BRDRechtliche Anforderungen an Datensicherung: DSGVO, BSIG, ISO 27001
Eine ausdrückliche „Backup-Pflicht“ für alle Unternehmen gibt es nicht. Die Pflicht zur Datensicherung ergibt sich aber aus mehreren Quellen: aus Art. 32 DSGVO für personenbezogene Daten, aus § 30 BSIG für NIS-2-Einrichtungen, aus Aufbewahrungspflichten des Handels- und Steuerrechts und aus Normen wie ISO/IEC 27001, die Kunden, Versicherer oder Zertifizierer verlangen.
Welche Vorgaben gelten im Überblick?
| Quelle | Anforderung | Bedeutung für das Backup |
|---|---|---|
| Art. 5 Abs. 1 lit. f DSGVO | Schutz vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder Schädigung | Grundsatz: Daten dürfen nicht ungesichert verloren gehen |
| Art. 32 Abs. 1 lit. b DSGVO | Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer sicherstellen | Redundanz und Sicherung als technische Maßnahme |
| Art. 32 Abs. 1 lit. c DSGVO | Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederherstellen | Wiederherstellungsfähigkeit, gemessen an RTO und RPO |
| Art. 32 Abs. 1 lit. d DSGVO | Verfahren zur regelmäßigen Überprüfung der Wirksamkeit | Restore-Tests mit Protokoll |
| Art. 5 Abs. 2 DSGVO | Rechenschaftspflicht | Konzept, Tests und Freigaben müssen nachweisbar sein |
| § 30 Abs. 2 Nr. 3 BSIG | Backup-Management, Wiederherstellung nach einem Notfall, Krisenmanagement | Pflicht für wichtige und besonders wichtige Einrichtungen |
| § 38 Abs. 1 BSIG | Geschäftsleitung setzt Maßnahmen um und überwacht sie | Freigabe und Kontrolle durch die Geschäftsleitung |
| § 257 HGB, § 147 AO | Aufbewahrung von Handelsbüchern, Belegen und steuerlich relevanten Unterlagen | Aufbewahrungsdauer und Lesbarkeit über den gesamten Zeitraum |
| ISO/IEC 27001:2022 A.8.13 | Sicherungskopien nach Richtlinie vorhalten und regelmäßig testen | Backup-Richtlinie und Testnachweise für das Audit |
| ISO 22301:2019 | BIA, Strategien, Pläne und Übungen für Business Continuity | Prioritäten, RTO und RPO aus dem BCM |
Was heißt „Stand der Technik“ für Datensicherungen?
Art. 32 DSGVO und § 30 Abs. 2 BSIG verlangen, den Stand der Technik zu berücksichtigen. Das Gesetz zählt keine Produkte auf; ein guter Anhaltspunkt sind die Anforderungen des BSI IT-Grundschutz-Bausteins CON.3 und die Maßnahmen der ISO/IEC 27001. Dazu gehören heute in aller Regel verschlüsselte Sicherungen, eine vom Produktivnetz getrennte oder unveränderbare Kopie, geschützte Verwaltungszugänge und dokumentierte Wiederherstellungstests.
Häufige Rechtsfragen
Schreibt die DSGVO ein Backup vor?
Das Wort Backup kommt in der DSGVO nicht vor. Art. 32 Abs. 1 lit. c verlangt aber die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen. Ohne Datensicherung ist das praktisch nicht erreichbar.
Ist ein Datenverlust eine meldepflichtige Datenpanne?
Eine Verletzung des Schutzes personenbezogener Daten umfasst nach Art. 4 Nr. 12 DSGVO auch die unbeabsichtigte oder unrechtmäßige Vernichtung und den Verlust von Daten. Sie ist nach Art. 33 DSGVO binnen 72 Stunden an die Aufsichtsbehörde zu melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Eine rasche Wiederherstellung aus dem Backup kann in diese Bewertung einfließen.
Keine Rechtsberatung. Rechtsstand: 04.11.2026.