Glossar · einfach erklärt

DSGVO (Datenschutz-Grundverordnung)

Die DSGVO regelt den Umgang mit personenbezogenen Daten in der EU — mit technischen Pflichten, die IT und Netzwerk direkt betreffen.

Die Datenschutz-Grundverordnung (DSGVO) ist der EU-weite Rechtsrahmen für die Verarbeitung personenbezogener Daten. Sie verpflichtet Unternehmen auf Grundsätze wie Zweckbindung, Datenminimierung und Transparenz — und verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind.

Für IT-Verantwortliche ist die DSGVO kein reines Juristenthema: Verschlüsselung, Zugriffskontrolle, Löschkonzepte, Meldefähigkeit bei Vorfällen und saubere Dienstleisterverträge sind technische Aufgaben mit rechtlicher Wirkung.

Was die DSGVO technisch verlangt

Artikel 32 fordert Sicherheit der Verarbeitung nach Stand der Technik: Dazu zählen Verschlüsselung, Pseudonymisierung, Zugriffskontrolle nach Least Privilege, Belastbarkeit der Systeme und regelmäßige Wirksamkeitsprüfungen. Bei Datenpannen läuft eine 72-Stunden-Frist für die Meldung an die Aufsicht — wer Vorfälle nicht erkennt, kann sie nicht fristgerecht melden.

Sobald Dienstleister personenbezogene Daten verarbeiten, braucht es Auftragsverarbeitungsverträge; bei Übermittlungen in Drittländer zusätzlich geeignete Garantien. Für Cloud-Dienste heißt das praktisch: Verarbeitungsorte kennen und steuern — etwa über EU-Regionen oder Regional-Services-Funktionen der Anbieter.

DSGVO-Bezüge in der Infrastruktur

Zugriffskontrolle und Protokollierung: Wer hat wann auf welche Daten zugegriffen?
Meldefähigkeit: Erkennung und Prozesse für die 72-Stunden-Frist.
Datenflüsse zu Dienstleistern: AVV und Verarbeitungsorte im Blick.
Löschkonzepte, die auch Backups und Archive mitdenken.

Häufige Fragen zu DSGVO (Datenschutz-Grundverordnung)

Was sind personenbezogene Daten im Sinne der DSGVO?

Alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen — vom Namen über E-Mail- und IP-Adressen bis zu Verhaltensdaten. Auch pseudonymisierte Daten bleiben personenbezogen, solange eine Zuordnung möglich ist.

Was verlangt Artikel 32 konkret von der IT?

Dem Risiko angemessene Maßnahmen nach Stand der Technik: Verschlüsselung, Zugriffskontrolle, Verfügbarkeit und Belastbarkeit, Wiederherstellbarkeit nach Vorfällen sowie regelmäßige Tests der Wirksamkeit. Die Auswahl muss begründet und dokumentiert sein.

Welche Fristen gelten bei einer Datenpanne?

Die Meldung an die Aufsichtsbehörde muss unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden erfolgen; bei hohem Risiko sind zusätzlich die Betroffenen zu benachrichtigen. Voraussetzung ist Erkennungsfähigkeit — unbemerkte Vorfälle lösen die Frist trotzdem aus.

Ist der Einsatz von US-Cloud-Diensten DSGVO-konform möglich?

Grundsätzlich ja, mit den passenden Garantien: Angemessenheitsbeschlüsse wie das EU-US Data Privacy Framework, Standardvertragsklauseln und technische Maßnahmen wie EU-Verarbeitungsregionen. Die Bewertung des Einzelfalls gehört zum Datenschutzbeauftragten.

Was hat die DSGVO mit Netzwerksicherheit zu tun?

Viel: Zugriffskontrolle, Segmentierung, Verschlüsselung und Vorfallserkennung sind zugleich Datenschutzmaßnahmen nach Artikel 32. Wer Netzwerk und Zugriff sauber betreibt, erfüllt einen erheblichen Teil der technischen DSGVO-Pflichten gleich mit.