Source: https://www.recht-freundlich.de/eu-datenschutz-grundverordnung/stand-der-technik-und-datenschutz-grundverordnung-dsgvo
Timestamp: 2019-07-18 03:56:48+00:00

Document:
Die Datenschutz-Grundverordnung stellt viele neue Anforderungen für Unternehmen und Behörden. U. a. in Art. 32 wird mit Blick auf die Anforderungen an die Sicherheit der Verarbeitung auf die Berücksichtigung des Stands der Technik verwiesen. Allerdings ist unklar, was genau mit dem Begriff “Stand der Technik” gemeint ist.
Stand der Technik bei KRITIS
Kein abschließender Begriff
Der Verweis auf den “Stand der Technik” findet sich auch in anderen rechtlichen Regelungen. Beispielsweise in § 8a BSI-Gesetz wird auf den Stand der Technik verwiesen. Diese Anforderungen richten sich an kritische Infrastrukturen (KRITIS). Die Regelung wurde mit dem IT-Sicherheitsgesetz in 2015 in Kraft gesetzt.
Die Formulierung “Stand der Technik” ist kein einmal zu definierender Begriff. Nach den technischen Erfahrungen der letzten Jahre und Jahrzehnte ist der Stand der Technik gerade im Bereich Informationstechnologie schnellen Wandlungen unterworfen. Aus diesem Grund ist der Stand der Technik den jeweils technischen Entwicklungen anzupassen. In Art. 32 Abs. 1 DSGVO wird allerdings nicht nur auf den Stand der Technik verwiesen, sondern auch auf die Implementierungskosten und weitere Aspekte, die im Rahmen einer Beurteilung zu berücksichtigen sind. Auch das Risiko für die personenbezogenen Daten und ein angemessenes Schutzniveau sind zu definieren.
In Anbetracht der Dokumentationspflichten, die sich aus der DSGVO ergeben, ist es hier notwendig, den Abwägungsprozess und die einzelnen Beurteilungen und Bewertungen zu dokumentieren. Auch die Festlegung des Schutzniveaus für die jeweilige Fachanwendung oder Verarbeitung von personenbezogenen Daten ist zu prüfen und festzulegen.
Es ist also nicht damit getan, dass jeweils erstbeste Produkt zu kaufen. Es ist erforderlich, sich intensiv mit dem Thema Stand der Technik für die jeweiligen IT-Lösungen auseinanderzusetzen.
Wenn ein Unternehmen die Regelungen nach Art. 32 nicht einhält, so droht gem. Art. 83 DSGVO ein Bußgeld. Dabei formuliert der europäische Gesetzgeber in Art. 83 Abs. 1 DSGVO, dass zukünftig Bußgelder “abschreckend” sein müssen. Dies spricht für sich.
Insgesamt ist festzustellen, dass der Stand der Technik zum Glück technische Interpretationsmöglichkeiten vorsieht. Allerdings ist die Herausforderung für Unternehmen und Behörden, dass im Einzelnen dokumentiert und geprüft wird, welche konkreten Maßnahmen jeweils notwendig sind.
Gerne unterstützen wir Sie bei der Umsetzung der neuen rechtlichen Anforderungen nach der Datenschutz-Grundverordnung in Ihrem Unternehmen oder Ihrer Behörde. Wir sind bundesweit im Bereich des Datenschutzes beratend tätig.

References: Art. 32
 § 8
 Art. 32
 Art. 32
 Art. 83
 Art. 83