DSGVO · Art. 32
DSGVO-032-SICHERHEIT
Risikoadaequate technische Schutzmassnahmen fuer personenbezogene Daten umsetzen
Anforderung
Der Verantwortliche und der Auftragsverarbeiter muessen unter Beruecksichtigung des Stands der Technik, der Implementierungskosten und der Risiken geeignete TOM treffen, um ein dem Risiko angemessenes Schutzniveau zu gewaehrleisten – u. a. Pseudonymisierung, Verschluesselung, Verfuegbarkeit, Belastbarkeit und Wiederherstellbarkeit.
Fundstelle
DSGVO Art. 32 Abs. 1-2
Gap-Check
Sind personenbezogene Daten (insb. besondere Kategorien nach Art. 9) angemessen verschluesselt/pseudonymisiert, und existieren getestete Backup- und Wiederherstellungsverfahren?
Wenn ja
Anforderung erfuellt – Massnahmen bei neuen Risiken (z. B. neue Angriffsvektoren) anpassen.
Teilweise
Grundschutz vorhanden, aber Verschluesselung/Pseudonymisierung nicht systematisch fuer alle Datenkategorien umgesetzt.
Wenn nein
Kritische Luecke: Unzureichende technische Massnahmen erhoehen Risiko und Schadensausmass bei Sicherheitsvorfaellen erheblich.
Maßnahme
- Datenkategorien nach Schutzbedarf klassifizieren (insb. Art.-9-Daten: Gesundheit, biometrische Daten etc.)
- Verschluesselung at-rest und in-transit fuer Systeme mit personenbezogenen Daten sicherstellen
- Pseudonymisierung pruefen, wo Verarbeitungszweck dies zulaesst
- Backup- und Recovery-Verfahren regelmaessig testen (Wiederherstellbarkeit nach Art. 32 Abs. 1 lit. c)
Aufwand
hoch
Schätzung
6 bis 15 Personentage (Hohe Cross-Framework-Synergie mit NIS-2/ISO 27001 – oft bereits teilweise umgesetzt)
Zeithorizont
kurzfristig
Hilfsmittel
Datenklassifizierung, Verschluesselungs-Standard, Backup-Testplan
Vertiefung
DSGVO Survival Kit, Kap. 9 – Technische Sicherheit personenbezogener Daten
Risiko
Unzureichende technische Massnahmen sind direkte Ursache und verschaerfender Faktor bei meldepflichtigen Datenschutzverletzungen (Art. 33/34).
Eintritt
3 von 5
Auswirkung
5 von 5
Bußgeldrahmen
20.000.000 EUR oder 4% weltweiter Jahresumsatz
DSGVO Art. 83 Abs. 5
Control und Nachweis
Control
Verschluesselung, Pseudonymisierung und getestete Backup/Recovery-Verfahren risikoadaequat zu Datenkategorien
Art
technisch
Dringlichkeit
hoch
Nachweis
TOM-Dokumentation + Backup-Testprotokolle
Vorlage
Datenklassifizierung + Schutzmassnahmen-Matrix
Verknüpfungen
Querverweise
NIS-2 Art. 21 §2e, ISO 27001 A.8.24, CRA Anh. I §1
ISO 27001:2022
A.8.24, A.8.13, A.8.7 (vollstaendig)
Diesen Bezeichner zitieren
Stabilitätszusage
BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.
Maschinenlesbar: index.json