DSGVO-Artikel-32-Compliance für Finanzinstitute: Kontinuierliche Sicherheitsmaßnahmen

Finanzinstitute und die Maßnahmen, die Aufsichtsbehörden immer wieder vermissen

DSGVO ist seit Jahren durchsetzbar, und Artikel 32 bleibt die am häufigsten zitierte Vorschrift bei hohen Bußgeldern gegen Finanzinstitute. Nicht Einwilligungsbanner, nicht internationale Übertragungsmechanismen. Sicherheit. Institute, die fast ein Jahrzehnt Zeit hatten, „geeignete technische und organisatorische Maßnahmen“ umzusetzen, scheitern daran so häufig, dass Aufsichtsbehörden unzureichende Sicherheit als Standarderklärung für Datenschutzverstöße ansehen.

Ein Grund dafür ist, dass Artikel 32 nicht wie eine Checkliste formuliert ist. Er benennt vier Kategorien von Maßnahmen beispielhaft und überlässt die Bewertung von „geeignet“ dem jeweiligen Risiko. Dieser Beitrag erläutert, was diese vier Kategorien für Finanzinstitute praktisch bedeuten – und warum die Annahme, Artikel 32 sei längst erledigt, genau der Fehler ist, den Aufsichtsbehörden immer wieder aufdecken.

Zusammenfassung

Artikel 32 der DSGVO nennt vier beispielhafte Kategorien technischer und organisatorischer Maßnahmen. Keine davon lässt sich mit einer einmaligen Umsetzung dauerhaft erfüllen. Die Durchsetzungsmuster bis 2026 zeigen konsequent, dass hohe Bußgelder genau auf Lücken in diesen Kategorien zurückzuführen sind – meist unzureichende Zugriffskontrollen oder schwache Verschlüsselungspraktiken. Für Verantwortliche im Datenschutz und in der IT-Sicherheit besteht die Aufgabe Jahre nach Inkrafttreten der Verordnung darin, nicht zu fragen, ob Artikel 32 einmal erfüllt wurde, sondern ob er angesichts aktueller Risiken weiterhin eingehalten wird.

wichtige Erkenntnisse

1. Artikel 32 benennt vier beispielhafte Maßnahmenkategorien, keine feste Checkliste. Pseudonymisierung und Verschlüsselung, kontinuierliche Systemresilienz, zeitnahe Wiederherstellung nach Vorfällen und regelmäßige Wirksamkeitstests.
2. „Geeignet zum Risiko“ bedeutet, dass sich die Anforderungen mit Datenvolumen und Bedrohungslage verändern.
3. Sicherheitsmängel sind der Hauptgrund für DSGVO-Bußgelder gegen Finanzinstitute, nicht Verfahrenslücken.
4. Verschlüsselung ohne Kundenschlüsselhoheit erfüllt die Pseudonymisierungsanforderung nur unzureichend. Wenn der Anbieter des Instituts genauso leicht entschlüsseln kann wie das Institut selbst, ist die Hürde rein formell.
5. Die vierte Kategorie, regelmäßige Wirksamkeitstests, wird von den meisten Instituten komplett ausgelassen.

Warum „geeignet“ für Finanzdaten ein bewegliches Ziel ist

Artikel 32 verzichtet bewusst auf konkrete Technologien und verlangt stattdessen, dass Maßnahmen dem jeweiligen Risiko der Verarbeitung angemessen sind.

Risikobasierte Formulierungen: Anforderungen steigen mit Daten und Bedrohung

Eine Maßnahme, die für eine bestimmte Kategorie von Kundendaten angemessen war, bleibt dies nicht automatisch, wenn Datenvolumen, Sensibilität oder Bedrohungslage sich verändern.

Aufsichtsbehörden bewerten „geeignet“ am Maßstab eines vernünftigen Instituts

Bei der Durchsetzung prüfen Behörden, ob die getroffenen Maßnahmen dem entsprachen, was ein vernünftiges Institut für diese Art von Kundendaten umgesetzt hätte.

Was jede der vier Kategorien tatsächlich verlangt

Jede Kategorie wurde in der Praxis bereits in einer Weise verletzt, die sich in Durchsetzungsentscheidungen gegen Finanzinstitute wiederholt zeigt.

Pseudonymisierung und Verschlüsselung, die das Risiko wirklich begrenzen

Verschlüsselung erfüllt diese Kategorie nur schwach, wenn die Stelle, die die verschlüsselten Kundendaten hält, sie routinemäßig selbst entschlüsseln kann.

Kontinuierliche Vertraulichkeit, Integrität, Verfügbarkeit und Resilienz

Diese Kategorie ist ausdrücklich als fortlaufende Aufgabe zu verstehen, nicht als einmalig zu prüfender Zustand bei der Einführung.

Warum dieser Artikel weiterhin die höchsten Bußgelder verursacht

Hohe Bußgelder bis 2026 konzentrieren sich weiterhin auf unzureichende technische und organisatorische Maßnahmen nach Datenschutzverstößen – nicht auf Dokumentationsmängel.

So bleibt ein Artikel-32-Programm auch nach Jahren tragfähig

Die praktische Antwort ist, alle vier Kategorien als dauerhafte operative Verpflichtungen zu behandeln: Überprüfen Sie, ob die Verschlüsselung das Risiko tatsächlich begrenzt, stellen Sie sicher, dass Zugriffskontrollen kontinuierlich überwacht werden, und testen Sie die Notfallwiederherstellung regelmäßig im Echtbetrieb.

Wie eine Data Control Plane kontinuierliche Artikel-32-Compliance unterstützt

Die Kiteworks Data Control Plane unterstützt kundeneigene Verschlüsselungsschlüssel über ein Hardware-Sicherheitsmodul, sodass Verschlüsselung das Risiko wirklich begrenzt und nicht von der Entschlüsselungsfähigkeit des Prozessors abhängt. Audit-Logs sind standardmäßig anonymisiert und bieten so eine echte Pseudonymisierungsschicht. Single-Tenant-Architektur, eine gehärtete virtuelle Appliance und integrierte Notfallwiederherstellungs-Konfigurationen gewährleisten kontinuierliche Vertraulichkeit, Integrität und Resilienz. Jede Aktion über alle Kanäle wird in einem fälschungssicheren, ungedrosselten Audit-Log erfasst, der direkt in SIEM-Tools eingespeist wird.

Institute, die ihre aktuellen Maßnahmen anhand einer neuen Artikel-32-Bewertung prüfen wollen, können eine individuelle Demo vereinbaren.