 32 benennt vier beispielhafte Kategorien technischer und organisatorischer Maßnahmen, die dem Risiko angemessen sein müssen – darunter Pseudonymisierung und Verschlüsselung, fortlaufende Vertraulichkeit/Integrität/Verfügbarkeit/Belastbarkeit und regelmäßige Wirksamkeitsprüfungen. Einmalige Umsetzungen reichen nicht aus; die Maßnahmen müssen stets dem aktuellen Risiko entsprechen.
Artikel 32 verwendet risikobasierte Formulierungen. Maßnahmen, die für bestimmte Mandantendaten als angemessen galten, bleiben es nicht automatisch, wenn sich Sensibilität oder Bedrohungslage ändern. Aufsichtsbehörden prüfen, ob die Maßnahmen dem entsprachen, was eine vernünftige Kanzlei umgesetzt hätte.
Verschlüsselung erfüllt die Kategorie nur unzureichend, wenn die Stelle, die die Daten hält, diese routinemäßig entschlüsseln kann. Eine stärkere Compliance erfordert kundeneigene Verschlüsselungsschlüssel, die das Risiko begrenzen, ohne auf die Entschlüsselungsfähigkeit des Prozessors zu setzen.
Die regelmäßige Wirksamkeitsprüfung der Maßnahmen wird von den meisten Kanzleien komplett übergangen. Sicherheitsmängel nach Artikel 32 sind weiterhin der Hauptgrund für die höchsten DSGVO-Bußgelder – nicht fehlende Dokumentation.