DSGVO – Verschlüsselung

Unternehmen können die Wahrscheinlichkeit einer Datenschutzverletzung verringern und damit das Risiko zukünftiger Geldstrafen reduzieren, wenn sie sich für die Verschlüsselung personenbezogener Daten entscheiden. Die Verarbeitung personenbezogener Daten ist naturgemäß mit einem gewissen Risiko verbunden. Besonders heutzutage, wo Cyber-Angriffe für Unternehmen ab einer bestimmten Größe nahezu unvermeidbar sind. Daher spielt das Risikomanagement eine immer größere Rolle in der IT-Sicherheit und die Datenverschlüsselung eignet sich, neben anderen Mitteln, für diese Unternehmen.

Im Allgemeinen bezieht sich Verschlüsselung auf das Verfahren, das Klartext mit einem Schlüssel in einen verschlüsselten Code umwandelt, wobei die ausgehenden Informationen nur durch die Verwendung des richtigen Schlüssels wieder lesbar werden. Dies minimiert das Risiko eines Vorfalls während der Datenverarbeitung, da verschlüsselte Inhalte grundsätzlich für Dritte, die nicht über den richtigen Schlüssel verfügen, unlesbar sind. Verschlüsselung ist der beste Weg, um Daten während der Übertragung zu schützen und eine Möglichkeit, gespeicherte personenbezogene Daten zu sichern. Sie verringert auch das Missbrauchsrisiko innerhalb eines Unternehmens, da der Zugriff nur auf autorisierte Personen mit dem richtigen Schlüssel beschränkt ist.

Die Verordnung erkennt diese Risiken bei der Verarbeitung personenbezogener Daten ebenfalls an und legt in Art. 32(1) der Datenschutz-Grundverordnung die Verantwortung auf den Verantwortlichen und den Auftragsverarbeiter, geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten zu implementieren. Die DSGVO definiert bewusst nicht, welche spezifischen technischen und organisatorischen Maßnahmen in jedem Einzelfall als geeignet angesehen werden, um individuellen Faktoren Rechnung zu tragen. Sie gibt dem Verantwortlichen jedoch einen Kriterienkatalog an die Hand, der bei der Auswahl der Methoden zur Sicherung personenbezogener Daten zu berücksichtigen ist. Diese sind der Stand der Technik, die Implementierungskosten sowie die Art, der Umfang, der Kontext und die Zwecke der Verarbeitung. Zusätzlich zu diesen Kriterien muss immer die Schwere der Risiken für die Rechte und Freiheiten der betroffenen Person und die Wahrscheinlichkeit, dass diese Risiken eintreten, berücksichtigt werden. Vereinfachend gesagt bedeutet dies: Je höher die Risiken bei der Datenverarbeitung und je wahrscheinlicher deren Eintreten, desto stärker müssen die ergriffenen Sicherheitsmaßnahmen sein und desto mehr Maßnahmen müssen ergriffen werden. Verschlüsselung als Konzept wird ausdrücklich als eine mögliche technische und organisatorische Maßnahme zum Schutz von Daten in der Liste des Art. 32(1) der DSGVO erwähnt, die nicht erschöpfend ist. Auch hier nennt die DSGVO keine expliziten Verschlüsselungsmethoden, um dem schnellen technologischen Fortschritt Rechnung zu tragen. Bei der Auswahl einer Methode müssen auch die oben genannten Kriterien angewandt werden. Um die Frage zu beantworten, was derzeit als „Stand der Technik“ gilt, verlassen sich Datenschutzbeauftragte in der Regel auf die Definitionen, die in Informationssicherheitsstandards wie ISO/IEC 27001 oder anderen nationalen IT-Sicherheitsrichtlinien festgelegt sind.

Die Verschlüsselung personenbezogener Daten bietet den Verantwortlichen und/oder Auftragsverarbeitern zusätzliche Vorteile. Zum Beispiel wird der Verlust eines nach dem Stand der Technik verschlüsselten mobilen Speichermediums, das personenbezogene Daten enthält, nicht notwendigerweise als Datenschutzverletzung angesehen, die den Datenschutzbehörden gemeldet werden muss. Zudem müssen die Behörden im Falle einer Datenschutzverletzung den Einsatz von Verschlüsselung positiv in ihre Entscheidung über das Ob und die Höhe einer Geldbuße gemäß Art. 83 Abs. 2 Buchstabe c der DSGVO einbeziehen.