digital | recht – Band 24 (Zivilrecht) • Dr. Steffen Mäusezahl

Art. 32 DS-GVO verlangt die Implementierung technischer und organisatorischer Maßnahmen (TOM), um ein angemessenes Schutzniveau für die Sicherheit der Verarbeitung zu gewährleisten. Verarbeiten diese TOM allerdings selbst personenbezogene Daten („datenverarbeitende TOM“), unterliegen sie ihrerseits den Anforderungen der DS-GVO und bedürfen u.a. einer Rechtsgrundlage nach Art. 6 DS-GVO. Datenverarbeitende TOM begründen damit ein Spannungsverhältnis zwischen den Anforderungen nach Art. 32 und Art. 6. Im Extremfall droht aus Art. 32 die Pflicht zur Implementierung datenverarbeitender TOM, deren Verarbeitung personenbezogener Daten jedoch nicht nach Art. 6 gerechtfertigt werden kann.

In der Arbeit wird zunächst anhand der einschlägigen Vorschriften untersucht, wie sich dieses Spannungsverhältnis und die damit verbundenen Folgen ausgestalten. Mit diesen Erkenntnissen werden anschließend Lösungsansätze für die jeweiligen Vorschriften erarbeitet. Ergebnis ist eine Gesamtlösung, bei der ein Gleichgewicht zwischen den beiden Vorschriften angestrebt wird.