Technische und organisatorische Maßnahmen, kurz TOM, sind alle Vorkehrungen, mit denen ein Betrieb personenbezogene Daten vor Verlust, Missbrauch und unbefugtem Zugriff schützt. Art. 32 DSGVO verlangt sie in einem Umfang, der zum Risiko passt. Einen festen Pflichtkatalog gibt es nicht. Gerade deshalb scheitern viele Beschreibungen in der Prüfung: Sie klingen vollständig und sagen nichts über den eigenen Betrieb.
Was Art. 32 DSGVO verlangt
Die Vorschrift gibt einen Maßstab vor, keine Checkliste. Zu berücksichtigen sind der Stand der Technik, die Kosten der Umsetzung, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie das Risiko für die betroffenen Personen. Daraus ergibt sich, was angemessen ist. Ausdrücklich genannt werden vier Beispiele:
- die Pseudonymisierung und Verschlüsselung personenbezogener Daten,
- die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme,
- die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen,
- ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen.
Hinzu kommt Art. 32 Abs. 4 DSGVO: Beschäftigte dürfen personenbezogene Daten nur auf Anweisung verarbeiten. Das ist der organisatorische Kern, der oft übersehen wird.
Eine bewährte Gliederung
In der Praxis hat sich eine Gliederung gehalten, die aus dem alten Bundesdatenschutzgesetz stammt. Sie ist nicht mehr vorgeschrieben, aber sie hilft, nichts zu vergessen.
Zutritt und Zugang
Wer kommt in die Räume, in denen Server und Akten stehen, und wer kommt an die Systeme? Schlüsselregelung, Besucherbegleitung, persönliche Benutzerkonten, Mehrfaktor-Anmeldung für alle Zugänge von außen.
Zugriff
Wer darf innerhalb der Systeme was sehen? Ein Berechtigungskonzept nach dem Grundsatz, dass jeder nur die Daten sieht, die er für seine Aufgabe braucht. Administratorrechte nur für die, die sie wirklich benötigen, und nicht für die tägliche Arbeit.
Weitergabe und Eingabe
Wie verlassen Daten den Betrieb, und lässt sich nachvollziehen, wer was geändert hat? Verschlüsselter Versand, Protokollierung von Änderungen in den wichtigsten Systemen.
Verfügbarkeit und Wiederherstellung
Datensicherung, getrennte Kopie, getestete Wiederherstellung. Wie das mit der Löschpflicht zusammengeht, beschreibt der Beitrag Backup und Löschpflicht.
Auftragsverarbeitung und Trennung
Dienstleister sind vertraglich gebunden und ihre eigenen Maßnahmen geprüft. Daten aus unterschiedlichen Zwecken werden getrennt verarbeitet.
Wo die TOM stehen müssen
Eine allgemeine Beschreibung gehört nach Art. 30 Abs. 1 lit. g DSGVO in das Verarbeitungsverzeichnis. Dienstleister, die für Sie Daten verarbeiten, müssen ihre Maßnahmen im Vertrag zur Auftragsverarbeitung darlegen. Umgekehrt gilt dasselbe, wenn Ihr Betrieb selbst für Kunden Daten verarbeitet.
Die häufigsten Schwächen
Der Textbaustein
„Es werden dem Stand der Technik entsprechende Maßnahmen getroffen“ ist keine Beschreibung. Gefragt ist, welche. Ein konkreter Satz wie „Zugriff von außen nur über VPN mit zweitem Faktor“ ist mehr wert als eine Seite allgemeiner Formulierungen.
Beschrieben ist der Plan, nicht der Ist-Zustand
Viele Dokumente beschreiben, was eingeführt werden sollte. Geprüft wird aber, was tatsächlich läuft. Weicht beides ab, ist das in einer Prüfung schlechter als eine ehrliche, kürzere Beschreibung.
Niemand überprüft
Art. 32 verlangt ausdrücklich ein Verfahren zur regelmäßigen Überprüfung. Eine jährliche Durchsicht mit kurzem Vermerk erfüllt das. Ohne diesen Vermerk fehlt der Nachweis, auch wenn die Technik in Ordnung ist.
Unser Vorgehen
Wir erheben die Maßnahmen dort, wo sie tatsächlich umgesetzt sind, also gemeinsam mit Ihrer IT, und schreiben sie so auf, dass jede Aussage überprüfbar ist. Dabei sprechen wir die Sprache beider Seiten: die der Aufsichtsbehörde und die der Systembetreuung. Als externer Datenschutzbeauftragter übernehmen wir anschließend die jährliche Überprüfung.
Ein Erstgespräch dauert rund zwanzig Minuten: Kontakt aufnehmen oder anrufen unter 05406 500 4210.
Häufige Fragen zu technischen und organisatorischen Maßnahmen
Was sind technische und organisatorische Maßnahmen?
Alle Vorkehrungen, mit denen ein Betrieb personenbezogene Daten schützt. Technisch sind das etwa Verschlüsselung, Zugangskontrollen und Datensicherung, organisatorisch etwa Berechtigungskonzepte, Unterweisungen und Vertretungsregeln. Art. 32 DSGVO verlangt sie in einem dem Risiko angemessenen Umfang.
Gibt es eine Liste, welche Maßnahmen Pflicht sind?
Nein. Art. 32 DSGVO nennt Beispiele wie Verschlüsselung, Wiederherstellbarkeit und regelmäßige Überprüfung, schreibt aber keinen festen Katalog vor. Welche Maßnahmen angemessen sind, richtet sich nach Risiko, Stand der Technik und Aufwand.
Wo müssen die Maßnahmen dokumentiert werden?
Eine allgemeine Beschreibung gehört ins Verarbeitungsverzeichnis nach Art. 30 DSGVO. Dienstleister, die im Auftrag Daten verarbeiten, müssen ihre Maßnahmen zudem im Vertrag zur Auftragsverarbeitung darlegen.
Wie oft müssen die Maßnahmen überprüft werden?
Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung. Eine feste Frist nennt das Gesetz nicht. Bewährt hat sich eine jährliche Durchsicht und zusätzlich eine Prüfung bei jeder größeren Änderung an Systemen oder Abläufen.
Reicht eine Mustervorlage für die TOM?
Als Gliederung ja, als Inhalt nein. Eine Beschreibung, die für jeden Betrieb gleich klingt, passt zu keinem. Geprüft wird, ob die beschriebenen Maßnahmen tatsächlich umgesetzt sind.
