Die DSGVO greift ausschließlich bei personenbezogenen Daten. Cybersecurity schützt alles, was schützenswert ist, inklusive Betriebsgeheimnissen, Quellcode, Produktionssteuerung (OT) und Maschinendaten ganz ohne Personenbezug.
Die DSGVO ist Gesetz: Pflichten, Nachweise und Bußgelder. Cybersecurity ist das Handwerk, das diese Pflichten technisch überhaupt erst erfüllbar macht. Das Gesetz fordert Schutz, die Sicherheit liefert ihn.
Die DSGVO bringt Ziele mit, die mit technischer Sicherheit nichts zu tun haben: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Transparenz und die Rechte der Betroffenen (Auskunft, Löschung, Widerspruch). Eine technisch perfekt gesicherte Datenbank kann all diese Anforderungen trotzdem verletzen.
Die DSGVO fragt: Bin ich rechtskonform? Cybersecurity fragt: Halte ich einem echten Angriff stand? Ein sauberes Audit beantwortet die erste Frage; über die zweite sagt es nichts aus.
Art. 32 DSGVO („Sicherheit der Verarbeitung“) verpflichtet zu geeigneten technischen und organisatorischen Maßnahmen und nennt dabei ausdrücklich Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme. An dieser Stelle wird Cybersecurity zur unmittelbaren DSGVO-Pflicht.
Sobald personenbezogene Daten im Spiel sind, ist gute Cybersecurity keine Kür mehr, sondern eine rechtliche Anforderung. Wer hier schludert, verletzt nicht nur Security-Best-Practices, sondern auch die DSGVO, mit allen Bußgeld- und Haftungsfolgen.
Art. 33 & 34 DSGVO: Ein erfolgreicher Angriff auf personenbezogene Daten muss in der Regel binnen 72 Stunden an die Aufsichtsbehörde gemeldet werden. Hier wird aus einem reinen Security-Incident ein rechtlich relevanter Vorgang mit fester Frist.
„Compliant, aber unsicher“: Verzeichnis von Verarbeitungstätigkeiten, Datenschutzbeauftragter, saubere Auftragsverarbeitungsverträge, auf dem Papier alles erfüllt. Gleichzeitig laufen ungepatchte Server, fehlt MFA und es existieren keine getesteten Backups. Die DSGVO-Dokumentation sagt nichts über die reale Angriffsfläche aus.
„Sicher, aber nicht compliant“: Technisch hervorragend abgesichert, alles verschlüsselt, Netz segmentiert. Trotzdem werden Daten ohne Rechtsgrundlage verarbeitet, Betroffene nicht informiert und Datensätze weit über ihren Zweck hinaus aufbewahrt. Eine Firewall ersetzt keine fehlende Rechtsgrundlage.
Übrigens: Mit NIS-2 kommt eine weitere Regulierung ins Spiel, die, anders als die DSGVO, rein auf Cybersecurity zielt und unabhängig vom Personenbezug greift. Auch sie ersetzt die DSGVO nicht, sondern ergänzt sie um eine technische Pflichtebene.
Wir trennen rechtliche von technischen Lücken und zeigen, wo Compliance und Security auseinanderlaufen.
Penetration Tests und Red-Team-Übungen zeigen, ob eure Schutzmaßnahmen mehr sind als Dokumentation.
Wir bringen Incident Response und Meldepflichten so zusammen, dass im Ernstfall keine Frist reißt.
Unsicher, wo ihr steht? Wir schauen gemeinsam auf eure Datenschutz- und Sicherheitslage und sagen euch ehrlich, wo Handlungsbedarf besteht und welcher Schritt als nächstes sinnvoll ist. Jetzt Kontakt aufnehmen.
DSGVO und Cybersecurity sind keine Synonyme. Die DSGVO ist ein rechtlicher Rahmen für den Umgang mit personenbezogenen Daten; Cybersecurity ist die technische Disziplin, die Informationen und Systeme tatsächlich schützt, mit oder ohne Personenbezug.
Sie überschneiden sich vor allem dort, wo Art. 32 DSGVO Sicherheit zur Pflicht macht und wo Datenpannen meldepflichtig werden. Gefährlich wird es immer dann, wenn eines mit dem anderen verwechselt wird: Compliance ohne Sicherheit ist verwundbar, Sicherheit ohne Compliance ist rechtswidrig.
Wer beide Stränge bewusst zusammenführt, schützt sowohl die Rechte der Betroffenen als auch das eigene Unternehmen. Mint Secure unterstützt euch dabei, vom technischen Nachweis bis zur verzahnten Prozesslandschaft. Sprecht uns an.