Zurück zum Wiki
Verordnung (EU) 2016/679

DSGVO – Datenschutz-Grundverordnung

Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten. Sie regelt die Verarbeitung personenbezogener Daten und verpflichtet Verantwortliche und Auftragsverarbeiter zu einem risikobasierten Schutz – einschließlich nachweisbarer technischer und organisatorischer Maßnahmen (TOM).

Für die IT-Sicherheit ist vor allem Art. 32 DSGVO zentral: Er fordert ein dem Risiko angemessenes Schutzniveau – ausdrücklich inklusive eines „Verfahrens zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen“ (Art. 32 Abs. 1 lit. d).

Rechtsakt
Verordnung (EU) 2016/679
Gültig seit
25. Mai 2018
Max. Bußgeld
20 Mio. € / 4 % Umsatz

Die wichtigsten Sicherheitspflichten

  • Art. 32 – Sicherheit der Verarbeitung: Pseudonymisierung/Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit und regelmäßige Wirksamkeitsüberprüfung der Maßnahmen.
  • Art. 33 – Meldung von Datenschutzverletzungen an die Aufsichtsbehörde binnen 72 Stunden.
  • Art. 34 – Benachrichtigung betroffener Personen bei hohem Risiko.
  • Art. 35 – Datenschutz-Folgenabschätzung (DSFA) bei voraussichtlich hohem Risiko.
  • Art. 30 – Verzeichnis von Verarbeitungstätigkeiten (VVT) als Nachweisgrundlage.
  • Art. 28 – Auftragsverarbeitung: AV-Vertrag mit Dienstleistern, die personenbezogene Daten verarbeiten.

Stand der Technik

Die DSGVO verlangt Maßnahmen „unter Berücksichtigung des Stands der Technik“. Orientierung geben die Kurzpapiere der Datenschutzkonferenz (DSK), die Leitlinien des Europäischen Datenschutzausschusses (EDSA/EDPB) sowie die Handreichungen von TeleTrusT zum Stand der Technik. Faktisch bedeutet das: aktuelle Verschlüsselung, Härtung, Patch-Management und regelmäßige Sicherheitstests.

So setzen Sie es um

  1. 1

    Datenlandkarte erstellen

    Verarbeitungstätigkeiten erfassen (Art. 30 VVT): Welche personenbezogenen Daten liegen wo, wer greift zu?

  2. 2

    Risiken bewerten

    Schutzbedarf und Risiken je Verarbeitung bewerten; bei hohem Risiko DSFA nach Art. 35 durchführen.

  3. 3

    TOMs definieren und umsetzen

    Verschlüsselung, Zugriffskontrolle, Backup, Logging – dokumentiert als TOM-Katalog.

  4. 4

    Dienstleister vertraglich binden

    AV-Verträge (Art. 28) mit allen Auftragsverarbeitern schließen und deren Maßnahmen prüfen.

  5. 5

    Wirksamkeit regelmäßig testen

    Art. 32 Abs. 1 lit. d umsetzen: Penetrationstests und Audits in festen Intervallen, Ergebnisse dokumentieren.

  6. 6

    Incident-Prozess aufsetzen

    72h-Meldeprozess (Art. 33) mit Verantwortlichkeiten, Vorlagen und Kontakt zur Aufsichtsbehörde etablieren.

Was droht bei Verstößen?

Bußgelder bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (je nachdem, welcher Wert höher ist). Verstöße gegen Art. 32 werden mit bis zu 10 Mio. € bzw. 2 % geahndet. Hinzu kommen Schadensersatzansprüche Betroffener nach Art. 82.

Die Rolle des Penetrationstests

Ein Penetrationstest ist das etablierte „Verfahren zur regelmäßigen Überprüfung“ im Sinne von Art. 32 Abs. 1 lit. d DSGVO – der Prüfbericht dient gegenüber Aufsichtsbehörden als Wirksamkeitsnachweis der TOMs.

DSGVO-konformer Penetrationstest

Offizielle Quellen & Belege

Alle Angaben dieses Artikels stützen sich auf die folgenden Primärquellen (Stand: 2026-07-17).

DSGVO – Datenschutz-Grundverordnung – Wiki | Sodu Secure