DSGVO Art. 32: technisch-organisatorische Maßnahmen konkret

Einordnung

Abschnitt 01

Was "Stand der Technik" 2026 bedeutet

Der Stand der Technik entwickelt sich. Was 2018 als angemessen galt (z.B. einfaches Backup auf USB-Festplatte), ist 2026 nicht mehr ausreichend. Aktueller Mindest-Stand: (a) Multi-Faktor-Authentifizierung für alle privilegierten Konten. (b) Verschlüsselung at-rest und in-transit für personenbezogene Daten. (c) Regelmäßige Sicherheits-Updates mit dokumentierten Patch-Zyklen (max 30 Tage für kritische Patches). (d) Strukturierte Backup-Strategie mit 3-2-1-Regel und dokumentiertem Restore-Test. (e) Dokumentierter Incident-Response-Plan mit klaren Eskalationswegen. (f) Mitarbeiter-Awareness-Schulungen mindestens jährlich. Diese 6 Punkte sind Mindest-Maß. Wer darunter liegt, ist nicht Art-32-konform.

Abschnitt 02

Die 8 klassischen TOMs nach DSGVO-Anhang

Art. 32 listet beispielhaft 8 Schutz-Ziele auf: (1) Pseudonymisierung und Verschlüsselung. (2) Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit. (3) Verfügbarkeit der Daten nach physischen oder technischen Vorfällen. (4) Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der TOMs. (5) Eingabekontrolle. (6) Auftragskontrolle. (7) Verfügbarkeitskontrolle. (8) Trennungsgebot. Diese 8 Schutz-Ziele werden in der Praxis zu konkreten Maßnahmen heruntergebrochen. DSGVO-Audit liefert pro Schutz-Ziel ein TOM-Standard-Set mit 5-12 konkreten Maßnahmen.

Abschnitt 03

Pflicht zum externen DSB konkret

Ein DSB ist Pflicht, wenn: (a) eine Behörde oder öffentliche Stelle verarbeitet. (b) Kerntätigkeit besteht in einer Verarbeitung, die regelmäßige und systematische Überwachung erforderlich macht. (c) Kerntätigkeit besteht in der Verarbeitung besonderer Kategorien (Gesundheit, Religion, etc.) oder strafrechtlicher Verurteilungen. In der KMU-Praxis: ab 20 MA mit regelmäßiger Verarbeitung von Kundendaten ist DSB sehr empfehlenswert. Ein externer DSB ist meist günstiger als interner, weil keine eigene Stelle besetzt werden muss. Externer DSB-Vertrag typisch 12-22k € jährlich für 50-MA-Firma.

Abschnitt 04

Schutzbedarfs-Analyse: 4 Stufen

Personen-Daten haben unterschiedlichen Schutzbedarf. Standard: einfache Kontakt-Daten ohne Bezug zu besonderen Kategorien. Erhöht: Daten, die Identitäts-Diebstahl ermöglichen können (Geburtsdaten, Sozialversicherungsnummer). Hoch: besondere Kategorien nach Art. 9 DSGVO (Gesundheit, Religion, Gewerkschaft) oder Strafrechts-Daten nach Art. 10. Sehr hoch: Daten mit existenziellen Folgen bei Offenlegung (Genetik, biometrisch eindeutig). Die TOMs müssen schutzbedarf-angemessen sein: ein 50-MA-Restaurant mit nur Kontakt-Daten braucht weniger als ein 50-MA-Pflegeheim mit Gesundheits-Daten.

Abschnitt 05

Aufsichtsbehörden-Prüf-Schwerpunkte 2026

Aus Auswertung der Tätigkeitsberichte der Landes-Datenschutzbehörden (besonders LDI NRW, BlnBDI Berlin, BayLDA Bayern) für 2024-2025 die häufigsten Prüf-Schwerpunkte 2026: (1) MFA-Implementation für privilegierte Konten. (2) Lösch-Konzept mit dokumentierten Aufbewahrungs-Fristen. (3) AVV-Status mit allen Cloud-Anbietern, einschließlich US-Cloud-Themen nach Schrems-II. (4) Mitarbeiter-Awareness-Schulungs-Nachweise. (5) Vorfalls-Meldungs-Bereitschaft (kann die Firma in 72h melden, gibt es einen Plan). KMU sollten in diesen 5 Bereichen besonders sauber sein.

Abschnitt 06

Mitarbeiter-Awareness: was wirklich gefordert

Aufsichtsbehörden akzeptieren als Awareness-Schulung NICHT: ein einmaliges PDF mit "Hier sind die DSGVO-Regeln". GEFORDERT wird: interaktive Schulung mindestens jährlich, dokumentierte Teilnahme pro Mitarbeiter (Unterschrift oder digitaler Nachweis), Quiz oder Verständnis-Test mit Mindest-Punktzahl, Wiederholung nach Vorfall oder gesetzlichen Änderungen. Schulungs-Inhalte müssen mindestens umfassen: Erkennung von Phishing, Umgang mit Personen-Daten, Vorfalls-Meldung intern, Mitarbeiter-Rechte als Betroffener, Lösch-Workflows. Standard-Schulungs-Dauer: 60-90 Minuten, alle 12 Monate.

Abschnitt 07

Vorfalls-Management: 72h-Frist

Art. 33 DSGVO verlangt Meldung von Datenschutz-Verletzungen an die Aufsichtsbehörde binnen 72 Stunden, sofern ein Risiko für die Rechte und Freiheiten betroffener Personen besteht. Wichtig: die 72h-Frist beginnt mit Kenntnisnahme der Verletzung, nicht mit dem Vorfall selbst. Für KMU heißt das: ein dokumentierter Eskalations-Prozess ist Pflicht, der ab Erkennen einer möglichen Verletzung greift. Standard-Workflow: jeder Mitarbeiter meldet Verdachts-Vorfall an DSB → DSB bewertet binnen 24h → bei bestätigter meldepflichtiger Verletzung Meldung binnen weiterer 48h. Plus zusätzliche Meldung an Betroffene, sofern hohes Risiko besteht.

Abschnitt 08

Auftrags­verarbeitungs-Verträge

Jeder Auftragsverarbeiter (jeder Sub-Dienstleister, der personenbezogene Daten verarbeitet) braucht einen AVV nach Art. 28 DSGVO. Standard-Inhalte: Verarbeitungs-Zweck, Daten-Kategorien, Betroffenen-Gruppen, Dauer, TOMs des Verarbeiters, Sub-Auftragsverarbeiter-Regelungen, Mitwirkungspflichten, Lösch-Pflichten nach Beendigung. Typische KMU-Setups haben 15-40 AVVs (alle Cloud-Anbieter, alle SaaS-Tools, alle externen Dienstleister). Wer eine vollständige AVV-Liste mit aktuellen Versionen pflegen kann, hat in Audits einen entscheidenden Vorteil.

Abschnitt 09

Cookie-Banner und Tracking: Practical Compliance

Seit 2023 (BGH-Urteil zur Cookie-Banner-Pflicht) ist die Cookie-Banner-Compliance ein Audit-Schwerpunkt. Standard-Anforderungen: (a) Opt-in für nicht-essenzielle Cookies vor Setzung. (b) "Ablehnen"-Button gleichwertig prominent wie "Akzeptieren". (c) Widerrufbarkeit jederzeit. (d) Granulare Auswahl pro Cookie-Zweck (Tracking, Marketing, Funktional). (e) Dokumentation der Einwilligung. KMU sollten ein professionelles Cookie-Management-Tool nutzen (z.B. Cookiebot, CCM19, OneTrust) statt selbst gebauter Lösungen. Tools-Kosten 25-180 €/Mo, je nach Site-Größe.

Abschnitt 10

DSGVO-KI-Audit-Suite als DSGVO-Operations-Tool

DripBack DSGVO-KI-Audit-Suite unterstützt die DSGVO-Routine-Arbeit: automatische VVT-Generierung aus IT-Asset-Inventory, AVV-Template-Bibliothek mit aktualisierten TOMs für die häufigsten Cloud-Anbieter, DSFA-Initial-Drafts, Lösch-Konzept-Erstellung, Cookie-Banner-Status-Check, Awareness-Schulungs-Materialien. Pro 50-MA-KMU spart DSGVO-KI-Audit-Suite dem DSB rund 60% der Routine-Arbeit, sodass mehr Zeit für strategische Arbeit (Risiko-Bewertung, Verhandlung mit Aufsichtsbehörden, neue Verarbeitungs-Vorhaben) bleibt. DSGVO-KI-Audit-Suite ersetzt KEINEN DSB, sondern macht ihn effektiver.