Zusammenfassend
- DSGVO ist nicht nur ein juristisches Thema: Artikel 32 schreibt konkrete technische Maßnahmen vor – Zahlen, Vertraulichkeit, die Möglichkeit zur Datenwiederherstellung und regelmäßige Tests.
- Eine Verletzung der persönlichen Daten muss in der Regel innerhalb von 72 Stunden nach Erhalt der Information durch das Unternehmen über das eigene Formular an die CNPD gemeldet werden.
- Alle Verstöße müssen dokumentiert werden, auch diejenigen, die nicht gemeldet werden.
- Das Computersystemunternehmen, das auf Ihre Daten zugreift, ist in der Regel ein Subunternehmer: Das Vertragsverhältnis muss den Artikel 28 erfüllen.
In diesem Artikel
DSGVO in der IT-Branche der kleinen und mittleren Unternehmen Dies entspricht zehn technischen und organisatorischen Schritten, die jedes Unternehmen mit mehr als 10 Mitarbeitern umsetzen kann: Wissen, wo die Daten gespeichert sind, Kontrolle darüber, wer auf sie zugreifen kann, Verschlüsselung, Erstellung und Prüfung von Backups, Aufzeichnung, korrekte Vertragsbedingungen mit den Lieferanten und das Wissen, was man in den ersten 72 Stunden nach einem Vorfall tun muss. Dieser Artikel behandelt nur diese Seite – das, was die IT gewährleisten muss. Es handelt sich nicht um Rechtsberatung: Für die rechtliche Grundlage der Verarbeitung, die Zustimmung und die Rechte der Betroffenen wenden Sie sich an Ihren Anwalt oder Ihren Datenschutzbeauftragten.
Was das DSGVO von der Informatik verlangt
Das allgemeine Datenschutz-Gesetz (EU-Verordnung (EU) 2016/679) schreibt nicht vor, dass Firewalls gekauft werden müssen. Es schreibt lediglich vor, dass die Sicherheit dem Risiko angepasst sein muss, und gibt in Artikel 32 Absatz 1 Beispiele an:
- die Pseudonimierung und die Verschlüsselung der personenbezogenen Daten;
- die Fähigkeit, die permanente Vertraulichkeit, Integrität, Verfügbarkeit und Resilienz der Systeme zu gewährleisten;
- die Fähigkeit, die Verfügbarkeit und den Zugriff auf Daten zeitnah nach einem Vorfall wiederherzustellen;
- ein Verfahren zur regelmäßigen Prüfung und Bewertung der Wirksamkeit der Maßnahmen.
Die 10 Schritte
1. Wissen, wo die persönlichen Daten gespeichert sind
Server, Microsoft 365, Abrechnungsprogramm, Personalsoftware, externe Festplatten, alte E-Mails. Was man nicht weiß, ist nicht geschützt. Das Ergebnis dieses Schritts ist eine einfache Übersicht: Welche Daten, in welchem System, von wem.
2. Nur denjenigen Zugang gewähren, der ihn benötigt
Der Werbespot muss keine Quittungen aus den vergangenen Monaten sehen; die Rezeption braucht nicht den Ordner der Geschäftsführung. Berechtigungen pro Funktion, immer aktualisiert, wenn jemand eine neue Funktion übernimmt.
3. Konten mit MFA schützen
Die meisten unbefugten Zugriffe beginnen mit gestohlenen Passwörtern. Die multifaktorische Authentifizierung (der zweite Bestätigungsabschnitt, normalerweise auf dem Handy) muss im E-Mail-Konto, in der Cloud und beim Remote-Zugriff aktiviert sein.
4. Verschlüsseln von Handys, Tablets und Kopien
Die Verschlüsselung ist einer der beiden Beispiele, die der Artikel 32 selbst nennt. In der Praxis: Verschlüsselte Festplatten auf allen Handys, Verschlüsselte Backups und Verschlüsselte Verwaltung von Mobiltelefonen.
5. Backups erstellen und testen
Artikel 32 spricht von der Wiederherstellung des Zugangs “in angemessener Zeit”. Ein Backup, das nie wiederhergestellt wurde, beweist nichts. Wir empfehlen eine Wiederherstellungsprüfung mindestens einmal pro Quartal – siehe Der Backup-Test in 30 Minuten und unsere Backup-Lösungen.
6. Die Systeme auf dem neuesten Stand halten
Systeme ohne Sicherheitskorrekturen sind die häufigste Form, um die “Unversehrtheit und Widerstandsfähigkeit”, die die Vorschrift vorschreibt, zu verlieren. Festgelegte Aktualisierungsfristen und Geräte ohne Herstellerunterstützung werden ersetzt.
7. Aufzeichnen, wer zu welchen Daten zugriff
Daten zur Anmeldeaktivität, zu Zugriffen auf sensible Ordner und zu Änderungen der Berechtigungen. Diese Daten ermöglichen es, bei einem Vorfall auf die Frage zu antworten, die die CNPD stellen wird: Welche Daten wurden beeinträchtigt?
8. Die richtigen Verträge mit den Subunternehmern abzuschließen
Wer Daten im Auftrag seines Unternehmens – die IT-Firma, der Cloud-Anbieter oder das Lohnsoftwareunternehmen – verarbeitet, ist ein Subunternehmer. Artikel 28 schreibt vor, dass nur Subunternehmer mit ausreichenden Garantien und einem schriftlichen Vertrag mit dokumentierten Anweisungen, Vertraulichkeit, Sicherheitsmaßnahmen, Regeln für die Beauftragung von Drittanbietern, Unterstützung im Falle einer Verletzung sowie die Rückgabe oder Löschung der Daten nach dem Abschluss des Dienstes verwendet werden dürfen. Wir erklären, was zu prüfen ist. Informationsvertrag: Kündigungsbestimmungen und Daten.
9. Einen Plan für die ersten 72 Stunden haben
Bitte lesen Sie den nächsten Abschnitt. In dem Plan sollte angegeben sein, wer entscheidet, wer die technische Information sammelt und wer die Meldung ausfüllt.
10. Jedes Jahr testen und überprüfen
Der letzte Punkt des Artikels 32. ist der am wenigsten erwähnte: regelmäßig zu bewerten, ob die Maßnahmen funktionieren. Eine jährliche, dokumentierte Überprüfung mit den erforderlichen Korrekturen ist ebenfalls die beste Bestätigung für die Sorgfalt.
Datenverletzung: Das Uhrwerk der 72 Stunden
Nach Artikel 33 der DSGVO und der CNPD muss eine Verletzung personenbezogener Daten innerhalb von 72 Stunden nach der Kenntnis der Firma gemeldet werden, es sei denn, die Verletzung kann nicht zu einem Risiko für die Rechte der Personen führen. Die CNPD stellt dazu ein spezielles Formular bereit. Wenn das Risiko hoch ist, verpflichtet Artikel 34 auch die betroffenen Personen zu informieren.
| Momente | Was geschehen muss | Wer |
|---|---|---|
| Stunde 0 | Erkennung des Vorfalls (Alarm, Beschwerde, Lösegeldforderung, verlorenes Handgerät) | Jeder Mitarbeiter benachrichtigt den Support. |
| Erste Stunden | Kontrolle: Ausrüstung isolieren, Konten sperren, Aufzeichnungen sichern | Informationstechnologie |
| Bis 24 Uhr | Erkenntnis darüber, welche Daten und wie viele Personen betroffen waren | Informationstechnologie in Verbindung mit der Verwaltung |
| Bis zu 72 Stunden | Entscheiden und gegebenenfalls die CNPD über das eigene Formular informieren | Verantwortlicher für die Verarbeitung (das Unternehmen) |
| Always | Die Verletzung, ihre Auswirkungen und die ergriffenen Maßnahmen dokumentieren | Unternehmen |
Zwei Punkte, die viele Manager überraschen. Erstens: Die Dokumentationspflicht gilt auch dann, wenn keine Meldung erfolgt: Die CNPD erinnert daran, dass der Verantwortliche verpflichtet ist, alle Verstöße zu dokumentieren. Zweitens: Der Subunternehmer – einschließlich des IT-Unternehmens – muss den Kunden unverzüglich und ohne unbegründete Verzögerung benachrichtigen, wenn er von einer Verletzung Kenntnis hat. Ein Laptop, der ohne Verschlüsselung verloren geht, kann eine Datenschutzverletzung sein; mit Verschlüsselung ist die Risikobewertung sehr unterschiedlich.
Ein reales Beispiel: Server, UPS und Backups in einer öffentlichen Einrichtung
In der Gemeinde Massamá und Monte Abraão wurde DataRoad aufgrund eines öffentlichen Auftrags ausgewählt, um einen neuen Server zu installieren und zu konfigurieren, ein UPS-System (die Batterie, die die Geräte bei Stromausfall anlauft) zu implementieren, lokale und Cloud-Backups zu erstellen und die Daten und Einstellungen auf die neue Infrastruktur zu migrieren. In der Praxis entspricht dies dem, was Artikel 32.º hinsichtlich der Verfügbarkeit vorsieht: Die Daten existieren an mehr als einem Ort und können wiederhergestellt werden. Lesen Sie den Fall in öffentliches Vertragswerk 2022 in Massamá und Monte Abraão.
DataRoad implementiert technische Maßnahmen – Zugriffe, Verschlüsselung, Backups, Aktualisierungen, Protokolle, Firewall – und dokumentiert diese. Es wird keine rechtliche Beratung angeboten. Die Sicherheit ist in den IT-Plänen Unlimited enthalten; das Premium-Plan Bietet Ortstätigkeit, die nützlich ist, wenn man einen Server oder einen Standort betreuen muss. Sehen Sie sich auch unsere Vorgehensweise an. Cybersicherheit für Unternehmen e als 7 interne Cybersicherheitsrichtlinien.
Häufig gestellte Fragen
Verpflichtet die DSGVO die Verschlüsselung aller Daten?
Es verpflichtet nicht zur Verschlüsselung alles, aber in Artikel 32 wird Verschlüsselung als Beispiel für eine geeignete Maßnahme genannt. Bei Handys, Smartphones und Backups ist dies die einfachste und günstigste Methode, das Risiko einer Datenverlustverletzung zu verringern.
Müssen wir die CNPD informieren, wenn wir einen Laptop verlieren?
Es hängt vom Risiko ab für die Personen, deren Daten auf dem Gerät gespeichert waren. Ein Laptop mit dem verschlüsselten und aus der Ferne gelöschten Datenträger birgt ein viel geringeres Risiko als ein Laptop ohne Schutz. In jedem Fall muss der Vorfall dokumentiert werden. Die endgültige Entscheidung liegt bei dem Verantwortlichen für die Verarbeitung, bei Bedarf unterstützt durch einen Rechtsberater.
Ist das IT-Unternehmen ein Subunternehmer?
In der Regel ja, wenn man Zugang zu Systemen mit personenbezogenen Daten hat. Daher muss der Vertrag den Artikel 28 der DSGVO erfüllen: Anweisungen, Vertraulichkeit, Sicherheit, Unterstützung bei Vorfällen und Rückgabe oder Löschung der Daten am Ende.
Wie lange haben wir Zeit, um eine Verletzung zu melden?
In der Regel 72 Stunden nach Bekanntwerden der Verletzung über das Formular der CNPD. Falls die Meldung nicht innerhalb dieser Frist erfolgt, muss der Grund für die Verzögerung angegeben werden.
Technischer Bericht nach RGPD innerhalb von 10 Werktagen
Wir haben die 10 Schritte in Ihrer Infrastruktur überprüft – Zugänge, MFA, Verschlüsselung, Backups, Aktualisierungen, Protokolle und Incident-Plan – und lieferten einen Bericht mit den fehlenden technischen Maßnahmen. Für Unternehmen mit mehr als 10 Standorten – Supportvertrag, Remote-, On-Site- und Telefonunterstützung.
Technischer Bericht nach RGPD innerhalb von 10 Werktagen
Die Maßnahmen gemäß Artikel 32 wurden in ihrer Infrastruktur überprüft.
Quellen
- EUR-Lex — Verordnung (EU) 2016/679 (DSGVO), Artikel 28., 32., 33. und 34.
- CNPD — Datenschutzverletzung oder Data Breach
- CNPD — Formular zur Meldung von Verletzungen der Datenschutzbestimmungen
![Logo mun[it], Agentur für digitales Marketing – Kunde von DataRoad](https://www.dataroad.pt/wp-content/uploads/2026/09/logo-cliente-munit.png){kind=logo}
