Welche Sicherheit verlangt die DSGVO von einem kleinen Unternehmen?

Angemessene Sicherheit ist risikobasiert, keine feste Checkliste

Artikel 32 der DSGVO schreibt keine feste Liste technischer Maßnahmen vor, sondern ein Sicherheitsniveau, das dem Risiko entspricht, das eine Verarbeitung personenbezogener Daten mit sich bringt. Das Gesetz berücksichtigt dabei vier Aspekte: den Stand der Technik, die Implementierungskosten, die Art, den Umfang, den Kontext und die Zwecke der Verarbeitung sowie die Risiken für die Rechte und Freiheiten der Personen, deren Daten verarbeitet werden. Als Beispiele für Maßnahmen nennt der Artikel unter anderem Pseudonymisierung und Verschlüsselung, die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Widerstandsfähigkeit von Systemen zu gewährleisten, die Fähigkeit zur zeitnahen Wiederherstellung nach einem Incident und einen Prozess zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen.

Was dies für ein kleines Unternehmen bedeutet, hängt davon ab, was verarbeitet wird. Ein Online-Shop, der nur Namen und Versandadressen speichert, befindet sich in einer anderen Risikokategorie als eine Praxis, die medizinische Daten verarbeitet, oder ein Büro, das in großem Umfang das Verhalten von Besuchern verfolgt. Sicherheit, die für das eine Unternehmen angemessen ist — etwa Zugriffskontrolle, Passwortrichtlinien und regelmäßige Backups — muss für das andere nicht ausreichend sein. Das Gesetz verlangt, diese Abwägung zu treffen und nachweisen zu können, dass sie getroffen wurde, nicht jedoch, einen einzigen festen Standard zu erfüllen.

Woraus sich dies aus Artikel 32 DSGVO ergibt

Diese Anforderung ergibt sich direkt aus Artikel 32 der DSGVO, der als Verordnung in jedem Mitgliedstaat gleich gilt — der Kern dessen, was "angemessen" bedeutet, unterscheidet sich also nicht zwischen Ländern. Was sich unterscheidet, ist wer die Kontrolle ausübt: In den Niederlanden ist dies die Autoriteit Persoonsgegevens, in Deutschland die Aufsichtsbehörde des Bundeslandes, in dem sich die Niederlassung befindet. Für weitere Orientierung veröffentlicht die Autoriteit Persoonsgegevens praktische Informationen zum Schutz personenbezogener Daten.