Kurz erklärt: Technische und organisatorische Maßnahmen sind die Schutzvorkehrungen, mit denen ein Unternehmen nach Art. 32 DSGVO ein dem Risiko angemessenes Sicherheitsniveau herstellt: Zugriffsrechte, Verschlüsselung, Backups, Protokollierung, Schulungen, Regelungen und Notfallpläne.
Was bedeutet Technische und organisatorische Maßnahmen?
Die DSGVO schreibt keine festen Maßnahmen vor, sondern verlangt, dass Stand der Technik, Kosten, Art und Risiko der Verarbeitung gegeneinander abgewogen werden. Art. 32 nennt beispielhaft Pseudonymisierung und Verschlüsselung, die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit dauerhaft sicherzustellen, die Wiederherstellbarkeit nach Zwischenfällen und ein Verfahren zur regelmäßigen Überprüfung.
Die Maßnahmen werden in einer TOM-Beschreibung dokumentiert, die Teil des Verarbeitungsverzeichnisses ist und jedem Auftragsverarbeitungsvertrag beigefügt wird.
Rechtsgrundlage
- Art. 32 DSGVO (Sicherheit der Verarbeitung)
- Art. 5 Abs. 1 lit. f DSGVO (Integrität und Vertraulichkeit)
- Art. 25 DSGVO (Datenschutz durch Technikgestaltung)
- Art. 30 Abs. 1 lit. g DSGVO (Beschreibung im Verzeichnis)
In der Praxis
Für kleine und mittlere Betriebe zählen vor allem: Mehrfaktor-Anmeldung für externe Zugänge, getestete Backups mit einer Kopie außer Haus, Rollen- und Rechtekonzept, Verschlüsselung von Notebooks und Handys, Patch-Management, Schulung gegen Phishing und ein Notfallplan für den Ausfall der IT. Die Maßnahmen müssen zum Betrieb passen, nicht zu einer Checkliste.
Häufige Fragen
Fragen zu Technische und organisatorische Maßnahmen
Reicht ein Virenscanner als TOM?
Nein. Der Virenscanner ist eine Maßnahme von vielen. Entscheidend ist das Gesamtbild aus technischen und organisatorischen Vorkehrungen, dokumentiert und regelmäßig überprüft.
Müssen TOM zertifiziert sein?
Nein. Zertifizierungen wie ISO 27001 helfen beim Nachweis, sind aber keine Pflicht.
Verwandte Begriffe
Das gehört dazu
Ratgeber