Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten. Sie regelt die Verarbeitung personenbezogener Daten und verpflichtet Verantwortliche und Auftragsverarbeiter zu einem risikobasierten Schutz – einschließlich nachweisbarer technischer und organisatorischer Maßnahmen (TOM).
Für die IT-Sicherheit ist vor allem Art. 32 DSGVO zentral: Er fordert ein dem Risiko angemessenes Schutzniveau – ausdrücklich inklusive eines „Verfahrens zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen“ (Art. 32 Abs. 1 lit. d).
Die DSGVO verlangt Maßnahmen „unter Berücksichtigung des Stands der Technik“. Orientierung geben die Kurzpapiere der Datenschutzkonferenz (DSK), die Leitlinien des Europäischen Datenschutzausschusses (EDSA/EDPB) sowie die Handreichungen von TeleTrusT zum Stand der Technik. Faktisch bedeutet das: aktuelle Verschlüsselung, Härtung, Patch-Management und regelmäßige Sicherheitstests.
Verarbeitungstätigkeiten erfassen (Art. 30 VVT): Welche personenbezogenen Daten liegen wo, wer greift zu?
Schutzbedarf und Risiken je Verarbeitung bewerten; bei hohem Risiko DSFA nach Art. 35 durchführen.
Verschlüsselung, Zugriffskontrolle, Backup, Logging – dokumentiert als TOM-Katalog.
AV-Verträge (Art. 28) mit allen Auftragsverarbeitern schließen und deren Maßnahmen prüfen.
Art. 32 Abs. 1 lit. d umsetzen: Penetrationstests und Audits in festen Intervallen, Ergebnisse dokumentieren.
72h-Meldeprozess (Art. 33) mit Verantwortlichkeiten, Vorlagen und Kontakt zur Aufsichtsbehörde etablieren.
Bußgelder bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (je nachdem, welcher Wert höher ist). Verstöße gegen Art. 32 werden mit bis zu 10 Mio. € bzw. 2 % geahndet. Hinzu kommen Schadensersatzansprüche Betroffener nach Art. 82.
Ein Penetrationstest ist das etablierte „Verfahren zur regelmäßigen Überprüfung“ im Sinne von Art. 32 Abs. 1 lit. d DSGVO – der Prüfbericht dient gegenüber Aufsichtsbehörden als Wirksamkeitsnachweis der TOMs.
DSGVO-konformer PenetrationstestAlle Angaben dieses Artikels stützen sich auf die folgenden Primärquellen (Stand: 2026-07-17).