Sicherheit der Verarbeitung - Art. 32 DSGVO

1. Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; […]

Es muss sichergestellt sein, dass geeignete technische und organisatorische Maßnahmen getroffen werden, um die Vorgaben der DSGVO umzusetzen. 

Technische und organisatorische Maßnahmen

Als technische und organisatorische Maßnahmen (TOM) gelten alle Maßnahmen, die die Sicherheit der verarbeiteten Daten gewährleisten. Dies können zum Beispiel sein:

• Pseudonymisierung und Verschlüsselung der Daten
• Sicherstellung der Vertraulichkeit, Verfügbarkeit und Belastbarkeit der Systeme, die für die Datenverarbeitung genutzt werden, zum Beispiel Rollen- und Rechtekonzept, Backup-Lösungen, technische Updates
  
• Physischer Zugriffsschutz durch abschließbare Aufbewahrungslösungen oder abschließbare Räumlichkeiten
  

In der DSGVO heißt es, dass diese Maßnahmen unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, und der Zwecke der Verarbeitung getroffen werden. Auch soll die Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken berücksichtigt werden.

Quelle: Jan auf Pixabay

Auch hier bleibt die DSGVO recht vage, allerdings eröffnen sich dadurch auch Spielräume in der Ausgestaltung. Die DSGVO spricht an anderer Stelle von einem „angemessenem Aufwand“. Es geht hier vor allem darum, dass sich die verantwortliche Stelle Gedanken über das Risiko der Verarbeitung für die personenbezogenen Daten macht und angemessene Maßnahmen implementiert. Wer sensible Daten verarbeiten, muss eben auch entsprechend umfangreicher Maßnahmen zum Schutz dieser Daten umsetzen. 

Siehe auch: 

• Art. 25 DSGVO - Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen
• Art. 32 DSGVO - Sicherheit der Verarbeitung