„Unsere Sicherheitsmaßnahmen entsprechen dem Stand der Technik.“ Ein Satz, der in Verträgen und Datenschutzdokumentationen häufig zu finden ist. Doch was bedeutet „Stand der Technik“ eigentlich konkret?

Eine allgemeingültige Checkliste gibt es nicht. Der Begriff ist bewusst dynamisch und entwickelt sich gemeinsam mit den technischen Möglichkeiten weiter. Für Unternehmen bedeutet das: Es reicht nicht, einmal Sicherheitsmaßnahmen einzuführen und sich anschließend dauerhaft auf deren Aktualität zu verlassen. BvD-News-Von wegen Stand der Te…

Nicht immer ist die technisch beste Lösung erforderlich

Art. 32 DSGVO verfolgt einen risikobasierten Ansatz. Bei der Auswahl geeigneter technischer und organisatorischer Maßnahmen müssen unter anderem der Stand der Technik, die Implementierungskosten sowie Art und Risiko der jeweiligen Datenverarbeitung berücksichtigt werden.

Das bedeutet auch: Unternehmen müssen nicht grundsätzlich die teuerste oder technisch fortschrittlichste Lösung einsetzen. Je sensibler die verarbeiteten Daten und je größer ein mögliches Schadensausmaß, desto höher sind jedoch die Anforderungen an die Schutzmaßnahmen. BvD-News-Von wegen Stand der Te…

Entscheidend ist die Dokumentation

Besonders relevant wird das im Ernstfall. Der Europäische Gerichtshof stellte bereits 2023 klar, dass ein erfolgreicher Cyberangriff nicht automatisch bedeutet, dass ein Unternehmen gegen die DSGVO verstoßen hat. Unternehmen müssen allerdings nachweisen können, warum ihre gewählten Schutzmaßnahmen angesichts der bestehenden Risiken angemessen waren. BvD-News-Von wegen Stand der Te…

Genau hier kann fehlende Dokumentation zum Problem werden. Ein vom Beitrag aufgegriffenes Urteil des Amtsgerichts Hannover aus dem Jahr 2025 zeigt: Die pauschale Aussage, Maßnahmen hätten dem „Stand der Technik“ entsprochen, genügte dem Gericht nicht. Das Unternehmen konnte seine Evaluierungsprozesse und die Angemessenheit seiner Maßnahmen nicht ausreichend darlegen. BvD-News-Von wegen Stand der Te…

Was bedeutet das für Unternehmen?

Wer sich bewusst gegen eine bestimmte Sicherheitsmaßnahme entscheidet – beispielsweise aufgrund hoher Implementierungskosten –, sollte diese Entscheidung nicht einfach informell treffen.

Risiken sollten bewertet, Alternativen geprüft und die Entscheidung nachvollziehbar dokumentiert werden. Gerade bei Abweichungen von etablierten Best Practices ist entscheidend, begründen zu können, warum das verbleibende Risiko als vertretbar eingeschätzt wurde oder durch andere Maßnahmen reduziert wird. BvD-News-Von wegen Stand der Te…

Auch die Geschäftsführung sollte dabei einbezogen werden. Datenschutz und Informationssicherheit sind längst keine Themen mehr, die ausschließlich in der IT-Abteilung stattfinden.

Fazit: Wer entscheidet, sollte auch dokumentieren

Der „Stand der Technik“ ist kein statischer Zustand, den ein Unternehmen einmal erreicht und anschließend abhaken kann. Sicherheitsmaßnahmen müssen regelmäßig hinterfragt und an Risiken sowie technische Entwicklungen angepasst werden.

Mindestens genauso wichtig ist jedoch, Entscheidungen nachvollziehbar zu dokumentieren. Denn im Ernstfall zählt nicht nur, welche Maßnahmen umgesetzt wurden – sondern auch, ob ein Unternehmen erklären und belegen kann, warum es diese Maßnahmen für angemessen gehalten hat.