Warum Ihr Verhalten eine Maßnahme im Sinne der Verordnung ist
Artikel 32 Absatz 1 DSGVO verlangt „technische und organisatorische Maßnahmen". Das Verhalten am Arbeitsplatz ist eine organisatorische Maßnahme — deshalb betrifft diese Vorschrift jeden Beschäftigten und nicht nur die IT.
Warum das wichtig ist
Der Satz wird häufig als IT-Aufgabe gelesen. Der Wortlaut gibt das nicht her: er nennt beide Arten von Maßnahmen gleichrangig. Wer den Bildschirm sperrt oder einen Anhang nicht öffnet, erfüllt einen Teil dieser Pflicht.
Absatz 2 nennt vier Schäden — Vernichtung, Verlust, Veränderung, unbefugte Offenlegung. Keiner davon setzt einen Angriff voraus. Ein vergessener Stick genügt.
„Stand der Technik" in Absatz 1 heißt: Was gestern genügte, genügt heute nicht notwendig. Deshalb ändern sich die Empfehlungen — die Haltung dahinter nicht.
Absatz 4 zieht die Linie für Beschäftigte: verarbeitet wird nur auf Anweisung. Was nicht angeordnet ist, ist auch nicht Ihre Entscheidung — das entlastet.
Was das Gesetz sagt
Art. 32 Abs. 1 DSGVO
„Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; …"
Art. 32 Abs. 2 DSGVO
„Bei der Beurteilung des angemessenen Schutzniveaus sind insbesondere die Risiken zu berücksichtigen, die mit der Verarbeitung verbunden sind, insbesondere durch – ob unbeabsichtigt oder unrechtmäßig – Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von beziehungsweise unbefugten Zugang zu personenbezogenen Daten, die übermittelt, gespeichert oder auf andere Weise verarbeitet wurden."
Art. 32 Abs. 4 DSGVO
„Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten, es sei denn, sie sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet."
So macht man es richtig
Das eigene Verhalten als Teil der Schutzmaßnahmen begreifen, nicht als Zugabe.
Bei allem, was nicht angeordnet ist, nachfragen statt selbst entscheiden.
Damit rechnen, dass sich Empfehlungen ändern — der Stand der Technik ist beweglich.
Was bei Missachtung droht
Ein Verstoß gegen Art. 32 fällt nach Art. 83 Abs. 4 lit. a DSGVO in den Rahmen bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Die Befugnisse der Aufsichtsbehörde nach Art. 58 Abs. 2 bleiben daneben bestehen.
Beim Abspielen wird das Video von unserem Videodienst
Bunny.net geladen. Vorher geht keine Verbindung dorthin.
