Unterschreiten vom Stand der Technik – Comply or explain!

 

Die Unternehmen sind nach der DSGVO (Art. 32) verpflichtet, ihre IT-Sicherheitsmaßnahmen unter Berücksichtigung des Stands der Technik auszuwählen. Wer den Stand der Technik zu berücksichtigen hat, ist damit verpflichtet, die jeweils am Markt verfügbare Bestleistung einer Maßnahme oder eines Maßnahmenbündels zu ermitteln. Bei der Auswahl der konkreten Maßnahmen darf der Verpflichtete jedoch subjektive Faktoren abwägen. Dazu gehören wirtschaftliche, technische und rechtliche Gründe: Stehen die Implementierungskosten in keinem vertretbaren Verhältnis zum technischen Zugewinn an IT-Sicherheit; sind die Maßnahmen nach dem Stand der Technik technisch nicht einsetzbar, ohne dass die IT-Sicherheit an anderen Stellen stark sinkt oder gibt es nur ein unterschwelliges Risiko für die Rechte der Betroffenen, kann der Stand der Technik rechtmäßig unterschritten werden.

Wichtig: Berücksichtigen heißt dokumentieren! Es bedarf einer rechtlich validen Begründung, die eine ernsthafte Abwägung erkennen lässt.