--- title: "DSGVO und Managed Cybersecurity | DataRoad IT" description: "DSGVO und Managed Cybersecurity: 10 technische Kontrollen nach Art. 32, Verträge nach Art. 28 und 72 Stunden für die Meldung an die Behörde. Unverbindlich." language: de url: https://www.dataroad-it.com/de/dsgvo-technische-massnahmen-it-infrastruktur/ source: https://www.dataroad-it.com/de/dsgvo-technische-massnahmen-it-infrastruktur/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > DSGVO und Managed Cybersecurity: 10 technische Kontrollen nach Art. 32, Verträge nach Art. 28 und 72 Stunden für die Meldung an die Behörde. Unverbindlich. # DSGVO und Managed Cybersecurity: 10 technische Kontrollen Auf einen Blick Für Entscheider mit wenig Zeit. - 01 Art. 32 DSGVO verlangt Verschlüsselung, Zugriffskontrolle, Datenwiederherstellung und regelmäßige Tests. - 02 Eine Verletzung wird der CNPD in der Regel binnen 72 Stunden gemeldet; dokumentiert wird sie immer. - 03 Der IT-Dienstleister ist meist Auftragsverarbeiter; der Vertrag muss Art. 28 erfüllen. - 04 DataRoad setzt die technischen Kontrollen um und dokumentiert sie; keine Rechtsberatung. ### In diesem Artikel **Eine Verletzung personenbezogener Daten ohne dokumentierte technische Maßnahmen macht aus einem IT-Vorfall ein Problem mit der Datenschutzbehörde, mit Kunden und mit der Reputation des Unternehmens.** Für die Infrastruktur bedeutet die DSGVO zehn Kontrollen, die jede Organisation ab 10 Arbeitsplätzen umsetzen und vor allem nachweisen kann. DataRoad - IT Services and Consulting ordnet sie hier in drei Blöcke – wissen, schützen, nachweisen – und erklärt die ersten 72 Stunden nach einer Verletzung. Ausgeklammert bleibt der juristische Teil (Rechtsgrundlagen, Einwilligungen, Betroffenenrechte), der Ihrem Anwalt oder Datenschutzbeauftragten zusteht. ## DSGVO und Managed Cybersecurity: was müssen Sie sofort wissen? - **Art. 32** Verlangt wirksame technische Sicherheit: Verschlüsselung, Vertraulichkeit, Datenwiederherstellung und regelmäßige Bewertung. - **72 Stunden** Die Regelfrist für die Meldung an die portugiesische Datenschutzbehörde CNPD, gerechnet ab Kenntnisnahme durch das Unternehmen, über ein eigenes Formular. - **Alles dokumentieren** Jede Verletzung wird festgehalten, auch die, die nicht gemeldet werden. - **Art. 28** Wer Ihnen IT-Services erbringt und auf Ihre Daten zugreift, ist in der Regel Auftragsverarbeiter; der Vertrag muss diesen Artikel einhalten. ## Was verlangt das Gesetz von der Infrastruktur – ohne Juristendeutsch? Die Verordnung (EU) 2016/679 schreibt keine Marken oder Produkte vor. Sie verlangt eine dem Risiko angemessene Sicherheit. Art. 32 Abs. 1 nennt Beispiele: Pseudonymisierung und Verschlüsselung; dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit; rasche Wiederherstellung des Datenzugangs nach einem Vorfall; und regelmäßige Überprüfung der Wirksamkeit der Maßnahmen. In Managementbegriffen vier Garantien: Zugriff nur für die, die ihn brauchen, kontrollierte Änderungen, Wiederherstellung in angemessener Zeit und regelmäßige Überprüfung. Und personenbezogene Daten sind alles, was eine Person identifiziert: Name, E-Mail, Steuernummer, Adresse, Kundenakte, Gehaltsabrechnung. ## Block 1 – Wissen, wo die Daten liegen und wer darauf zugreift - **Inventar personenbezogener Daten** – Server, Microsoft 365, Abrechnung, externe Festplatten, Personalsoftware und alte Postfächer durchgehen. Ergebnis: eine Tabelle mit Datenart, System und Verantwortlichem. - **Minimale Rechte** – Berechtigungen nach Funktion: Der Vertrieb sieht keine Gehälter, der Empfang hat keinen Zugriff auf den Ordner der Geschäftsführung. Bei jedem Rollenwechsel werden sie erneut geprüft. - **Verträge mit allen, die Daten in Ihrem Auftrag verarbeiten** – IT-Dienstleister, Cloud, Lohnabrechnung. Art. 28 verlangt hinreichende Garantien und einen schriftlichen Vertrag, der Weisungen, Vertraulichkeit, Sicherheit, Bedingungen für Unterauftragsverarbeiter, Mitwirkung bei Verletzungen sowie Rückgabe oder Vernichtung der Daten am Ende regelt. Was zu prüfen ist, steht unter [Ausstiegs- und Datenklauseln in einem IT-Vertrag](https://www.dataroad-it.com/de/msp-vertrag-ausstiegsklauseln-zugaenge/). ## Block 2 – Schutz vor Verlust, Diebstahl und Angriff - **Multi-Faktor-Authentifizierung** – ein großer Teil der Einbrüche beginnt mit einem kompromittierten Passwort. Der zweite Faktor, meist auf dem Smartphone, muss E-Mail, Cloud und Fernzugriff schützen. - **Verschlüsselung** – eine der beiden Maßnahmen, die Art. 32 selbst nennt: verschlüsselte Festplatten in Laptops, verwaltete und gesperrte Smartphones, verschlüsselte Backups. - **Updates mit fester Frist** – Systeme ohne Patches sind der häufigste Weg zum Verlust von Integrität und Belastbarkeit. Legen Sie Installationsfristen fest und nehmen Sie Geräte außer Betrieb, die der Hersteller nicht mehr unterstützt. - **In der Praxis zurückgespielte Datensicherungen** – ohne getestete Wiederherstellung ist das Backup nur eine Hypothese. Wir empfehlen mindestens einen Test pro Quartal: siehe [den 30-Minuten-Wiederherstellungstest](https://www.dataroad-it.com/de/backup-wiederherstellungstest-30-minuten/) und den Service [Managed Backup](https://www.dataroad-it.com/de/backup-loesungen-unternehmen-portugal/). ## Block 3 – Sorgfalt nachweisen, wenn jemand fragt - **Zugriffsprotokolle** – Anmeldungen, Zugriffe auf sensible Ordner, Rechteänderungen. Bei einem Vorfall sind es diese Aufzeichnungen, mit denen sich der CNPD sagen lässt, welche Daten betroffen waren. - **Reaktionsplan für die ersten 72 Stunden** – wer entscheidet, wer die technischen Informationen sammelt, wer die Meldung ausfüllt. Alles vereinbart, bevor es gebraucht wird. - **Schriftliche jährliche Überprüfung** – die am häufigsten vergessene Anforderung von Art. 32. Eine Überprüfung pro Jahr mit dokumentierten Korrekturen ist der beste Nachweis, dass das Unternehmen sorgfältig gehandelt hat. ## Was ist in den 72 Stunden nach einer Verletzung zu tun? Art. 33 und die Leitlinien der CNPD legen die Meldung binnen 72 Stunden nach Kenntnisnahme fest, außer wenn die Verletzung kein Risiko für die Rechte der Betroffenen darstellt. Bei hohem Risiko verlangt Art. 34 zusätzlich die Benachrichtigung der Betroffenen selbst. | Wann | Was | Wer | | --- | --- | --- | | Erkennung | Technische Warnung, Beschwerde, Lösegeldforderung oder verschwundener Laptop | Der Mitarbeiter, der es bemerkt, und informiert den Support | | Folgende Stunden | Eindämmung: Geräte isolieren, Konten sperren, Protokolle sichern | Technisches IT-Team | | Erster Tag | Verstehen, welche Daten und wie viele Betroffene es betrifft | IT und Geschäftsführung | | Bis zum 3. Tag | Entscheiden und gegebenenfalls das Formular bei der CNPD einreichen | Das Unternehmen als Verantwortlicher | | In jedem Fall | Die Verletzung, ihre Folgen und die ergriffenen Maßnahmen dokumentieren | Das Unternehmen | Zwei Details überraschen viele Unternehmen. Die Dokumentation ist auch dann Pflicht, wenn keine Meldung erfolgt. Und der Auftragsverarbeiter, der IT-Dienstleister eingeschlossen, muss den Kunden unverzüglich informieren. Ein verlorener Laptop ohne Verschlüsselung kann eine Verletzung darstellen; mit verschlüsselter Festplatte fällt die Risikobewertung anders aus. ## Praxisbeispiel: Kontinuität in einer öffentlichen Einrichtung In einem öffentlichen Auftrag für den Gemeindeverbund União de Freguesias de Massamá e Monte Abraão installierte und konfigurierte DataRoad einen neuen Server, setzte eine USV ein (Batterien, die die Geräte bei Stromausfall weiter betreiben), richtete lokale und Cloud-Backups ein und migrierte Daten und Konfigurationen. Das ist Verfügbarkeit, wie Art. 32 sie beschreibt: Daten an mehr als einem Ort gespeichert und wiederherstellbar. [Lernen Sie das Projekt in Massamá und Monte Abraão kennen](https://www.dataroad-it.com/de/massama-monte-abraao-server-usv-backup/). ## Wie hilft die Managed Cybersecurity von DataRoad? Wir setzen die technischen Kontrollen um und dokumentieren sie – Zugriffe, Verschlüsselung, Backups, Updates, Protokolle, Firewall. Rechtsberatung leisten wir nicht. DataRoad hatte in 11 Jahren nie einen Sicherheitsvorfall. Jeder IT-Unlimited-Vertrag umfasst Sicherheit. Mit dem [Plan Premium](https://www.dataroad-it.com/de/it-unlimited-premium-vor-ort-service/) erhalten Sie zusätzlich unbegrenzten Vor-Ort-Support, nützlich, wenn physisch an einem Server oder Arbeitsplatz gearbeitet werden muss. Mehr zu [Managed Cybersecurity für Unternehmen](https://www.dataroad-it.com/de/cybersicherheit-unternehmen/) und den [sieben internen Richtlinien, die jedes Unternehmen haben sollte](https://www.dataroad-it.com/de/cybersecurity-sieben-richtlinien-unternehmen/). ## Häufige Fragen ### Müssen wir alle Daten verschlüsseln, um die DSGVO zu erfüllen? Es ist keine Pflicht, alles zu verschlüsseln, aber Verschlüsselung wird ausdrücklich als geeignete Maßnahme genannt. Bei Backups, Smartphones und Laptops ist sie der einfachste Weg, zu verhindern, dass ein Verlust zu einer schweren Verletzung wird. ### Muss ein verlorener Laptop der CNPD gemeldet werden? Nur, wenn ein Risiko für die Betroffenen besteht. Ist die Festplatte verschlüsselt und wird sie aus der Ferne gelöscht, sinkt dieses Risiko stark. Der Vorfall wird immer dokumentiert, und die Entscheidung trifft der Verantwortliche, bei Bedarf mit juristischer Unterstützung. ### Gilt unser IT-Partner als Auftragsverarbeiter? Ja, in den meisten Fällen, sofern er auf Systeme mit personenbezogenen Daten zugreift. Der Vertrag muss dann Art. 28 einhalten: Weisungen, Vertraulichkeit, Sicherheit, Mitwirkung bei Vorfällen sowie Rückgabe oder Vernichtung der Daten. ### Welche Frist gilt für die Meldung einer Verletzung? In der Regel 72 Stunden ab Kenntnisnahme durch das Unternehmen, über das von der CNPD bereitgestellte Formular. Wird diese Frist überschritten, muss die Meldung die Verzögerung begründen. ## Quellen - [EUR-Lex – DSGVO, Verordnung (EU) 2016/679 (Art. 28, 32, 33 und 34)](https://eur-lex.europa.eu/legal-content/PT/TXT/HTML/?uri=CELEX:32016R0679) - [CNPD – Verletzungen personenbezogener Daten](https://www.cnpd.pt/organizacoes/outras-obrigacoes/violacao-de-dados-ou-data-breach/) - [CNPD – Meldung einer Verletzung](https://www.cnpd.pt/DataBreach/DataBreach_pt.aspx) ## Möchten Sie wissen, was Ihrer Infrastruktur fehlt? In 10 Werktagen bewerten wir die zehn Kontrollen in Ihren Systemen und hinterlassen Ihnen schriftlich die Lücken und die Reihenfolge, in der sie zu schließen sind. Fordern Sie ein unverbindliches Angebot an. **Mehr als 10 Arbeitsplätze · Servicevertrag · Support per Fernwartung, vor Ort und telefonisch.** Rufen Sie +351 211 459 950 * an oder schreiben Sie an sales@dataroad.pt. **Anruf ins portugiesische Festnetz.* Gewählt von renommierten und internationalen Unternehmen ★★★★★ 5,0 · 52 Google-Bewertungen ★★★★★ 5,0 · 52 Google-Bewertungen DataRoad ## Verwandte Artikel [Managed IT und CybersicherheitTeams auf Reisen: Laptops, Handys und öffentliches WLAN sichernDas echte Reiserisiko ist ein verlorener, unverschlüsselter Laptop, nicht das Hotel-WLAN. Mit Verschlüsselung, MFA und zentraler Verwaltung …12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/cybersecurity-teams-auf-reisen-laptop-wlan/)[Managed IT und CybersicherheitExterne Angriffsfläche: was das Internet von Ihrer Firma siehtAutomatisierte Angriffe suchen verwundbare Versionen, die Firmengröße spielt keine Rolle. 2025 verzeichnete CERT.PT 3.864 Vorfälle, 40 % meh…12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/externe-angriffsflaeche-unternehmen/)[Managed IT und CybersicherheitNOC und Managed Cybersecurity: wer Ihr KMU überwacht, und wannEntscheidend ist nicht ein SOC, sondern wer samstags um 22 Uhr den Alarm erhält und was dann passiert. Bei DataRoad sind Nächte, Wochenenden…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/noc-soc-managed-cybersecurity-kmu/)[Managed IT und CybersicherheitMicrosoft-365-Sicherheit: die 10 Kontrollen des UnternehmensIn Microsoft 365 gehört die Plattform Microsoft, die Schlüssel gehören Ihnen. Laut Microsoft stoppen MFA und das Blockieren veralteter Authe…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/microsoft-365-sicherheit-geteilte-verantwortung/)[Managed IT und CybersicherheitGeleakte Passwörter: Domain prüfen und Lücke in 5 Tagen schließenDas Risiko ist nicht die E-Mail im Datenleck, sondern dasselbe Passwort für ein Firmenkonto. Betroffenes ändern, MFA für alle Konten und ein…12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/zugangsdaten-datenleck-domain-pruefen/)[Managed IT und CybersicherheitAsset-Inventar: Grundlage für IT-Bestandsverwaltung und NIS2Ohne Asset-Inventar gibt es keine geplante Erneuerung, keine nachweisbare Sicherheit und keine Antwort an das CNCS. NIS2-Einrichtungen müsse…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/it-asset-inventar-nis2/)[Managed IT und CybersicherheitBreak-Glass-Konten in Microsoft 365: die Versicherung der FirmaEin ausgesperrter Admin kann E-Mail, Teams und Dateien tagelang unverwaltet lassen. Break-Glass-Konten sind der Reserve-Administrator, wenn …12. Oktober 2026 · 5 Min. Lesezeit](https://www.dataroad-it.com/de/break-glass-konten-microsoft-365-notfall/)[Managed IT und CybersicherheitWindows 365 im Unternehmen: wann der Cloud-PC Kosten senktDer Cloud-PC lohnt sich für Berater, Saisonkräfte, Teams ohne Büro und gemischte Mac-/Windows-Umgebungen. Für Video, CAD oder schwaches Inte…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/windows-365-cloud-pc-kosten-unternehmen/)[Managed IT und CybersicherheitManaged Backup: der 30-Minuten-Wiederherstellungstest als BeweisEin nie wiederhergestelltes Backup ist ein aufgeschobenes Risiko. In 30 Minuten zeigen ein altes Dokument, eine gelöschte E-Mail und ein iso…12. Oktober 2026 · 6 Min. Lesezeit](https://www.dataroad-it.com/de/backup-wiederherstellungstest-30-minuten/) Zahlen, die Sie prüfen können **11** Jahre am Markt **232** Kunden **< 10 Min.** durchschnittliche Reaktionszeit **15+** IT-Herstellerzertifizierungen **10+** Länder mit betreuten Kunden **5,0 ★** 52 Google-Bewertungen Transparenz ## Was viele Anbieter verschweigen, veröffentlichen wir. [Pläne und Preise ansehen →](https://www.dataroad-it.com/it-unlimited/) - **Preise offen** Essential ab 395 €/Monat zzgl. MwSt., Premium ab 750 € und Premium 365 ab 1.200 €. - **Keine Bindung** Jahresvertrag, keine Bindung und keine Einrichtungskosten. - **Alles schriftlich** Leistungsumfang und Preis, bevor Sie unterschreiben. - **Support ohne Stundenzählung** Remote und telefonisch in jedem Plan; Vor-Ort-Support ab Premium. Partner und Zertifizierungen DataRoad · Managed Cybersecurity ## One StepAhead of IT. Das Risiko trägt die Geschäftsführung, den Schutz übernehmen wir. In 11 Jahren hatte DataRoad keinen einzigen Sicherheitsvorfall. - **11** Jahre am Markt, seit 2015 - **5 ★** bei Google · 52 Bewertungen - **Top 5%** KMU · scoring.pt We do **IT** right. DataRoad IT Unlimited ## Ein Internetausfall sollte Ihr Büro nicht lahmlegen. Redundante Zugänge, automatisches Failover und laufende Überwachung. [Unverbindliches Angebot anfordern →](https://www.dataroad-it.com/de/#contact)+351 211 459 950 **Anruf ins portugiesische Festnetz · Mehr als 10 Arbeitsplätze · Supportvertrag · Remote-, Vor-Ort- und Telefonsupport[Unsicher, was Sie brauchen? Sprechen Sie mit dem Assistenten →](https://www.dataroad-it.com/de/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/de/dsgvo-technische-massnahmen-it-infrastruktur/