Art. 32 DSGVO (Sicherheit der Verarbeitung)

Vorschrift der DSGVO, die Verantwortliche und Auftragsverarbeiter verpflichtet, ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten herzustellen. Sie nennt Kriterien und Beispiele, aber keine verbindliche Maßnahmenliste.

Zuletzt geprüft

September 11, 2026

Lesedauer

Kurzdefinition

Der Maßstab

Abs. 1 verlangt die Berücksichtigung von Stand der Technik, Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung, dazu Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen. Angemessen ist damit relativ, nicht absolut.

Beispiele und Schutzziele

Genannt sind Pseudonymisierung und Verschlüsselung, die Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die rasche Wiederherstellbarkeit nach einem Zwischenfall und ein Verfahren zur regelmäßigen Wirksamkeitsprüfung. Abs. 2 benennt die abzuwehrenden Risiken: Vernichtung, Verlust, Veränderung sowie unbefugte Offenlegung oder unbefugter Zugang.

Wer betroffen ist

Die Pflicht trifft Verantwortliche und Auftragsverarbeiter gleichermaßen. Im Auftragsverarbeitungsvertrag wird sie nach Art. 28 Abs. 3 lit. c ausdrücklich vereinbart.

Häufige Fragen

Nennt Art. 32 konkrete Maßnahmen?

Nur Beispiele, und die ausdrücklich nicht abschließend. Was angemessen ist, ergibt sich aus dem Risiko der konkreten Verarbeitung.

Gilt Art. 32 auch für Auftragsverarbeiter?

Ja. Die Pflicht trifft beide Seiten und wird im Auftragsverarbeitungsvertrag zusätzlich vereinbart.

SECJUR-Bezug