Grundsatz der Integrität und Vertraulichkeit: Was die DSGVO wirklich verlangt
Montagmorgen in einem mittelständischen Betrieb: Eine Mitarbeiterin aus der Personalabteilung will ihrem Geschäftsführer eine aktualisierte Gehaltsübersicht senden. Das E-Mail-Programm schlägt beim Tippen mehrere Empfänger mit demselben Nachnamen vor. Ein Klick – die Datei ist unterwegs, leider an den falschen Empfänger. Am selben Tag stellt die Buchhaltung fest, dass die Bankverbindung eines Lieferanten geändert wurde, ohne dass sich nachvollziehen lässt, wer das getan hat. Und die IT meldet, dass das Benutzerkonto eines Mitarbeiters, der das Unternehmen vor drei Monaten verlassen hat, noch immer aktiv ist.
Drei unterschiedliche Vorfälle – und doch haben sie einen gemeinsamen datenschutzrechtlichen Kern. Genau darum geht es beim Grundsatz der Integrität und Vertraulichkeit, einer der zentralen Anforderungen der DSGVO.
Verankert ist der Grundsatz in Art. 5 Abs. 1 lit. f) DSGVO. Danach müssen personenbezogene Daten so verarbeitet werden, dass eine angemessene Sicherheit gewährleistet ist – insbesondere Schutz vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder Schädigung.
Der Name des Grundsatzes ist dabei etwas knapper gefasst als sein tatsächlicher Inhalt: Wer nur auf die Begriffe „Integrität“ und „Vertraulichkeit“ schaut, könnte meinen, es gehe ausschließlich darum, Daten geheim zu halten und vor Veränderungen zu schützen. Erst Art. 32 DSGVO macht deutlich, dass auch Verfügbarkeit und Belastbarkeit der Systeme dazugehören – personenbezogene Daten nützen wenig, wenn eine Lohnabrechnung zwar perfekt geschützt ist, nach einem Serverausfall aber unwiederbringlich verloren geht. Art. 5 Abs. 1 lit. f) DSGVO beschreibt also das Ziel, Art. 32 DSGVO beschreibt, wie dieses Ziel praktisch erreicht werden soll.
Vertraulichkeit: Wer ist eigentlich befugt?
Vertraulichkeit bedeutet, dass personenbezogene Daten nur von Personen zur Kenntnis genommen werden können, die dazu befugt sind. Das klingt selbstverständlich – die Schwierigkeit beginnt in der Praxis bei der Frage, wer tatsächlich befugt ist. Ein Mitarbeiter gehört nicht automatisch zum Kreis der Berechtigten, nur weil er im selben Unternehmen arbeitet: Der Vertrieb braucht normalerweise keinen Zugriff auf Personalakten, die Produktion nicht auf die vollständige Kundenhistorie, und selbst ein Administrator benötigt nicht für jede Tätigkeit inhaltlichen Zugriff auf alle Daten, nur weil er technisch dazu in der Lage wäre.
Dahinter steht das in der Praxis besonders wichtige Need-to-know-Prinzip: Zugriff erhält nur, wer die Daten für seine konkrete Aufgabe wirklich benötigt. Ein gemeinsames Netzlaufwerk, auf das aus rein technischer Bequemlichkeit alle Mitarbeiter zugreifen können, verstößt gegen diesen Grundsatz – selbst wenn es passwortgeschützt ist. Und Vertraulichkeit endet nicht an der Bürotür: Ein Ausdruck mit Bewerberdaten am frei zugänglichen Drucker, ein Laptop ohne Bildschirmsperre im Besprechungsraum oder die Gehaltsabrechnung im Altpapier verletzen denselben Grundsatz wie eine unsichere IT-Infrastruktur.
Need-to-know-Prinzip: Mitarbeitende erhalten nur Zugriff auf diejenigen personenbezogenen Daten und Systeme, die sie für ihre konkrete Aufgabe tatsächlich benötigen.
Integrität bedeutet, dass Daten und die Prozesse, mit denen sie verarbeitet werden, unversehrt und verlässlich bleiben. Veränderungen dürfen nur kontrolliert und durch Berechtigte erfolgen. Unbeabsichtigte oder unbefugte Änderungen sollten verhindert oder zumindest erkannt werden können. Das heißt nicht, dass Daten niemals geändert werden dürfen – im Gegenteil, viele Daten müssen regelmäßig aktualisiert werden. Entscheidend ist, dass Änderungen berechtigt, kontrolliert und, wo das Risiko es erfordert, nachvollziehbar erfolgen.
Ein praktisches Beispiel: Wird die IBAN eines Lieferanten durch einen unbefugten Dritten manipuliert, betrifft das die Integrität. Teilt dagegen ein Kunde eine neue Adresse mit, die versehentlich nicht aktualisiert wird, steht eher der Grundsatz der Richtigkeit nach Art. 5 Abs. 1 lit. d) DSGVO im Vordergrund. Beide Anforderungen überschneiden sich, sind aber nicht identisch – Richtigkeit fragt, ob gespeicherte Informationen den tatsächlichen Verhältnissen entsprechen, Integrität fragt, ob Daten und Verarbeitung gegen unkontrollierte Veränderungen geschützt sind.
Ein risikobasierter Ansatz – keine absolute Sicherheit
Art. 32 DSGVO verlangt kein technisch maximal erreichbares Schutzniveau, sondern ein angemessenes. Zu berücksichtigen sind unter anderem der Stand der Technik, die Implementierungskosten sowie Art, Umfang und Risiko der jeweiligen Verarbeitung. Eine einfache Adressliste mit geschäftlichen Kontaktdaten benötigt nicht dieselben Schutzmaßnahmen wie eine Personalakte mit Gesundheitsdaten und Bankverbindungen.
Das bedeutet auch: Ein einzelner Sicherheitsvorfall beweist noch nicht automatisch einen DSGVO-Verstoß. Der EuGH hat dazu 2023 und 2024 in zwei vielbeachteten Entscheidungen (C-340/21 und C-687/21) klargestellt, dass Art. 32 DSGVO ein System des Risikomanagements enthält und nicht verlangt, jedes Risiko vollständig auszuschließen. Entscheidend ist eine konkrete Prüfung, ob die getroffenen Maßnahmen angesichts der bestehenden Risiken angemessen waren – ein einzelner Mitarbeiterfehler reicht dafür nicht aus, kann aber ein Hinweis auf organisatorische Schwachstellen sein. Gleichzeitig trägt der Verantwortliche im Streitfall die Beweislast dafür, dass seine Maßnahmen angemessen waren – Dokumentation ist also kein bürokratisches Beiwerk, sondern die Grundlage, um sich im Ernstfall entlasten zu können.
Dass Sicherheitslücken teuer werden können, zeigen zwei bekannte Fälle: Die AOK Baden-Württemberg wurde 2020 mit 1,24 Millionen Euro belegt, weil interne Richtlinien und Schulungen allein nicht verhinderten, dass über 500 Gewinnspielteilnehmer ohne Einwilligung Werbung erhielten – ein Beleg dafür, dass eine Maßnahme erst wirkt, wenn sie im Alltag tatsächlich funktioniert. 1&1 Telecom wurde 2019 zunächst mit 9,55 Millionen Euro belegt (später gerichtlich auf 900.000 Euro reduziert), weil am Telefon allein Name und Geburtsdatum für weitreichende Kundenauskünfte ausreichten. Beide Fälle zeigen: Die Frage ist nicht, ob eine Vorschrift theoretisch existiert, sondern ob sie im täglichen Ablauf gelebt wird.
Was in der Praxis wirklich zählt
Für die Umsetzung im Unternehmen sind vor allem folgende Bausteine relevant:
Rollen- und Berechtigungskonzepte nach dem Need-to-know-Prinzip statt eines gemeinsamen Laufwerks für alle
Personalisierte statt geteilte Benutzerkonten, damit Änderungen nachvollziehbar bleiben
Zeitnahe Deaktivierung von Konten ausgeschiedener Mitarbeiter
Verifikationsprozesse bei sensiblen Änderungen, etwa bei neuen Bankverbindungen von Lieferanten
Multi-Faktor-Authentifizierung, insbesondere bei Cloud-Zugängen, E-Mail-Konten und Administratorrechten
Getestete Backups, denn ein Backup, dessen Wiederherstellung nie geprüft wurde, ist keine wirksame Maßnahme
Die DSGVO schreibt Multi-Faktor-Authentifizierung nicht pauschal vor – ob sie erforderlich ist, hängt vom Risiko ab. Die praktisch hilfreichere Frage lautet daher nicht „Steht das ausdrücklich im Gesetz?“, sondern „Welches Risiko entsteht, wenn nur ein Passwort zwischen einem Angreifer und diesen Daten steht?“
Wichtig ist außerdem: Technik allein reicht nicht. Eine Firewall verhindert nicht, dass ein Mitarbeiter am Telefon vorschnell Kundendaten herausgibt oder Personalunterlagen am Drucker liegen lässt. Umgekehrt helfen auch Richtlinien und Schulungen nur, wenn ihre Umsetzung im Alltag auch kontrolliert wird.
Was „Integrität und Vertraulichkeit“ tatsächlich umfasst: Art. 5 Abs. 1 lit. f DSGVO formuliert das Schutzziel, während Art. 32 DSGVO dessen praktische Umsetzung durch Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit konkretisiert.
Auch Dienstleister entlasten nicht automatisch
Wer IT-Systeme, Lohnabrechnung oder Cloud-Dienste auslagert, gibt damit nicht automatisch die datenschutzrechtliche Verantwortung ab. Art. 28 DSGVO verlangt, dass nur Auftragsverarbeiter eingesetzt werden, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Für die Praxis heißt das nicht, dass ein Rechenzentrum persönlich besichtigt werden muss – wohl aber, dass Sicherheitsinformationen des Anbieters geprüft und dem eigenen Risiko entsprechend bewertet werden. Ein bloßes „Der wird das schon richtig machen“ reicht als Risikoprüfung nicht aus.
Zusammenfassung
Der Grundsatz der Integrität und Vertraulichkeit verlangt keine Festung um jede einzelne Datei, aber auch mehr als eine Firewall und eine TOM-Liste in der Schublade. Entscheidend ist ein nachvollziehbares Sicherheitskonzept, das zur tatsächlichen Verarbeitung passt: Datenwege kennen, Zugriffe auf das Erforderliche beschränken, typische Fehlerszenarien wie Fehlversand oder vergessene Kontodeaktivierungen identifizieren, angemessene Maßnahmen in den normalen Arbeitsablauf einbauen und regelmäßig kontrollieren, ob das Ganze auch tatsächlich funktioniert. Viele dieser Maßnahmen – ein sauberes Berechtigungskonzept, ein getestetes Backup, eine funktionierende Empfängerkontrolle – gehören ohnehin zu einer guten Unternehmensorganisation. Die Umsetzung muss deshalb weder kompliziert noch übermäßig bürokratisch sein.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
