Kaum eine Organisation kommt heutzutage ohne die Verarbeitung großer Mengen personenbezogener Daten in Informationssystemen aus, so dass sie sich konsequenterweise mit der Umsetzung datenschutzrechtlicher Anforderungen befassen müssen. Einerseits sollen die Regelungen der DSGVO dafür Sorge tragen, natürliche Personen vor Eingriffen in ihre Persönlichkeitsrechte zu schützen. Andererseits ist die Umsetzung der einschlägigen Datenschutzvorschriften häufig mit hohen Kosten verbunden, während das Datenschutzrecht zusätzlich häufig als Hemmschuh für innovative Daten-nutzungsmöglichkeiten wahrgenommen wird. Vor diesem Hintergrund wünschen sich Organisationen einen pragmatischen Umgang mit der Umsetzung datenschutzrechtlicher Anforderungen, sind aber unsicher, wie viel Pragmatik die Umsetzung der DSGVO-Anforderungen erlaubt, ohne dem Risiko des hohen Bußgeldrahmens der DSGVO ausgesetzt zu sein. Vor diesem Hintergrund beantwortet die vorliegende Arbeit offene Fragen zur angemessenen Umsetzung der DSGVO-Anforderungen, insbesondere im Bereich des technisch-organisatorischen Datenschutzes.