In diesem Artikel
Für die IT-Infrastruktur lässt sich die DSGVO auf zehn technische und organisatorische Maßnahmen reduzieren, die ein Unternehmen ab 10 Arbeitsplätzen umsetzen und nachweisen kann. Daten erfassen, Zugriffe begrenzen, MFA aktivieren, verschlüsseln, Backups erstellen und testen, aktualisieren, Zugriffe protokollieren, Auftragsverarbeiter vertraglich binden, einen 72-Stunden-Plan haben und jährlich überprüfen. Dieser Text behandelt nur die technische Seite; Rechtsgrundlage der Verarbeitungen, Einwilligungen und Betroffenenrechte sind Sache Ihres Anwalts oder Datenschutzbeauftragten.
Vier Fakten, die Sie kennen sollten
- Artikel 32 Verlangt konkrete technische Maßnahmen: Verschlüsselung, Vertraulichkeit, Fähigkeit zur Wiederherstellung von Daten und regelmäßige Tests.
- 72 Stunden Regelfrist für die Meldung einer Verletzung des Schutzes personenbezogener Daten an die CNPD, gerechnet ab Kenntnis des Unternehmens, über das dafür vorgesehene Formular.
- Dokumentationspflicht Alle Verletzungen werden dokumentiert, auch die nicht gemeldeten.
- Artikel 28 Der IT-Dienstleister mit Zugriff auf Ihre Daten ist in der Regel Auftragsverarbeiter, und der Vertrag muss diesem Artikel entsprechen.
Was Artikel 32 verlangt, in der Sprache der Geschäftsleitung
Die Verordnung (EU) 2016/679 schreibt nicht vor, welche Geräte man kaufen soll; sie verlangt eine dem Risiko angemessene Sicherheit. Absatz 1 von Artikel 32 nennt Beispiele: Pseudonymisierung und Verschlüsselung; dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit; die Fähigkeit, den Zugang zu den Daten nach einem Zwischenfall rasch wiederherzustellen; und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen.
Übersetzt: Nur wer soll, sieht die Daten; niemand ändert sie unkontrolliert; das Unternehmen stellt sie rechtzeitig wieder her, wenn alles ausfällt; und all das wird getestet. Personenbezogene Daten sind alle Daten einer identifizierbaren Person – Namen, E-Mail-Adressen, Steuernummern, Adressen, Kundenakten, Gehaltsabrechnungen.
Die 10 Maßnahmen in der Reihenfolge der Umsetzung
1. Karte der personenbezogenen Daten
Server, Microsoft 365, Fakturierung, HR-Software, externe Festplatten, alte E-Mails. Das Ergebnis ist eine einfache Tabelle: welche Daten, in welchem System, mit welchem Verantwortlichen.
2. Minimal notwendiger Zugriff
Berechtigungen nach Funktion – der Vertrieb öffnet keine Gehaltsabrechnungen, der Empfang kommt nicht in den Ordner der Geschäftsleitung –, überprüft bei jedem Funktionswechsel.
3. MFA für alles, was exponiert ist
Die meisten unbefugten Zugriffe beginnen mit einem gestohlenen Passwort. Der zweite Faktor, meist auf dem Smartphone, sollte bei E-Mail, Cloud und Fernzugriff aktiv sein.
4. Verschlüsselung auf Laptops, Smartphones und Sicherungen
Sie ist eines der beiden Beispiele, die Artikel 32 ausdrücklich nennt: verschlüsselte Festplatten auf allen Laptops, Smartphones mit Sperre und Verwaltung, verschlüsselte Backups.
5. Backups mit getesteter Wiederherstellung
Ein nie wiederhergestelltes Backup beweist nichts. Wir empfehlen mindestens einen Wiederherstellungstest pro Quartal – siehe wie man ein Backup in 30 Minuten testet und unsere Managed Backups.
6. Updates mit Frist
Ungepatchte Systeme sind der häufigste Weg, Integrität und Belastbarkeit zu verlieren. Legen Sie Installationsfristen fest und ersetzen Sie Geräte ohne Herstellersupport.
7. Zugriffsprotokolle
Anmeldungen, Zugriffe auf sensible Ordner und Änderungen von Berechtigungen. Diese Protokolle beantworten bei einem Vorfall die Frage der CNPD: Welche Daten waren betroffen?
8. Verträge mit Auftragsverarbeitern
IT-Dienstleister, Cloud, Lohnsoftware: Artikel 28 verlangt hinreichende Garantien und einen schriftlichen Vertrag mit dokumentierten Weisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Regeln für Unterauftragsverarbeiter, Unterstützung bei Verletzungen sowie Rückgabe oder Löschung der Daten am Ende. Was zu prüfen ist: Ausstiegs- und Datenklauseln im IT-Vertrag.
9. Plan für die ersten 72 Stunden
Wer entscheidet, wer die technischen Informationen sammelt, wer die Meldung ausfüllt – festgelegt, bevor es gebraucht wird.
10. Dokumentierte jährliche Überprüfung
Der am häufigsten vergessene Punkt von Artikel 32. Eine Überprüfung pro Jahr mit dokumentierten Korrekturen ist zugleich der beste Nachweis der Sorgfalt.
Zeitlicher Ablauf einer Datenschutzverletzung
Gemäß Artikel 33 und der CNPD erfolgt die Meldung binnen 72 Stunden nach Kenntnisnahme, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte der Personen. Ist das Risiko hoch, verpflichtet Artikel 34 zusätzlich zur Benachrichtigung der Betroffenen.
| Zeitpunkt | Maßnahme | Verantwortlich |
|---|---|---|
| Stunde 0 | Erkennung: Alarm, Beschwerde, Lösegeldforderung, verlorener Laptop | Jeder Mitarbeitende informiert den Support |
| Erste Stunden | Eindämmung: Geräte isolieren, Konten sperren, Protokolle sichern | IT-Team |
| Bis 24 Stunden | Ermitteln, welche Daten und wie viele Personen betroffen sind | IT mit der Geschäftsleitung |
| Bis 72 Stunden | Entscheiden und gegebenenfalls die CNPD über das Formular benachrichtigen | Verantwortlicher (das Unternehmen) |
| Immer | Verletzung, Auswirkungen und Maßnahmen dokumentieren | Unternehmen |
Zwei Punkte, die überraschen: Die Dokumentationspflicht besteht auch ohne Meldung; und der Auftragsverarbeiter – auch der IT-Dienstleister – muss den Kunden unverzüglich informieren. Ein verlorener unverschlüsselter Laptop kann eine Verletzung sein; mit Verschlüsselung ändert sich die Risikobewertung grundlegend.
DataRoad IT Unlimited
Sprechen Sie mit DataRoad. Wir analysieren Ihren Betrieb und schlagen das passende Paket vor.
In der Praxis: Verfügbarkeit in einer öffentlichen Einrichtung
In der União de Freguesias de Massamá e Monte Abraão wurde DataRoad per öffentlichem Auftrag ausgewählt, um einen neuen Server zu installieren und zu konfigurieren, eine USV einzurichten (die Batterie, die die Geräte bei einem Stromausfall in Betrieb hält), lokale und Cloud-Backups aufzubauen und Daten sowie Konfigurationen zu migrieren. Genau das verlangt Artikel 32 in Bezug auf Verfügbarkeit: Daten an mehr als einem Ort und wiederherstellbar. Die Referenz Massamá und Monte Abraão lesen.
Wo Managed Cybersecurity ins Spiel kommt
DataRoad setzt die technischen Maßnahmen um und dokumentiert sie – Zugriffe, Verschlüsselung, Backups, Updates, Protokolle, Firewall – und bietet keine Rechtsberatung. In 11 Jahren hatte DataRoad keinen einzigen Sicherheitsvorfall. Sicherheit ist in den IT-Unlimited-Plänen enthalten; IT Unlimited Premium ergänzt unbegrenzte Vor-Ort-Einsätze, nützlich, wenn an einem Server oder Arbeitsplatz eingegriffen werden muss. Mehr unter Managed Cybersecurity für Unternehmen und in den 7 internen Cybersecurity-Richtlinien.
Häufige Fragen
Verpflichtet die DSGVO dazu, alle Daten zu verschlüsseln?
Sie verpflichtet nicht dazu, alles zu verschlüsseln, nennt Verschlüsselung aber als geeignete Maßnahme. Auf Laptops, Smartphones und Backups ist sie der einfachste Weg, damit ein Verlust nicht zu einer schweren Verletzung wird.
Muss der Verlust eines Laptops der CNPD gemeldet werden?
Das hängt vom Risiko für die Betroffenen ab. Eine verschlüsselte und aus der Ferne gelöschte Festplatte birgt ein viel geringeres Risiko. Der Vorfall wird immer dokumentiert; die Entscheidung liegt beim Verantwortlichen, bei Bedarf mit rechtlicher Unterstützung.
Ist der IT-Dienstleister Auftragsverarbeiter?
In der Regel ja, wenn er auf Systeme mit personenbezogenen Daten zugreift. Der Vertrag muss Artikel 28 entsprechen: Weisungen, Vertraulichkeit, Sicherheit, Unterstützung bei Vorfällen und Rückgabe oder Löschung der Daten.
Welche Frist gilt für die Meldung einer Verletzung?
In der Regel 72 Stunden nach Kenntnisnahme, über das Formular der CNPD. Erfolgt die Meldung später, sind die Gründe für die Verzögerung anzugeben.
Quellen
Nächster Schritt: technische DSGVO-Diagnose in 10 Werktagen
Wir prüfen die 10 Maßnahmen in Ihrer Infrastruktur und liefern einen Bericht über das, was fehlt, mit einem unverbindlichen Angebot. Ab 10 Arbeitsplätzen · Wartungsvertrag · Support per Fernwartung, vor Ort und telefonisch.
