Artikel 32 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen“. Die Formulierung ist absichtlich offen, weil die richtigen Maßnahmen vom Risiko abhängen. Für eine kleine Website oder einen Online-Shop läuft es auf sechs Maßnahmen hinaus, nach denen Kunden, Prüfer und Versicherer tatsächlich fragen.
Sechs Maßnahmen, auf die es ankommt
- Verschlüsselung bei der Übertragung. HTTPS auf jeder öffentlichen Seite und in jedem Admin-Bereich sowie TLS für Mail (IMAP auf 993, authentifizierter SMTP-Versand auf 465 oder 587).
- Zugriffskontrolle. Ein Konto pro Person, Multi-Faktor-Authentifizierung für Hosting-Panel, Registrar und Mail-Administration und Entzug der Zugänge am letzten Arbeitstag.
- Updates. CMS-Kern, Plugins, Themes und PHP-Version. Veraltete Plugins sind ein häufiger Einstieg bei kleinen Websites.
- Backups, die Sie wiederhergestellt haben. Kopien außerhalb des Servers, ein Restore-Test und das Wissen, wie lange gelöschte personenbezogene Daten in alten Backups überleben.
- Logs mit Löschregel. Zugriffslogs so lange aufbewahren, wie ein Vorfall untersucht werden muss, und nicht länger. Legen Sie eine Frist fest und dokumentieren Sie sie.
- Bereitschaft für Datenpannen. Artikel 33 gibt Ihnen 72 Stunden ab Kenntnis, um die Aufsichtsbehörde zu informieren, außer die Verletzung führt voraussichtlich nicht zu einem Risiko. In Bulgarien ist das die Kommission für den Schutz personenbezogener Daten. Bei hohem Risiko für Betroffene verlangt Artikel 34 zusätzlich deren Information.
Nachweise, die ein Prüfer akzeptiert
| Maßnahme | Was Sie vorzeigen können |
|---|---|
| Verschlüsselung | Gültiges Zertifikat auf jedem Hostnamen, Mail-TLS-Einstellungen |
| Zugriff | Liste der Admin-Konten mit MFA-Status und Verantwortlichem |
| Updates | Datiertes Update-Protokoll oder Einstellung für automatische Updates |
| Backups | Datum und Ergebnis des letzten Restore-Tests |
| Logs | Aufbewahrungsfrist im Verzeichnis |
| Datenpanne | Einseitiger Ablaufplan: Wer entscheidet, wer meldet, wer schreibt |
Dokumentieren Sie es
Artikel 30 erwartet von den meisten Organisationen ein Verzeichnis von Verarbeitungstätigkeiten. Tragen Sie den Hosting-Standort, die beteiligten Auftragsverarbeiter und die genannten Maßnahmen ein. Ein gemeinsames Dokument genügt, wenn es aktuell bleibt.
Was das Hosting beisteuert
Bei Webhosting ist ein kostenloses Zertifikat enthalten, die Verschlüsselung bei der Übertragung ist also ab Tag eins abgedeckt. Auf einem Cloud-Server gehören Firewall, SSH-Zugang und Betriebssystem-Patches zusätzlich Ihnen. Wie Sie den Hoster auswählen, steht in Warum DSGVO-konformes Hosting zählt.
Häufige Fragen
Ist Verschlüsselung ruhender Daten Pflicht?
Artikel 32 nennt Verschlüsselung als Beispiel für eine Maßnahme, nicht als feste Regel. Entscheiden Sie nach Risiko: Laptops, Backups und Datenbanken mit sensiblen Daten rechtfertigen sie meist.
Brauchen kleine Unternehmen alle sechs?
Die Tiefe richtet sich nach dem Risiko, aber HTTPS, MFA, Updates und getestete Backups werden in jeder Größe erwartet.
Wie schnell muss eine Datenpanne gemeldet werden?
Binnen 72 Stunden nach Kenntnis, sofern sie voraussichtlich ein Risiko für Personen birgt. Dokumentieren Sie die Entscheidung in jedem Fall.
Reicht eine Firewall?
Nein. Eine Firewall begrenzt die Angriffsfläche. Schwache Passwörter, fehlende Updates und ungetestete Backups bleiben offen.
