Technische und organisatorische Maßnahmen (TOM)

Die DSGVO schreibt nicht vor, welche Firewall oder welches Backup-Verfahren ein Unternehmen einsetzen muss. Sie verlangt stattdessen ein Schutzniveau, das dem Risiko angemessen ist. Zu berücksichtigen sind laut Art. 32 unter anderem der Stand der Technik, die Implementierungskosten, Art, Umfang und Zwecke der Verarbeitung sowie Wahrscheinlichkeit und Schwere des Risikos für die betroffenen Personen.

TOM sind die konkrete Antwort auf diese Anforderung. Sie werden in der Regel schriftlich dokumentiert, etwa als Anlage zu Verträgen über die Auftragsverarbeitung oder im Verzeichnis der Verarbeitungstätigkeiten.

Wie TOM aufgebaut sind

Art. 32 nennt beispielhaft Pseudonymisierung und Verschlüsselung, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellung nach einem Zwischenfall sowie Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.

Technische Maßnahmen setzen an Systemen an, organisatorische an Abläufen und Verhalten. In der Praxis werden TOM häufig nach Schutzzielen gegliedert:

• Vertraulichkeit: Zutritts-, Zugangs- und Zugriffskontrolle, Verschlüsselung, Pseudonymisierung, Verpflichtung zur Vertraulichkeit.
• Integrität: Schutz vor unbefugter Änderung, Protokollierung von Eingaben und Weitergaben.
• Verfügbarkeit und Belastbarkeit: Datensicherung, Schutz vor Schadsoftware, unterbrechungsfreie Stromversorgung, Notfallpläne.
• Überprüfung: regelmäßige Kontrolle der Wirksamkeit, etwa durch Audits, Tests oder ein ISMS.

Typische Beispiele

• Notebooks sind vollständig verschlüsselt, damit bei Verlust niemand auf die Daten zugreifen kann.
• Nur die Personalabteilung hat Zugriff auf Personalakten, und Zugriffe werden protokolliert.
• Mitarbeitende werden bei Eintritt zur Vertraulichkeit verpflichtet und regelmäßig geschult.
• Backups werden getrennt aufbewahrt, und die Wiederherstellung wird regelmäßig getestet.
• Ein Dienstleister beschreibt in der Anlage zum Vertrag, wie Rechenzentrum, Fernzugriff und Datensicherung geschützt sind.

Worauf Unternehmen achten sollten

• TOM so beschreiben, wie sie tatsächlich umgesetzt sind, nicht wie sie idealerweise aussehen sollten.
• Die Dokumentation aktualisieren, wenn sich Systeme, Standorte oder Dienstleister ändern.
• Bei Auftragsverarbeitern prüfen, ob deren Maßnahmen zum eigenen Schutzbedarf passen.
• Maßnahmen am Risiko ausrichten: Gesundheits- oder Personaldaten erfordern mehr Schutz als eine Liste von Firmenadressen.
• Die Wirksamkeit regelmäßig überprüfen, wie es Art. 32 ausdrücklich verlangt.

Dieser Eintrag ist eine allgemeine Einordnung und ersetzt keine Rechtsberatung.