Technik und Arbeitsabläufe wirken zusammen
Verschlüsselung, Zugriffsbeschränkungen und Wiederherstellungsverfahren betreffen die technische Seite. Zuständigkeiten, Berechtigungsvergabe und nachvollziehbare Arbeitsabläufe ergänzen sie organisatorisch. Eine geeignete Maßnahme muss zum tatsächlichen Datenfluss passen. Ein Passwortkonzept schützt beispielsweise wenig, wenn dieselben Daten anschließend unkontrolliert versandt werden. Ebenso ersetzt eine allgemeine Anweisung nicht jede notwendige technische Absicherung. Die Bewertung sollte deshalb die Verarbeitung insgesamt erfassen. Die Bezeichnung eines Dokuments als Sicherheitskonzept beweist noch nicht, dass die darin beschriebenen Vorkehrungen im Alltag funktionieren und regelmäßig überprüft werden.
Welchen Maßstab Artikel 32 vorsieht
Die Norm berücksichtigt den Stand der Technik, Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung. Wichtig sind außerdem Eintrittswahrscheinlichkeit und Schwere möglicher Folgen für natürliche Personen. Genannt werden unter anderem Verschlüsselung, dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit. Auch die rasche Wiederherstellung nach Zwischenfällen und die regelmäßige Wirksamkeitsprüfung gehören zum gesetzlichen Maßstab. Daraus folgt kein für jeden Betrieb identisches Maßnahmenpaket. Die Anforderungen müssen am konkreten Risiko ausgerichtet werden, statt allein die billigste oder technisch aufwendigste Lösung zum allgemeinen Standard zu erklären.
Ein Angriff beweist nicht jede Pflichtverletzung
Im Urteil vom 14. Dezember 2023 – C-340/21 erläuterte der EuGH die Sicherheitsprüfung nach einem Cyberangriff auf eine bulgarische Behörde. Nach der gerichtseigenen Pressemitteilung lässt der unbefugte Zugriff allein nicht automatisch auf ungeeignete Maßnahmen schließen. Deren Geeignetheit ist konkret zu beurteilen. Zugleich trägt der Verantwortliche dafür die Beweislast. Der Hinweis auf unbekannte Angreifer ersetzt daher nicht die eigene Darlegung. Das Urteil verbindet eine einzelfallbezogene Sicherheitsbewertung mit der Verantwortung, die tatsächlich getroffenen Schutzmaßnahmen nachvollziehbar belegen zu können.
Ein Beispiel zur Wiederherstellung
Ein Unternehmen speichert Kundendaten und erstellt Sicherungskopien. Werden diese niemals auf Wiederherstellbarkeit geprüft, ist die bloße Existenz eines Backups noch kein vollständiger Nachweis einer belastbaren Wiederanlaufmöglichkeit. Welche Tests erforderlich und angemessen sind, hängt von den verarbeiteten Daten und dem möglichen Ausfall ab. Umgekehrt bedeutet ein einmaliger technischer Zwischenfall nicht automatisch, dass jede Vorkehrung unzureichend war. Die Prüfung betrachtet Planung, Umsetzung und tatsächliche Wirksamkeit. Eine nachvollziehbare Dokumentation der Sicherung und ihrer Überprüfung ist deshalb aussagekräftiger als ein pauschaler Verweis auf einen externen IT-Dienstleister.
Auftragsverarbeitung entlastet nicht vollständig
Auch beim Einsatz eines externen Dienstleisters müssen die datenschutzrechtlichen Rollen und Sicherheitsanforderungen richtig bestimmt werden. Artikel 32 richtet sich an Verantwortliche und Auftragsverarbeiter. Eine Vertragsklausel allein garantiert noch keine angemessene praktische Sicherheit. Zu klären ist, welche Stelle welche Maßnahmen umsetzt und wie die Zusammenarbeit funktioniert. Die bloße Weitergabe der technischen Betreuung beseitigt nicht jede eigene Pflicht. Gleichzeitig ist die Verantwortung eines Dienstleisters nach seinen Aufgaben gesondert zu prüfen. Ein tatsächlicher Fehler darf nicht ohne Rollenprüfung pauschal allen Beteiligten gleichermaßen zugerechnet werden.
Sicherheitsmaßnahmen und Haftung unterscheiden
Eine unzureichende Maßnahme und ein ersatzfähiger Schaden sind verschiedene Merkmale. Für eine Zahlung nach Artikel 82 DSGVO müssen die entsprechenden Voraussetzungen einschließlich Schaden und Ursachenzusammenhang vorliegen. Ein Angriff durch Dritte schließt die Haftung nicht automatisch aus; eine Entlastung verlangt den einschlägigen Nachweis. Ebenso ist nicht jeder Sicherheitsvorfall bereits Beweis eines bestimmten Geldbetrags. Die Maßnahmenprüfung beantwortet zunächst, ob das Schutzkonzept angemessen war. Meldungen und Benachrichtigungen nach einer Datenschutzverletzung werfen zusätzliche Fragen auf und sollten nicht mit dieser Bewertung vermischt werden.
Änderungen und Prüfungen nachvollziehbar festhalten
Eine hilfreiche Dokumentation beschreibt die betroffenen Systeme, Daten, Risiken und umgesetzten Vorkehrungen. Verantwortlichkeiten und regelmäßige Überprüfungen sollten erkennbar sein. Neue Verarbeitungszwecke oder veränderte Risiken können Anpassungen erforderlich machen. Ein unverändert kopiertes Muster kann solche Entwicklungen übersehen. Für einen konkreten Vorfall sind außerdem Zeitpunkt und Umfang der tatsächlich wirksamen Maßnahmen wichtig. Nachträgliche Verbesserungen sollten von bereits zuvor bestehenden Vorkehrungen getrennt dokumentiert werden. Nur so lässt sich sachlich beurteilen, welcher Schutz im maßgeblichen Zeitraum tatsächlich vorhanden war.