Der deut­sche Tele­TrusT – Bun­des­ver­band IT-Sicher­heit e.V. hat eine „Hand­rei­chung“ zum sog. Stand der Tech­nik ver­öf­fent­licht. Der Stand der Tech­nik wird in Art. 32 Abs. 1 DSGVO als eines von meh­re­ren Kri­te­ri­en erwähnt, die bei der Bestim­mung der Ange­mes­sen­heit tech­ni­scher und orga­ni­sa­to­ri­scher Mass­nah­men zu berück­sich­ti­gen sind. Der Stand der Tech­nik liegt dabei zwi­schen

  • dem „Stand der Wis­sen­schaft und For­schung“, der höhe­re Sicher­heit bie­tet, aber noch gerin­ge­re Aner­ken­nung geniesst und sich in der Pra­xis noch weni­ger bewährt hat, und
  • den „all­ge­mein aner­kann­ten Regeln der Tech­nik“, die nied­ri­ge­re Sicher­heit bie­ten.


Dabei wird der Stand der Tech­nik umschrie­ben als

die im Waren- und Dienst­lei­stungs­ver­kehr ver­füg­ba­ren Ver­fah­ren, Ein­rich­tun­gen oder Betriebs­wei­sen, deren Anwen­dung die Errei­chung der jewei­li­gen gesetz­li­chen Schutz­zie­le am wir­kungs­voll­sten gewähr­lei­sten kann

Die Hand­rei­chung beschreibt nach The­men geglie­dert tech­ni­sche Mass­nah­men und ord­net sie jeweils im Kon­ti­nu­um zwi­schen den all­ge­mein aner­kann­ten Regeln der Tech­nik und dem Stand der Wis­sen­schaft und For­schung ein. Ein Bei­spiel:

Wel­che Maß­nah­me (Ver­fah­ren, Ein­rich­tun­gen oder Betriebs­wei­sen) wird in die­sem Abschnitt beschrie­ben?
Zum Schutz der gespei­cher­ten Daten sind fol­gen­de Maß­nah­men sinn­voll:

  1. Ver­schlüs­sel­te Über­tra­gung der Datei­en von und zum Datei­aus­tausch­dienst
  2. Cli­ent­sei­ti­ge Ende-zu-Ende-Ver­schlüs­se­lung von Daten für den Emp­fän­ger vor der Über­tra­gung in den Cloud­spei­cher
    • Durch in den Daten­aus­tausch­dienst inte­grier­te Ver­schlüs­se­lung im zum Cloud­spei­cher gehö­ren­der Cli­ent-Soft­ware
    • Durch sepa­ra­te Ende-zu-Ende-Ver­schlüs­se­lungs­soft­ware auf dem Cli­ent

Dabei sind ins­be­son­de­re die fol­gen­den Fra­gen zu beach­ten:

  1. Wer betreibt den Dienst und hat der Betrei­ber ggf. Zugriff auf die Daten?
  2. Wie sind die Daten beim Trans­port vom und zum Betrei­ber geschützt?

Wird der Dienst von einer ver­trau­ens­wür­di­gen Instanz betrie­ben, dann kann auf eine Ende-zu-Ende-Ver­schlüs­se­lung der Daten sel­ber unter Umstän­den ver­zich­tet wer­den, sie ist aber grund­sätz­lich auch bei ver­trau­ens­wür­di­gen Betrei­bern sinn­voll.

Es sind Datei­aus­tausch­dien­ste ver­füg­bar, bei denen Daten vor dem Upload trans­pa­rent, d.h. ohne beson­de­re Akti­on des Benut­zers ver­schlüs­selt und nach dem Down­load wie­der ent­schlüs­selt wer­den. Der Betrei­ber sieht dann nur ver­schlüs­sel­te Daten. Alter­na­tiv kann auf eine Cli­ent-sei­ti­ge Ver­schlüs­se­lungs­soft­ware zurück­ge­grif­fen wer­den, die für eine Ende-zu-Ende-Ver­schlüs­se­lung der Daten vor dem Upload bzw. nach dem Down­load sorgt. Die­se Lösun­gen erfor­dern aller­dings in der Regel zusätz­li­chen Auf­wand für den Anwen­der. Bei der Ver­schlüs­se­lung soll­te auf den Ein­satz siche­rer Ver­fah­ren zur Ver­schlüs­se­lung und bei der Schlüs­sel­er­zeu­gung und Schlüs­sel­hal­tung geach­tet wer­den.

Auf kei­nen Fall ver­zich­tet wer­den darf auf die Ver­schlüs­se­lung von Daten beim Trans­port von und zum Betrei­ber (Trans­port­ver­schlüs­se­lung, i.d.R. TLS).

Die­se Mass­nah­men wer­den wie folgt ein­ge­ord­net:

Wich­tig zu beach­ten ist, dass der Stand der Tech­nik nur eines von meh­re­ren Kri­te­ri­en bei der Beur­tei­lung der Ange­mes­sen­heit ist. Die in der Hand­rei­chung beschrie­be­nen Mass­nah­men sind daher nicht ver­pflich­tend. Ein Unter­neh­men darf – und muss – z.B. auch die Wirt­schaft­lich­keit mög­li­cher Mass­nah­men berück­sich­ti­gen.

Posted by David Vasella

RA Dr. David Vasella ist Rechtsanwalt bei FRORIEP. Er ist auf IT-, Datenschutz- und Immaterialgüterrecht spezialisiert und ist Lehrbeauftragter der Universität Zürich. Er ist Gründer von swissblawg.