DSGVO Artikel 32 — Sicherheit der Verarbeitung

Hinweis: Dieser Explainer ist informativ; Framework-Referenzen sind nie eine Compliance-Garantie — stimmen Sie Ihr Programm mit Ihrer Rechtsberatung ab.

Was Artikel 32 verlangt

Verantwortliche und Auftragsverarbeiter müssen geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau treffen — unter Berücksichtigung des Stands der Technik sowie Eintrittswahrscheinlichkeit und Schwere möglicher Schäden. Artikel 32 ist bewusst technologieneutral: Entsteht ein neuer Abflusskanal für Daten, erstrecken sich „geeignete Maßnahmen" auch auf ihn.

Was das für Ihr Unternehmen bedeutet

Der Kanal Browser-zu-AI ist genau so ein Kanal: Zugangsdaten im Chatbot, Kundendaten im Prompt, proprietärer Code für den schnellen Review. Firewalls und E-Mail-DLP sehen ihn nicht. Können personenbezogene Daten ungeschützt über AI-Tools abfließen, haben Ihre Artikel-32-Maßnahmen eine dokumentierte Lücke.

Wie Shield sie operationalisiert

Vier Starter-Vorlagen sind auf Art. 32 referenziert und decken den Kanal gestaffelt ab:

• Block secrets & credentials — API-Keys, Tokens und private Schlüssel erreichen kein AI-Tool.
• Transform PII / Transform financial data — personenbezogene und Finanzdaten werden auf dem Gerät redigiert, bevor sie gesendet werden.
• Warn on source code sharing — eine Awareness-Maßnahme für Material, das sensibel ist, aber manchmal legitim geteilt wird.
• Block file uploads to AI tools — Dateien werden heute nicht inhaltlich inspiziert; der am wenigsten prüfbare Kanal bleibt als bewusste Pauschal-Maßnahme geschlossen.

Alle sind in jeder neuen Organisation ab der ersten Minute aktiv, und jedes Enforcement-Ereignis wird im Audit-Log festgehalten.

Das Ergebnis

Der AI-Kanal steht in Ihrer Artikel-32-Dokumentation als abgedeckter Kanal: benannte Maßnahmen, On-Device-Erkennung nach Stand der Technik und eine Beweisspur — statt einer offenen Flanke, die das nächste Audit findet.