Art. 32 DSGVO — Sicherheit der Datenverarbeitung

Aktualisiert am: 25.08.2026

Datensicherheit nach Art. 32 DSGVO ist eine Pflicht des Unternehmens, nicht ein Angebot. Der Artikel verlangt, dass technische und organisatorische Maßnahmen getroffen werden — proportional zum Risiko und zur Art der Verarbeitung. Eine Zahnarztpraxis braucht andere Maßnahmen als ein Zahlungsdienstleister, aber keine hat eine Ausrede dafür, Sicherheit komplett zu vernachlässigen.

Beispiele technischer Maßnahmen

• Verschlüsselung von Daten in Transit (TLS/SSL) und im Ruhezustand (z. B. AES-256)
• Mehrfaktor-Authentisierung für Nutzer mit Zugriff auf Systeme
• Netzwerk-Isolation und Firewalls
• Regelmäßige Sicherheits-Updates und Patch-Management
• Regelmäßige Sicherheitstests, Penetrations-Tests, Audits

Beispiele organisatorischer Maßnahmen

• Zugriff auf Daten nur für Mitarbeiter, die es brauchen (Principle of Least Privilege)
• Schulungen für Mitarbeiter zu Sicherheit und Datenschutz
• Dokumentierte Prozesse für Notfälle und Datenpannen
• Regelmäßige Überprüfung und Aktualisierung des Sicherheitskonzepts
• Klare Rollen und Verantwortlichkeiten bei Datenzugriff und Verarbeitung

Proportionalität und Realismus

Art. 32 legt nicht fest, dass Unternehmen in ein teures Security-Audit investieren müssen — es fordert Proportionalität. Eine Zahnarztpraxis mit 100 Patientendatensätzen braucht mindestens Verschlüsselung, Zugriffskontrolle, regelmäßige Backups und dokumentierte Notfallpläne. Ein Zahlungsdienstleister braucht deutlich mehr: Penetrationstests, kontinuierliches Monitoring, schnelle Incident-Response. Nach bekannten Datenpannen fragen Aufsichtsbehörden systematisch, welche Maßnahmen aus Art. 32 fehlten oder mangelhaft waren. Die Antwort sollte nicht sein: wir kannten den Artikel nicht.

Häufige Frage

Gibt es ein Mindest-Sicherheitsniveau nach Art. 32?

Nein, es ist immer proportional zum Risiko. Aber es gibt Erwartungen in der Praxis: Verschlüsselung, Zugriffskontrolle, Backups und Notfallpläne sind Standard. Die Datenschutzbehörden bewerten das regelmäßig, besonders nach Datenpannen.

Verwandte Begriffe

• Datensicherheit — Technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
• Datenschutzmanagementsystem — Dokumentation und Umsetzung aller Sicherheitsmaßnahmen.
• Datenpanne — Sicherheitsverletzung, bei der Maßnahmen nach Art. 32 versagt haben.