Öffentliche und nicht-öffentliche Stellen, die personenbezogenen Daten erheben, verarbeiten oder nutzen, sind verpflichtet technische und organisatorische Maßnahmen zu gewährleisten. Nach Art. 32 DSGVO müssen Unternehmen unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Zwecke der Verarbeitung und der Eintrittswahrscheinlichkeit oder Schwere der Gefahren für die betroffenen Personen technischen und organisatorischen Maßnahmen treffen, um ein angemessenes Schutzniveau zu gewährleisten.