DSGVO & Cybersicherheit: Art. 32-34, Meldepflichten und Bußgelder

Die Datenschutz-Grundverordnung (DSGVO, englisch General Data Protection Regulation, GDPR – Verordnung (EU) 2016/679) ist in erster Linie ein Datenschutzgesetz. Sie enthält aber auch handfeste Cybersicherheitspflichten: Wer personenbezogene Daten verarbeitet, muss diese technisch und organisatorisch angemessen schützen (Art. 32 DSGVO) und Sicherheitsvorfälle innerhalb enger Fristen melden (Art. 33 und 34 DSGVO). Diese Seite konzentriert sich ausschließlich auf diese cybersicherheitsrelevanten Vorschriften – nicht auf das gesamte Datenschutzrecht – und zeigt insbesondere, wie sich DSGVO- und NIS2-Meldepflichten zueinander verhalten, wenn beide gleichzeitig greifen.

Was regelt die DSGVO im Bereich Cybersicherheit?

Die DSGVO wurde am 27. April 2016 verabschiedet, am 4. Mai 2016 im Amtsblatt der EU veröffentlicht und trat zwanzig Tage später, am 24. Mai 2016, in Kraft. Nach einer zweijährigen Übergangsfrist gilt sie seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten – als Verordnung (im Unterschied zu einer Richtlinie wie der NIS2-Richtlinie) ohne den Umweg über nationale Umsetzungsgesetze. Von den 99 Artikeln der DSGVO befassen sich vor allem drei unmittelbar mit Cybersicherheit: Art. 32 (Sicherheit der Verarbeitung), Art. 33 (Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde) und Art. 34 (Benachrichtigung der betroffenen Personen). Diese Pflichten bestehen unabhängig von Branche oder Unternehmensgröße – ein deutlicher Kontrast zur NIS2-Richtlinie, die nur bestimmte Sektoren und Größenklassen erfasst.

Wer ist von den DSGVO-Sicherheitspflichten betroffen?

Anders als NIS2 kennt die DSGVO keinen Sektor- oder Schwellenwert-Filter. Die Pflichten aus Art. 32-34 gelten für praktisch jede Organisation, die personenbezogene Daten – also Informationen über identifizierte oder identifizierbare natürliche Personen – verarbeitet: vom Einzelunternehmen mit Kundenkartei über den Online-Shop bis zum Industriekonzern. Adressiert werden zwei Rollen: der Verantwortliche (entscheidet über Zwecke und Mittel der Verarbeitung) und der Auftragsverarbeiter (verarbeitet Daten im Auftrag, z. B. ein Cloud- oder IT-Dienstleister) – Art. 32 verpflichtet ausdrücklich beide. Wer NIS2-pflichtig ist, verarbeitet in aller Regel gleichzeitig auch personenbezogene Daten (Mitarbeiterdaten, Kundendaten, Zugangsprotokolle) und unterliegt damit zusätzlich der DSGVO. Diese doppelte Betroffenheit ist die Regel, nicht die Ausnahme.

Art. 32 DSGVO – Sicherheit der Verarbeitung

Art. 32 Abs. 1 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen" (TOMs), um ein dem Risiko angemessenes Schutzniveau sicherzustellen. Das Gesetz nennt vier konkrete Zielrichtungen:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten, soweit angemessen;
• die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
• die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
• ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOMs.

Bewusst nennt Art. 32 keine konkreten Technologien – welche Maßnahme „angemessen" ist, hängt vom Stand der Technik, den Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere der Risiken für Betroffene ab. In der Praxis deckt sich dieser risikobasierte Ansatz weitgehend mit dem, was ein ISO-27001- oder NIS2-konformes Informationssicherheits-Managementsystem ohnehin verlangt: Zugangskontrollen, Verschlüsselung, Patch-Management, Backup- und Wiederherstellungsprozesse, regelmäßige Tests. Wer bereits im Rahmen von NIS2 ein Risikomanagementsystem nach Art. 21 NIS2 aufbaut, deckt damit einen erheblichen Teil der Art.-32-Anforderungen faktisch mit ab – ersetzt aber nicht die eigenständige datenschutzrechtliche Bewertung, da Zweck und Prüfmaßstab unterschiedlich sind.

Art. 33 DSGVO – Meldung an die Aufsichtsbehörde binnen 72 Stunden

Kommt es trotz TOMs zu einer Verletzung des Schutzes personenbezogener Daten (Data Breach) – etwa durch einen Ransomware-Angriff, eine Fehlkonfiguration oder einen Datenabfluss –, muss der Verantwortliche dies gemäß Art. 33 Abs. 1 DSGVO unverzüglich und möglichst binnen 72 Stunden nach Kenntniserlangung der zuständigen Aufsichtsbehörde melden. Die 72-Stunden-Frist beginnt nicht mit dem technischen Vorfall selbst, sondern mit dem Zeitpunkt, zu dem die Organisation tatsächlich Kenntnis davon erlangt hat. Wird die Frist überschritten, muss die Meldung eine Begründung für die Verspätung enthalten. Eine Meldung entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Die Meldung nach Art. 33 Abs. 3 muss mindestens enthalten: Art der Verletzung inkl. betroffener Kategorien und ungefährer Anzahl von Personen und Datensätzen, Name und Kontaktdaten des Datenschutzbeauftragten, die wahrscheinlichen Folgen der Verletzung sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung. Der Europäische Datenschutzausschuss (EDPB) hat dazu detaillierte Leitlinien mit Praxisbeispielen veröffentlicht.

Art. 34 DSGVO – Benachrichtigung der betroffenen Personen

Zusätzlich zur Behördenmeldung verlangt Art. 34 DSGVO, dass Betroffene selbst „unverzüglich" informiert werden, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat – etwa bei einem Abfluss von Gesundheits-, Finanz- oder Zugangsdaten. Die Benachrichtigung muss in klarer, einfacher Sprache die Art der Verletzung sowie mindestens die in Art. 33 Abs. 3 lit. b-d genannten Informationen enthalten. Sie kann entfallen, wenn geeignete technische Schutzmaßnahmen (z. B. starke Verschlüsselung) die Daten für Unbefugte unzugänglich gemacht haben, wenn durch nachträgliche Maßnahmen das hohe Risiko nachweislich nicht mehr besteht, oder wenn eine Einzelbenachrichtigung unverhältnismäßigen Aufwand bedeuten würde – dann genügt eine öffentliche Bekanntmachung.

Sanktionen nach Art. 83 DSGVO: das zweistufige Bußgeldmodell

Art. 83 DSGVO unterscheidet zwei Bußgeldstufen, wobei jeweils der höhere Betrag maßgeblich ist:

Stufe	Betroffene Verstöße	Bußgeldrahmen
Art. 83 Abs. 4 DSGVO	Pflichten von Verantwortlichen & Auftragsverarbeitern (u. a. Art. 25-39) – einschließlich Art. 32 (TOMs) sowie Art. 33/34 (Meldepflichten)	bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
Art. 83 Abs. 5 DSGVO	Grundprinzipien der Verarbeitung & Rechtmäßigkeit (Art. 5, 6, 7, 9), Betroffenenrechte (Art. 12-22), internationale Datenübermittlungen (Art. 44-49)	bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes

Ein unzureichendes Schutzniveau nach Art. 32 oder eine versäumte 72-Stunden-Meldung nach Art. 33 fallen also in die niedrigere Bußgeldstufe (Art. 83 Abs. 4) – das bedeutet aber nicht, dass solche Vorfälle milde geahndet werden: Bußgelder wegen unzureichender Sicherheitsmaßnahmen erreichten in der Praxis bereits einen zweistelligen Millionenbereich. Bei der konkreten Bemessung berücksichtigen die Aufsichtsbehörden laut Art. 83 Abs. 2 u. a. Schwere und Dauer des Verstoßes, Grad des Verschuldens, getroffene Abhilfemaßnahmen und frühere Verstöße.

DSGVO- und NIS2-Meldepflichten im Vergleich

Für Organisationen, die gleichzeitig NIS2-pflichtig sind, entsteht bei einem einzigen Sicherheitsvorfall mit Personenbezug regelmäßig eine doppelte Meldepflicht: an die Datenschutzaufsichtsbehörde nach Art. 33 DSGVO und an die nationale CSIRT/Behörde nach Art. 23 NIS2. Beide Fristenregime laufen parallel, verfolgen aber unterschiedliche Zwecke und verlangen unterschiedliche Inhalte:

Aspekt	DSGVO (Art. 33)	NIS2 (Art. 23)
Adressat	Zuständige Datenschutzaufsichtsbehörde	Nationale CSIRT / zuständige Behörde (in DE: BSI)
Auslöser	Verletzung des Schutzes personenbezogener Daten	„Erheblicher Sicherheitsvorfall" – unabhängig vom Personenbezug
Frist	Binnen 72 Stunden nach Kenntnis	24h Frühwarnung, 72h Meldung, 1 Monat Abschlussbericht
Fokus der Meldung	Betroffene Personen, Datenkategorien, Risiko für Rechte & Freiheiten	Betrieblich-technische Auswirkung, Ursache, Gegenmaßnahmen

Ein Vorfall, bei dem z. B. ein Verschlüsselungstrojaner sowohl Kundendaten unzugänglich macht als auch den Betrieb kritischer Systeme stört, kann beide Meldewege gleichzeitig auslösen. Unternehmen sollten ihre internen Incident-Response-Prozesse deshalb so gestalten, dass eine einzige interne Eskalationskette beide externen Meldungen mit ihren jeweiligen Fristen und Inhalten zuverlässig bedient.

Verhältnis zur NIS2-Richtlinie

Praktische nächste Schritte

1. Bestandsaufnahme: Welche personenbezogenen Daten verarbeitet Ihr Unternehmen, auf welchen Systemen, mit welchem Schutzbedarf?
2. TOMs nach Art. 32 dokumentieren und regelmäßig testen – ein Verzeichnis von Verarbeitungstätigkeiten mit hinterlegten Maßnahmen ist nach Art. 30 DSGVO ohnehin Pflicht.
3. Meldeprozess für Art. 33/34 vorbereiten: Wer entscheidet innerhalb welcher Frist, wer meldet an die Behörde, wer benachrichtigt Betroffene? Ist Ihr Unternehmen zusätzlich NIS2-pflichtig, sollte dieser Prozess mit dem NIS2-Meldeworkflow verzahnt sein – unser Incident Reporting Kit → liefert dafür eine NIS2-Meldestruktur, die sich um die DSGVO-spezifischen Fristen und Inhalte ergänzen lässt, aber keine eigenständige datenschutzrechtliche Prüfung ersetzt.
4. Auftragsverarbeiter prüfen: Verträge nach Art. 28 DSGVO mit allen Dienstleistern abschließen, die Daten in Ihrem Auftrag verarbeiten, und deren TOMs bewerten.
5. Im Zweifel Datenschutzbeauftragten oder Fachanwalt einbinden, insbesondere bei grenzüberschreitenden Datenübermittlungen oder Vorfällen mit hohem Risiko.

Häufig gestellte Fragen zur DSGVO und Cybersicherheit