Technischer Datenschutz nach Art. 32 DSGVO: TOMs, Meldepflicht & Auftragsverarbeitung

Art. 32 DSGVO ist das technische Herzstueck der Datenschutz-Grundverordnung. Er verpflichtet jeden Verantwortlichen -- also jedes Unternehmen, das personenbezogene Daten verarbeitet -- unter Beruecksichtigung des Stands der Technik geeignete technische und organisatorische Massnahmen zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewaehrleisten. Die Verordnung gibt dabei vier konkrete Schutzziele vor, die jedes TOM-Konzept adressieren muss.

Die vier Schutzziele nach Art. 32 DSGVO

• Vertraulichkeit: Nur befugte Personen duerfen auf personenbezogene Daten zugreifen. Massnahmen: Verschluesselung, Zugriffskontrolle, Berechtigungskonzepte.
• Integritaet: Daten duerfen nicht unbefugt veraendert oder verfaelscht werden. Massnahmen: Weitergabe- und Eingabekontrolle, Protokollierung.
• Verfuegbarkeit: Daten muessen bei Bedarf zeitnah zugreifbar sein. Massnahmen: Backup, Redundanz, Disaster Recovery nach BSI 200-4.
• Belastbarkeit: Systeme muessen Stoerungen und Angriffe abwehren und sich danach erholen koennen. Massnahmen: Penetrationstests, Incident Response, Business Continuity Management.
• Regelmaessige Ueberpruefung (Art. 32 Abs. 1 lit. d): Die Wirksamkeit der Massnahmen muss nachweislich evaluiert werden -- einmalig einrichten genuegt nicht.

Der Bundesbeauftragte fuer den Datenschutz und die Informationsfreiheit (BfDI) und die Landesdatenschutzbeauftragten orientieren sich bei der Bewertung von TOMs an anerkannten Standards -- insbesondere dem BSI IT-Grundschutz-Kompendium (BSI-Standard 200-2) und ISO/IEC 27001:2022. Wer seinen TOM-Katalog an diesen Standards ausrichtet und die Umsetzung dokumentiert, ist bei einer Pruefung durch die Aufsichtsbehoerde deutlich besser aufgestellt.

Ein TOM-Katalog ist keine Aufzaehlung von Wuenschen, sondern ein dokumentierter Nachweis tatsaechlich implementierter Massnahmen. Jede Massnahme muss beschreiben, was konkret umgesetzt ist -- nicht was geplant ist. Aufsichtsbehoerden und Datenschutzbeauftragte erwarten pruefreife Unterlagen, keine PowerPoint-Folien. Folgende Massnahmen gehoeren zum Mindeststandard fuer deutsche KMU.

Verschluesselung: Transit und Ruhezustand

• Daten in Transit (Transport Layer Security): TLS 1.2 ist Mindeststandard, bevorzugt TLS 1.3. Veraltete Protokolle (SSL 3.0, TLS 1.0, TLS 1.1) muessen deaktiviert sein.
• Daten at Rest: AES-256 fuer Datenbanken und Dateiablage. Festplattenverschluesselung (BitLocker unter Windows, FileVault unter macOS) auf allen Endgeraeten mit Kundendaten.
• E-Mail-Kommunikation: Ende-zu-Ende-Verschluesselung fuer besondere Datenkategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten) -- unverschluesselter E-Mail-Versand ist hier nicht ausreichend.
• Datenbanken: Verschluesselte Ablage, verschluesselte Verbindungen zwischen Applikation und Datenbankserver.
• Schluesselverwaltung: Wo Schluessel liegen und wer Zugriff hat, muss dokumentiert und kontrolliert sein.

Zugangs- und Zugriffskontrolle: Das 3-Ebenen-Modell

• Zutrittskontrolle (physisch): Serverraeume sind verschlossen und nur befugten Personen zugaenglich. Chipkarten, Biometrie oder Besucherausweise dokumentieren, wer wann Zutritt hatte.
• Zugangskontrolle (IT-Systeme): Starke Passwortrichtlinien plus Zwei-Faktor-Authentifizierung (MFA/2FA) fuer ALLE Benutzer -- insbesondere Administrations- und Remote-Zugaenge. VPN fuer Homeoffice-Zugaenge ist Pflicht.
• Zugriffskontrolle (Datenebene): Rollenbasiertes Berechtigungskonzept (RBAC). Das Need-to-Know-Prinzip gilt: Wer Kundendaten nicht fuer seine Aufgabe benoetigt, bekommt keinen Zugriff. Ex-Mitarbeiter und abgelaufene Zugaenge muessen zeitnah deaktiviert werden.
• Protokollierung: Datenzugriffe auf sensible Bestaende werden protokolliert. Protokolldaten muessen DSGVO-konform gespeichert werden (keine ueberschiessende Protokollierung, definierte Aufbewahrungsfristen).

Backup und Verfuegbarkeit: Die 3-2-1-Regel

1. 1

   3 Kopien

   Halten Sie mindestens drei vollstaendige Kopien Ihrer Daten vor -- das Original plus zwei Backups.

2. 2

   2 verschiedene Medientypen

   Speichern Sie auf mindestens zwei unterschiedlichen Medientypen, z. B. lokale Festplatte plus Cloud-Backup oder NAS.

3. 3

   1 externe Kopie (Off-Site)

   Mindestens eine Kopie befindet sich an einem anderen physischen Standort -- Schutz vor Brand, Wasserschaden oder Einbruch.

4. 4

   Wiederherstellungstest

   Ein Backup ohne Test ist kein Backup. Testen Sie regelmaessig, ob Daten tatsaechlich wiederhergestellt werden koennen, und dokumentieren Sie diese Tests.

5. 5

   Disaster-Recovery-Konzept

   Definieren Sie schriftlich, wer im Notfall was tut, in welcher Reihenfolge Systeme wieder anlaufen und wie lange der Wiederanlauf maximal dauern darf (RTO/RPO). Orientierung: BSI-Standard 200-4 BCM.

Pseudonymisierung und Anonymisierung

Pseudonymisierung bedeutet, identifizierende Merkmale durch ein Kennzeichen zu ersetzen -- ohne die dazugehoerige Schluessel-Tabelle laesst sich kein Personenbezug herstellen. Pseudonymisierte Daten bleiben personenbezogen und unterliegen der DSGVO. Anonymisierung ist hingegen irreversibel: Wenn der Personenbezug dauerhaft und vollstaendig aufgehoben ist, fallen die Daten nicht mehr unter die DSGVO. In der Praxis bietet sich Pseudonymisierung vor allem in Testumgebungen, bei Analytics-Daten und in Protokolldateien an, um das Risiko bei einem moeglichen Datenleck zu reduzieren.

Wirksamkeitspruefung: Penetrationstests als DSGVO-Nachweis

Art. 32 Abs. 1 lit. d DSGVO fordert explizit ein 'Verfahren zur regelmaessigen Ueberpruefung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Massnahmen'. Ein Penetrationstest ist der direkt verwertbare Nachweis dafuer: Er dokumentiert, dass Ihre Systeme tatsaechlich getestet wurden, welche Schwachstellen gefunden wurden und welche Gegenmassnahmen ergriffen wurden. Dieser Bericht ist bei einer Pruefung durch Aufsichtsbehoerden deutlich wertvoller als eine selbsterklaerte Konformitaetserklaerung. Empfohlen wird eine Frequenz von mindestens einmal jaehrlich sowie nach wesentlichen Systemveraenderungen.

Wenn in Ihrem Unternehmen eine Datenschutzverletzung eintritt -- also personenbezogene Daten unbefugt offengelegt, veraendert, geloescht oder unzugaenglich gemacht wurden -- laeuft eine 72-Stunden-Frist. Innerhalb dieser Zeit muessen Sie die zustaendige Aufsichtsbehoerde informieren, sofern die Verletzung voraussichtlich ein Risiko fuer Rechte und Freiheiten natuerlicher Personen darstellt. Diese Frist gilt unabhaengig davon, ob Sie alle Details bereits kennen -- eine spaetere Meldung erfordert eine schriftliche Begruendung der Verzoegerung.

Wann beginnt die 72-Stunden-Frist?

Die Frist beginnt nach der Auslegung des Hamburgischen Beauftragten fuer Datenschutz und Informationsfreiheit (HmbBfDI) dann, wenn die verantwortliche Stelle Kenntnis von erheblichen Tatsachen erlangt hat -- nicht schon bei vagen Hinweisen oder einer noch laufenden internen Untersuchung. Dies gibt Unternehmen einen kurzen, aber realen Spielraum fuer eine erste interne Pruefung, bevor die Meldepflicht ausgeloest wird. Dennoch gilt: Im Zweifel fruehzeitig melden und fehlende Informationen in einer Nachricht nachliefern.

Was muss die Meldung enthalten (Art. 33 Abs. 3)?

Drei-Schritt-Risikobewertung: Meldepflicht ja oder nein?

1. 1

   Art der Verletzung bestimmen

   Handelt es sich um einen Verlust der Vertraulichkeit (unbefugter Zugriff), der Integritaet (Veraenderung) oder der Verfuegbarkeit (Loeschung, Unzugaenglichkeit)? Kombinationen aus mehreren Schutzzielen erhoehen das Risiko.

2. 2

   Schwere und Eintrittswahrscheinlichkeit bewerten

   Wie viele Personen sind betroffen? Handelt es sich um besondere Datenkategorien (Art. 9)? Ist bereits ein Schaden eingetreten oder droht er noch? Wurden die Daten verschluesselt gespeichert (reduziert das Risiko erheblich)?

3. 3

   Entscheidung und Dokumentation

   Kein Risiko: Keine Meldepflicht, aber interne Dokumentation nach Art. 33 Abs. 5 zwingend. Risiko: Meldung an Aufsichtsbehoerde binnen 72 Stunden. Hohes Risiko: Zusaetzlich Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO.

An welche Behoerde melden? Zustaendigkeit in Deutschland

In Deutschland ist fuer nicht-oeffentliche Stellen (also Unternehmen) die Landesdatenschutzbehoerde des jeweiligen Unternehmenssitzes zustaendig. Beispiele: LDI NRW fuer Nordrhein-Westfalen (Meldeformular: ldi-fms.nrw.de), BayLDA fuer Bayern, BlnBDI fuer Berlin, LfDI fuer Baden-Wuerttemberg. Bundesbehoerden und oeffentliche Stellen des Bundes wenden sich an den BfDI. Die meisten Behoerden bieten Online-Meldeformulare an.

Sobald ein externer Dienstleister personenbezogene Daten in Ihrem Auftrag und nach Ihrer Weisung verarbeitet, liegt Auftragsverarbeitung im Sinne von Art. 28 DSGVO vor -- und ein schriftlicher Auftragsverarbeitungsvertrag (AVV) ist Pflicht, bevor die Verarbeitung beginnt. Viele Unternehmen unterschaetzen, wie weit dieser Tatbestand reicht.

Typische Auftragsverarbeiter in der Praxis

• Hosting- und Cloud-Anbieter (Website-Hosting, SaaS-Loesungen, Cloud-Storage)
• E-Mail-Marketing-Dienste und CRM-Systeme
• Newsletter-Versanddienstleister
• Externe IT-Dienstleister mit Fernzugriff auf Systeme, auf denen Kundendaten liegen
• Externe Lohn- und Gehaltsabrechnung
• Analyse-Dienste (Web-Analytics, Heatmapping)

Pflichtinhalt eines AVV nach Art. 28 Abs. 3 DSGVO

Die sechs haeufigsten AVV-Fehler in deutschen KMU

1. Kein AVV trotz Auftragsverarbeitungspflicht -- der Verstoss beginnt am ersten Tag der Verarbeitung.
2. Zu allgemeine TOM-Beschreibung: 'angemessene Sicherheitsmassnahmen' ohne konkrete Details genuegt nicht.
3. Keine Regelung zu Unterauftragsverarbeitern und keine aktuelle Liste der eingesetzten Unterauftragnehmer.
4. AVV einmalig unterzeichnet und nie wieder geprueft -- kein jaehrlicher Review-Prozess.
5. AVV erst nach Beginn der Verarbeitung geschlossen, also bereits ein vollendeter Datenschutzverstoss.
6. Kein AVV mit US-Cloud-Anbietern oder kein gueltiger Transfermechanismus (Standardvertragsklauseln, EU-US Data Privacy Framework-Zertifizierung des Anbieters pruefen).

Aufsichtsbehoerden pruefen Auftragsverarbeitungsvertraege regelmaessig -- sowohl anlassbezogen nach gemeldeten Vorfaellen als auch im Rahmen allgemeiner Kontrollbesuche. Die Berliner Datenschutzbeauftragte (BlnBDI) hat mehrfach oeffentlich dokumentierte Bussgelder wegen fehlender oder inhaltlich ungenuegender AVV verhaengt. Das Bussgeldpotenzial nach Art. 83 Abs. 4 DSGVO liegt bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes -- der jeweils hoehere Betrag gilt. Fuer die Zustaendigkeit gilt: Fuer nicht-oeffentliche Unternehmen sind die Landesdatenschutzbehoerden zustaendig, nicht der BfDI.

Art. 32 DSGVO gibt vor, was zu schuetzen ist -- der BSI IT-Grundschutz und ISO 27001 beschreiben, wie das systematisch erreicht wird. Beide Standards sind keine rechtliche Pflicht, werden aber von deutschen Aufsichtsbehoerden als Referenzrahmen anerkannt. Wer seinen TOM-Katalog an diesen Standards ausrichtet, hat im Pruefungsfall eine wesentlich staerkere Position.

Der BSI IT-Grundschutz gilt als faktischer Referenzrahmen fuer deutsche Behoerden und KRITIS-Organisationen. Das NIS2-Umsetzungsgesetz fuer Deutschland (NIS2UmsuCG) befindet sich nach mehrfach verzoegertem Gesetzgebungsverfahren -- die EU-Umsetzungsfrist lief am 17. Oktober 2024 ab -- im weiteren parlamentarischen Prozess; ein verbindliches Inkrafttretensdatum steht zum Redaktionsschluss dieser Seite noch nicht fest. Fuer KMU ausserhalb des KRITIS-Bereichs ist der BSI IT-Grundschutz ohnehin keine gesetzliche Pflicht, wird aber von Aufsichtsbehoerden als anerkannter Nachweis fuer den 'Stand der Technik' gewertet, auf den Art. 32 DSGVO verweist.

Privacy by Design und Privacy by Default (Art. 25 DSGVO)

Art. 25 DSGVO ergaenzt Art. 32: Datenschutz muss von Anfang an in neue Systeme und Prozesse eingebaut werden -- nicht als nachtraegliches Add-on. Das bedeutet konkret: Formulare erheben nur Felder, die tatsaechlich benoetigt werden (Datensparsamkeit). Loeschkonzepte sind automatisiert hinterlegt. Datenschutzfreundliche Voreinstellungen sind der Standard, nicht die Ausnahme. Neue Features und Software-Releases werden vor dem Launch auf Datenschutz-Implikationen geprueft. Wer Privacy by Design konsequent umsetzt, reduziert den nachtraeglichen TOM-Aufwand erheblich -- und verringert gleichzeitig das Risiko von Art. 83-Bussgeldern.

Die Mehrzahl der DSGVO-Bussgelder gegen KMU resultiert nicht aus spektakulaeren Datenpannen, sondern aus vermeidbaren Versaeumnissen: fehlende Dokumentation, veraltete Zugriffsrechte, kein AVV, verspaetete Meldung. Ein Blick auf belegte Faelle zeigt, wo die Aufsichtsbehoerden konsequent hinschauen.

Belegte Bussgeldfaelle und Behoerdenpraxis

• Bussgelder der Berliner Beauftragten fuer Datenschutz und Informationsfreiheit (BlnBDI): Mehrfach oeffentlich dokumentiert wegen fehlender oder inhaltlich ungenuegender Auftragsverarbeitungsvertraege -- eines der haeufigsten Sanktionsthemen deutscher Behoerden.
• Verspaetete Meldungen nach Art. 33: Europaeische Aufsichtsbehoerden haben in mehreren dokumentierten Faellen Bussgelder wegen Ueberschreitung der 72-Stunden-Frist verhaengt; die Berliner und hamburgische Behoerde haben hierzu auch praxisnahe Handreichungen veroeffentlicht.
• Bussgeldrahmen allgemein: Verstoesse gegen Art. 32 (TOMs) und Art. 28 (AVV) koennen nach Art. 83 Abs. 4 DSGVO mit bis zu 10 Mio. EUR oder 2 % des weltweiten Jahresumsatzes geahndet werden -- der hoehere Betrag gilt.

Die haeufigsten Versaeumnisse laut Datenschutzkanzleien und Aufsichtsbehoerden

Als technischer Umsetzungspartner -- nicht als Datenschutzbeauftragter -- implementieren wir die Massnahmen, die Ihre Website und IT-Systeme DSGVO-konform nach Art. 32 machen. Wir liefern keine Beratungs-PDF, sondern fertige, dokumentierte und getestete Technik. Der Datenschutzbeauftragte Ihres Unternehmens (intern oder extern) erhaelt von uns pruefreife Unterlagen: TOM-Dokumentation, Konfigurationsnachweise, Penetrationstest-Bericht.

Leistungsumfang im Ueberblick

• TOM-Analyse und Gap-Assessment: Wir pruefen Ihren aktuellen Stand gegen Art. 32 DSGVO und identifizieren, was fehlt oder nicht dokumentiert ist.
• Verschluesselungskonfiguration: TLS 1.3 auf allen Webservern, Deaktivierung veralteter Protokolle, Datenbankverschluesselung, Zertifikatsmanagement.
• Zugriffskontrolle und MFA: Implementierung eines rollenbasierten Berechtigungskonzepts, Einrichtung von Zwei-Faktor-Authentifizierung auf allen kritischen Zugaengen.
• Backup-Konzept nach 3-2-1-Regel: Aufbau oder Pruefung bestehender Backup-Infrastruktur inklusive dokumentierter Wiederherstellungstests.
• Meldeprozess Art. 33: Wir helfen Ihnen, einen internen Eskalations- und Dokumentationsprozess fuer Datenpannen aufzubauen, der die 72-Stunden-Frist realistisch einhaltbar macht.
• AVV-Pruefung: Wir pruefen Ihre bestehenden Auftragsverarbeitungsvertraege auf Vollstaendigkeit und zeigen auf, wo Luecken sind.
• TOM-Dokumentation fuer Ihren DSB: Pruefreife Unterlagen, die Ihr Datenschutzbeauftragter oder eine Aufsichtsbehoerde sofort verwenden kann.

Unsere Arbeitsweise: Sie schildern uns im Projektanfrage-Formular Ihren aktuellen Stand und Ihre spezifischen Anforderungen. Wir melden uns werktags in weniger als 30 Minuten zurueck, pruefen Ihre Situation und unterbreiten Ihnen ein konkretes Festpreis-Angebot. Wenn wir die vereinbarten Ziele nicht erreichen, arbeiten wir kostenlos nach -- das ist unsere 100-Prozent-Erfolgsgarantie.