Müssen wir dieses Feld jetzt verschlüsseln?
Sprint-Planung, ein neues Feld im Kundenprofil, jemand fragt nach Verschlüsselung. Die Runde schlägt Artikel 32 DSGVO auf, findet dort das Wort “Verschlüsselung” und hält die Sache für geklärt.
Ist sie nicht.
Artikel 32 nennt Verschlüsselung als Beispiel. Vorgeschrieben ist sie an keiner Stelle. Vorgeschrieben ist etwas Unbequemeres: eine Auswahlentscheidung, die Sie gegenüber einer Aufsichtsbehörde begründen können.
Genau hier reißen die meisten TOM-Listen. Sie sammeln Maßnahmen, ohne je zu erklären, warum gerade diese und warum in dieser Stärke.
Was sind technische und organisatorische Maßnahmen?
Technische und organisatorische Maßnahmen, kurz TOMs, sind alle Vorkehrungen, mit denen ein Verantwortlicher oder ein Auftragsverarbeiter die Verarbeitung personenbezogener Daten absichert.
Technisch heißt: in der Technik selbst umgesetzt. Organisatorisch heißt: in den Regeln, Rollen und Abläufen um die Technik herum.
Verschlüsselung im Ruhezustand ist technisch. Die Festlegung, wer den Schlüssel überhaupt herausgeben darf, ist organisatorisch. Ohne die zweite ist die erste Dekoration.
Die Verordnung nennt beide Kategorien nie getrennt, und das ist kein Zufall. Ein Berechtigungssystem ohne Berechtigungskonzept vergibt Rechte nach Zuruf. Ein Löschjob ohne definierte Fristen löscht das Falsche.
Was Artikel 32 Absatz 1 tatsächlich verlangt
Der Satzbau des Absatzes ist der eigentliche Inhalt. Zu berücksichtigen sind vier Dinge: der Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.
Erst danach kommt die Rechtsfolge: geeignete Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Und dann folgt eine Aufzählung, die ausdrücklich nicht abschließend ist. Die Maßnahmen “schließen unter anderem Folgendes ein”:
- Buchstabe a: Pseudonymisierung und Verschlüsselung. Technisch: TLS im Transport, Festplatten- oder Feldverschlüsselung, ein getrennter Schlüsseldienst. Organisatorisch: wer Schlüssel erzeugt, rotiert und im Notfall freigibt.
- Buchstabe b: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit auf Dauer. Technisch: Mandantentrennung, Rate Limits, Integritätsprüfungen. Organisatorisch: Rollenmodell, Vier-Augen-Prinzip bei Produktionszugriffen, Rufbereitschaft.
- Buchstabe c: rasche Wiederherstellbarkeit nach einem Zwischenfall. Technisch: Backups, Replikate, Point-in-Time-Recovery. Organisatorisch: ein Wiederanlaufplan und ein Termin, an dem er geprobt wird.
- Buchstabe d: ein Verfahren zur regelmäßigen Überprüfung. Dazu unten mehr, weil dieser Buchstabe am häufigsten fehlt.
Absatz 2 sagt dann noch, woran Sie das Risiko messen sollen: an Vernichtung, Verlust, Veränderung, unbefugter Offenlegung und unbefugtem Zugang, jeweils unabhängig davon, ob unbeabsichtigt oder unrechtmäßig.
Fünf Schadensarten, nicht eine. Wer TOMs nur gegen Datenabfluss baut, hat vier davon übersehen.
Der entscheidende Fehler passiert allerdings eine Zeile früher. Das Risiko, das hier bemessen wird, ist das Risiko für die betroffenen Personen, nicht das Risiko für Ihr Unternehmen.
Erwägungsgrund 75 zählt auf, was damit gemeint ist: Diskriminierung, Identitätsdiebstahl, finanzieller Verlust, Rufschädigung, der Verlust der Vertraulichkeit bei Berufsgeheimnissen, die unbefugte Aufhebung einer Pseudonymisierung.
Das BSI führt die Verwechslung der beiden Perspektiven im Baustein CON.2 seines IT-Grundschutz-Kompendiums ausdrücklich als Ursache dafür auf, dass Organisationen den Schutzbedarf zu niedrig ansetzen. Ein Datenleck, das Ihnen wirtschaftlich kaum wehtut, kann für die Betroffenen existenziell sein.
“Stand der Technik” ist kein Gütesiegel
Die DSGVO definiert den Begriff nicht. Gemeint ist der Bereich zwischen anerkannter Praxis und Forschungsstand: das, was sich als wirksam erwiesen hat und am Markt verfügbar ist.
In Deutschland greifen viele Teams zur Handreichung “Stand der Technik in der IT-Sicherheit” des Branchenverbands TeleTrusT, die zuletzt im Juni 2025 in überarbeiteter Auflage erschienen ist. Sie ist eine Orientierungshilfe, keine Rechtsnorm. Aufsichtsbehörden sind nicht an sie gebunden.
Wie ernst der Maßstab gemeint ist, zeigt ein bekannter deutscher Artikel-32-Fall. Der Bundesbeauftragte für den Datenschutz verhängte mit Bußgeldbescheid vom 27. November 2019 ein Bußgeld von 9.550.000 Euro gegen die 1&1 Telecom GmbH, weil Anrufer in der Kundenbetreuung allein durch Angabe von Name und Geburtsdatum weitreichende Auskünfte zu Kundendaten erhalten konnten.
Das Landgericht Bonn bestätigte den Verstoß am 11. November 2020 (29 OWi 1/20). Es sah bei der Zumessung ein deutliches Überwiegen mildernder Gesichtspunkte und hielt 900.000 Euro für tat- und schuldangemessen.
Die Lehre daraus ist nicht die Zahl. Es ist die Tatsache, dass ein völlig normales, damals weit verbreitetes Authentifizierungsverfahren als Verstoß gewertet wurde. Der Stand der Technik wandert, Ihre Maßnahmen tun das nicht von allein.
“Implementierungskosten” ist kein Freibrief
Der zweite Faktor wird gerne als Sparklausel gelesen. Das ist er nicht.
Die Datenschutzkonferenz beschreibt im Standard-Datenschutzmodell, warum: Anders als im allgemeinen Risikomanagement stehen im Datenschutz die Instrumente der Risikoakzeptanz und des Risikotransfers nicht zur Verfügung. Sie können ein Risiko für Betroffene nicht wegversichern und Sie können es nicht einfach in Kauf nehmen.
Was Ihnen bleibt, ist Spielraum beim Wie, nicht beim Ob. Zwei Wege führen zum selben Schutzniveau, einer kostet das Doppelte? Nehmen Sie den günstigeren. Ein Weg ist zu teuer und es gibt keinen zweiten? Dann ist die Verarbeitung in dieser Form nicht zulässig.
Der billigste zulässige Weg ist oft ohnehin kein Sicherheitsprodukt. Ein Feld, das Sie gar nicht erst erheben, braucht keine Verschlüsselung, kein Backup und keine Löschroutine. Datenminimierung ist die einzige Maßnahme, die im Betrieb Geld spart.
Wie ein Team entscheidet, welche Maßnahme angemessen ist
Das Standard-Datenschutzmodell der unabhängigen Datenschutzaufsichtsbehörden, aktuell in Version 3.1a, ist die gebräuchlichste Methode dafür. Es ist eine Empfehlung der Aufsichtsbehörden, kein Gesetz. Nur: es ist die Methode, an der Ihre Auswahl im Zweifel gemessen wird.
Der Ablauf hat drei Schritte.
Zuerst die Schwellwertanalyse. Fällt die Verarbeitung unter Artikel 35 Absatz 3, unter die Muss-Liste der Aufsichtsbehörden oder unter mehrere Kriterien aus dem Arbeitspapier WP 248 rev. 01, liegt ein voraussichtlich hohes Risiko vor und eine Datenschutz-Folgenabschätzung wird fällig.
Aus der Risikohöhe folgt zweitens der Schutzbedarf. Das SDM kennt dafür nur zwei praktische Stufen, normal und hoch, weil die DSGVO nur “Risiko” und “hohes Risiko” kennt.
Drittens die Maßnahmen. Bei hohem Schutzbedarf empfiehlt das SDM eine Leiter: erst alles umsetzen, was bei normalem Schutzbedarf gilt, dann zusätzliche Referenzmaßnahmen, dann individuelle Maßnahmen, dann Skalierung vorhandener Maßnahmen, etwa längere Schlüssel oder ein eigener Protokollserver außerhalb der Reichweite der Produktionsadmins.
Der Referenzmaßnahmen-Katalog dazu existiert nicht als ein Dokument, sondern wird bausteinweise freigegeben. Veröffentlicht sind bislang neun Bausteine, darunter “Protokollieren”, “Trennen”, “Löschen und Vernichten” und “Zugriffe auf Daten, Systeme und Prozesse regeln”.
Ein Detail, das Sicherheitsleute regelmäßig überrascht: Das SDM arbeitet nicht mit den drei klassischen Schutzzielen, sondern mit sieben Gewährleistungszielen. Neben Vertraulichkeit, Integrität und Verfügbarkeit stehen Datenminimierung, Nichtverkettung, Transparenz und Intervenierbarkeit.
Die letzten vier haben in keiner Firewall ein Gegenstück. Sie werden im Datenmodell entschieden, nicht im Betrieb. Wie das im Entwurf aussieht, haben wir in DSGVO-konforme Softwarearchitektur von Anfang an beschrieben.
Rein organisatorisch ist auch Artikel 32 Absatz 4: Verantwortlicher und Auftragsverarbeiter müssen sicherstellen, dass ihnen unterstellte Personen mit Datenzugang diese Daten nur auf Anweisung verarbeiten. Kein Produkt der Welt erledigt das für Sie.
Buchstabe d: die Maßnahme, die die Maßnahmen prüft
Von den vier Punkten in Absatz 1 fehlt einer fast immer, und es ist derjenige, der die anderen drei am Leben hält.
Verlangt ist ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit. Nicht der Existenz. Der Wirksamkeit. Artikel 24 Absatz 1 ergänzt, dass Maßnahmen “erforderlichenfalls überprüft und aktualisiert” werden.
Ein Intervall nennt die Verordnung nicht. Was funktioniert, ist ein fester Turnus kombiniert mit Auslösern: neues System, neue Datenart, neuer Dienstleister, neue Region, Vorfall.
Und zwar mit echten Proben. Ein Wiederanlaufplan, der nie gegen eine echte Datenbank gelaufen ist, ist eine Vermutung. Ein Backup, aus dem nie zurückgespielt wurde, ebenso.
Wie sich solche Prüfungen in den Entwicklungszyklus einbauen lassen, statt sie einmal im Jahr vor einem Audit nachzuholen, beschreibt Security by Design.
BSI-Grundschutz, ISO 27001 und Zertifizierungen
Keines dieser Rahmenwerke ist nach Artikel 32 vorgeschrieben. Das ist der wichtigste Satz dieses Abschnitts.
ISO 27001 ist ein Standard für Informationssicherheits-Managementsysteme, IT-Grundschutz eine Methodik des BSI. Beide zielen darauf, die Institution zu schützen, und beide sind dafür gut.
Der Perspektivwechsel zu den Rechten der Betroffenen ist in ihnen nicht eingebaut. Ein zertifiziertes ISMS beweist, dass Sie Sicherheit systematisch betreiben. Dass Ihre Maßnahmen zum Risiko für die Betroffenen passen, beweist es nicht.
Das BSI sieht das selbst so. Baustein CON.2 des IT-Grundschutz-Kompendiums verlangt in der Basis-Anforderung CON.2.A1, dass eine Nichtberücksichtigung der SDM-Methodik und des Referenzmaßnahmen-Katalogs begründet und dokumentiert werden sollte.
Bleibt die Zertifizierung. Artikel 32 Absatz 3 sagt, dass genehmigte Verhaltensregeln nach Artikel 40 oder ein genehmigtes Zertifizierungsverfahren nach Artikel 42 als Faktor herangezogen werden können, um die Anforderungen nachzuweisen.
Als Faktor. Nicht als Nachweis. Artikel 42 Absatz 3 stellt die Zertifizierung ausdrücklich freiwillig, Absatz 4 stellt klar, dass sie die Verantwortung nicht mindert.
Solche genehmigten Verfahren sind zudem selten. Das Register des Europäischen Datenschutzausschusses führt im September 2026 drei Zertifizierungsverfahren mit Europäischem Datenschutzsiegel: Europrivacy (Stellungnahme 14/2026), EuroPriSe (19/2024) und BC 5701:2024 von Brand Compliance (27/2024).
Ein ISO-27001-Zertifikat ist kein Zertifikat nach Artikel 42. Wer es in einer TOM-Übersicht als DSGVO-Nachweis führt, verwechselt zwei Dinge.
Der Bußgeldrahmen für Verstöße gegen Artikel 32 liegt nach Artikel 83 Absatz 4 lit. a bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes.
Die Liste ist das Ergebnis, nicht die Aufgabe
Eine TOM-Liste, die mit den Maßnahmen anfängt, ist rückwärts gebaut. Sie beantwortet die Frage “Was haben wir?” statt “Was brauchen die Betroffenen?”.
Fangen Sie bei der Verarbeitung an: welche Daten, welche Personen, welcher Schaden im schlimmsten Fall. Daraus folgt der Schutzbedarf, daraus folgen die Maßnahmen, und erst daraus folgt das Dokument.
Dieses Dokument bekommt der Kunde am Ende als Anlage zum Vertrag. Was dort hineingehört, damit es einer Prüfung standhält, beschreibt unser Beitrag zum Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
In dieser Reihenfolge beantwortet die Anlage im Audit die einzige Frage, die zählt: Warum genau diese Maßnahmen und warum in dieser Stärke?
Unsicher, ob Ihre technischen und organisatorischen Maßnahmen zum Risiko Ihrer Verarbeitung passen? Sprechen Sie mit uns. Wir gehen Verarbeitung, Schutzbedarf und Maßnahmen gemeinsam durch.
