Keine Angst vor Fachbegriffen: Wer personenbezogene Daten verarbeitet, muss sie schützen – das ist die einfache Wahrheit. Dabei sind TOM, also technische und organisatorische Maßnahmen, ein zentrales Instrument. Diese helfen dabei, personenbezogene Daten vor unbefugtem Zugriff, Verlust, Zerstörung, Veränderung und unzulässiger Offenlegung zu schützen.
Was sind TOM nach DSGVO?
Ob Kundendaten im CRM, Bewerbungen im E-Mail-Postfach oder Mitarbeiterdaten in der Lohnbuchhaltung: Wer personenbezogene Daten verarbeitet, muss sie schützen. Bei TOM handelt es sich nicht um Gesetzesvorschriften, sondern um Schutzmaßnahmen nach Art. 32 DSGVO.
Warum TOM für Sie konkret wichtig sind:
- Sie helfen, Datenschutzverletzungen, Sicherheitsvorfälle und so mögliche Bußgelder zu vermeiden.
- Sie gewinnen Kundenvertrauen durch sichtbaren Datenschutz
- Sie unterstützen bei der Einhaltung der Rechenschaftspflicht und so auch die Nachweisbarkeit datenschutzkonformer Prozesse
- Sie erleichtern die Zusammenarbeit mit Dienstleistern und Auftragsverarbeitern
Praxis-Tipp von e|s|b data:
Eine klare TOM-Dokumentation hilft dabei Transparenz darüber zu schaffen, welche konkreten Maßnahmen umgesetzt sind, wer dafür die Verantwortlichkeit trägt und wie diese auf ihre Wirksamkeit kontrolliert werden. Die Dokumentation kann so die Steuerung von Sicherheitsrisiken, die nachhaltige Sicherheitskultur, sowie die Nachweisbarkeit effizient unterstützen. Zusätzlich sind die tatsächliche Umsetzung, Kontrolle und Weiterentwicklung der Maßnahmen entscheidend für die Verhinderung von Sicherheitsvorfällen.
Rechtliche Grundlagen für TOM
Art. 32 DSGVO: Sicherheit der Verarbeitung
Der Artikel 32 der DSGVO verpflichtet Verantwortliche und auch Auftragsverarbeiter dazu, geeignete und organisatorische Maßnahmen umzusetzen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Zu beachten sind der Stand der Technik, Implementierungskosten und Art, Umfang, Umstände und Zwecke der Verarbeitung.
Wichtiger Hinweis:
Art. 32 DSGVO verlangt keinen festgelegten Maßnahmenkatalog, sondern ein Schutzniveau, das dem Risiko der konkreten Verarbeitung angemessen ist. Welche Maßnahmen konkret erforderlich sind, hängt von der Risikobewertung ab.
Konkret nennt der Artikel beispielhafte Maßnahmen, die, abhängig vom Risiko, erforderlich sein könnten. Darunter fällt die Pseudonymisierung und Verschlüsselung personenbezogener Daten, sowie die Gewährleistung von Verfügbarkeit, Wiederherstellung und Integrität.
Praxis-Tipp von e|s|b data:
Bei unseren Beratungen bei mittelständischen Unternehmen haben wir oft gesehen, dass die größte Herausforderung nicht die technischen Lösungen ist, sondern die klare Zuordnung der Verantwortlichkeiten und die Einbindung aller Beteiligten. Für viele unserer Kunden war es der entscheidende Schritt, TOM nicht als reine IT-Aufgabe, sondern als ganzheitlichen Prozess zu betrachten.
Technische und organisatorische Maßnahmen abgrenzen
Was sind technische Maßnahmen?
Technische Maßnahmen sind Schutzvorkehrungen in IT-Systemen, Netzwerken, Anwendungen, Endgeräten und physischen Sicherheitsumgebungen. Sie sollen die folgenden Punkte verhindern, erkennen oder in ihren Auswirkungen begrenzen:
- Unbefugte Zugriffe
- Unbefugte Offenlegungen
- Datenverlust
- Unzulässige Veränderungen
- Systemausfälle
Beispiele:
- Multi-Faktor-Authentifizierung (MFA) – für den Schutz vor unbefugtem Zugriff auf Systeme
- Verschlüsselung gespeicherter Daten – für den Schutz bei Verlust oder Diebstahl
- Rollen- und Berechtigungskonzepte – für den Schutz von Daten vor unbefugtem Zugriff
Was sind organisatorische Maßnahmen?
Organisatorische Maßnahmen regeln Zuständigkeiten, Prozesse, Verhaltensweisen, Freigaben und Kontrollmechanismen. Sie sorgen dafür, dass technische Schutzmaßnahmen wirksam eingesetzt, überwacht, dokumentiert und weiterentwickelt werden.
Beispiele:
- Datenschutz- und IT-Sicherheitsrichtlinien – zur klaren Regelung von Verantwortlichkeiten
- Schulungen und Awareness-Maßnahmen – um Mitarbeiter im Umgang mit Daten zu sensibilisieren
- Incident-Response-Plan – um im Schadensfall schnell und strukturiert reagieren zu können
- Berechtigungsmanagement – geregelte Vergabe und Änderung von Zugriffsrechten
Praxis-Tipp von e|s|b data:
Bei unseren Beratungen bei mittelständischen Unternehmen haben wir festgestellt, dass der Erfolg von TOM oft im Zusammenspiel von technischen Maßnahmen und organisatorischen Prozessen liegt. Eine MFA-Lösung allein nutzt nichts, wenn Mitarbeiter keine Sicherheitserfahrung haben. Umgekehrt ist eine gute Schulung wirkungslos, wenn die technischen Sicherheitslücken nicht geschlossen werden.
Schutzziele richtig strukturieren
Die sieben Gewährleistungsziele des Standard-Datenschutzmodells
| Gewährleistungsziel | Praxiserklärung |
|---|---|
| Vertraulichkeit | Nur berechtigte Personen dürfen Daten einsehen |
| Integrität | Daten müssen richtig, vollständig und vor unbefugter Veränderung geschützt sein |
| Verfügbarkeit | Daten und Systeme müssen bei Bedarf nutzbar sein |
| Datenminimierung | Es sollen nur für den jeweiligen Zweck erforderliche Daten erhoben und gespeichert werden |
| Nichtverkettung | Daten aus unterschiedlichen Kontexten sollen nicht ohne Rechtsgrundlage zusammengeführt werden |
| Transparenz | Verarbeitung muss nachvollziehbar sein |
| Intervenierbarkeit | Betroffene müssen ihre Datenschutzrechte praktisch wahrnehmen können |
Konkrete technische TOM-Beispiele
Technische Maßnahmen nach DSGVO: Praxisbeispiele
| Maßnahme | Praxisnutzen | Konkrete Umsetzung |
|---|---|---|
| Zutrittskontrolle | Schutz vor unbefugtem physischem Zugriff auf Serverräume, Archive o. ä. | Schließsysteme, Chipkarten, Besucherausweise |
| Zugangskontrolle | Schutz vor unbefugtem Zugriff auf IT-Systeme und Benutzerkonten | Individuelle Benutzerkonten, MFA, Passwortregeln |
| Zugriffskontrolle | Zugriff auf personenbezogene Daten nur für die berechtigte Person | Rollen- und Berechtigungskonzept, regelmäßige Berechtigungsprüfungen |
| Verschlüsselung ruhender Daten | Schutz bei Verlust oder Diebstahl von Daten, Verringerung des Schadenrisikos | Festplattenverschlüsselung, verschlüsselte Backups, geregeltes Schlüsselmanagement |
| Verfügbarkeitskontrolle | Sicherstellung von Datenzugang bei physischen oder technischen Zwischenfällen | Risikoadäquates Backup- und Wiederherstellungskonzept, Restore-Tests |
Praxis-Tipp von e|s|b data:
Bei vielen unserer Kunden haben wir festgestellt, dass einer der häufigsten Fehlerpunkte Backups sind. Ein Backup gilt nur dann als effektiv, wenn Wiederherstellungen getestet werden und Verantwortlichkeiten klar sind. In unseren Beratungen helfen wir unseren Kunden dabei, dies systematisch zu prüfen und zu dokumentieren.
Konkrete organisatorische TOM-Beispiele
Organisatorische Maßnahmen nach DSGVO: Praxisbeispiele
| Maßnahme | Praxisnutzen | Typische Umsetzung |
|---|---|---|
| Datenschutzschulungen | Sensibilisierung für Phishing, Passwörter, Datenpannen | Schulungsplan, Teilnahmelisten, Tests |
| Löschkonzept | Sicherstellung, dass Daten nicht länger als nötig gespeichert werden | Löschfristenmatrix, Löschprotokolle, Verantwortlichkeiten zur Prüfung, alles mit unserer LöschApp abbildbar |
| Incident-Response-Plan | Schnelle Reaktion auf Sicherheitsvorfälle | Notfallhandbuch, Kontaktliste, Incident-Tickets |
TOM dokumentieren: Aufbau, VVT und typische Fehler
Viele stellen sich bei der Verwendung von TOM die Frage, wie ein solches Dokument konkret aufgebaut sein sollte.
Empfohlene Gliederung:
- Dokumentenstatus: Version, Datum, Freigabe
- Geltungsbereich: Gesellschaft, Standorte, Systeme
- Risikokontext: Datenkategorien, Betroffenengruppen
- Rollen und Verantwortlichkeiten
- Technische und organisatorische Maßnahmen
- Zuordnung zu Schutzzielen
- Kontroll- und Prüfrhythmus
TOM-Dokumentation: Praxisnahe Umsetzung
Die TOM-Dokumentation sollte verständlich, aktuell und ausreichend konkret sein. Dabei sollten die relevanten und umgesetzten Maßnahmen abgebildet werden. Intern sollten vor Allem Maßnahmen, Zuständigkeiten, Geltungsbereiche und Prüfprozesse nachvollziehbar dokumentiert sein.
TOM-Checkliste: Regelmäßig prüfen und aktualisieren
Wann müssen TOM überprüft werden?
Art. 32 DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit von TOM. Einen einheitlichen gesetzlichen Turnus wie „jährlich“ schreibt die Vorschrift nicht vor. Unternehmen sollten daher risikoorientierte Prüffristen definieren.
Checkliste für regelmäßige Prüfung:
- Wurden neue Software, Cloud-Dienste oder Datenbanken eingeführt?
- Sind Sicherheitsupdates, Schutzsoftware und Gerätekonfigurationen aktuell?
- Wurden Backups erstellt und Wiederherstellungen getestet?
- Gab es Datenschutzverletzungen oder Sicherheitsvorfälle?
- Wurden neue Auftragsverarbeiter oder Unterauftragsverarbeiter eingebunden?
Praxis-Tipp von e|s|b data:
Bei unseren Beratungen bei Mittelständlern haben wir gelernt, dass viele Unternehmen ihre TOM nur einmalig erstellen und dann nicht aktualisieren. In der Praxis ist es viel effektiver, TOM in den täglichen Prozess zu integrieren und regelmäßig zu überprüfen.
FAQ zu TOM nach DSGVO
Sind TOM nach DSGVO gesetzlich vorgeschrieben?
Ja. Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, geeignete technische und organisatorische Maßnahmen umzusetzen, damit ein dem Risiko angemessenes Schutzniveau erreicht wird. Welche Maßnahmen konkret erforderlich sind, hängt von der jeweiligen Verarbeitung und ihren Risiken ab.
Reicht eine kostenlose TOM-Vorlage aus?
Nein. Eine Vorlage ist ein Startpunkt für Struktur und Vollständigkeit, aber kein Nachweis dafür, dass die darin genannten Maßnahmen im Unternehmen tatsächlich umgesetzt, getestet und an die Risiken der konkreten Verarbeitung angepasst sind.
Wie oft müssen TOM überprüft werden?
Art. 32 DSGVO verlangt eine regelmäßige Überprüfung, aber kein festes Zeitintervall. Es bietet sich demnach an, TOM anlassbezogen zu überprüfen. Beispielsweise bei der Einführung neuer Systeme.
Welche Kosten entstehen für TOM?
Die Kosten für TOM hängen von der Größe Ihres Unternehmens und der Komplexität Ihrer Datenverarbeitung ab. So lassen sich diese nicht konkret beziffern.
Fazit: TOM als nachhaltiger Prozess
TOM sind keine einmalige Formalität, sondern Teil eines fortlaufenden Datenschutz- und Sicherheitsmanagements. Art. 32 DSGVO verlangt risikoadäquate Maßnahmen, nicht einen starren Einheitskatalog. Technische Kontrollen und organisatorische Prozesse müssen ineinandergreifen. Die sieben Gewährleistungsziele des SDM helfen dabei, Maßnahmen systematisch zu planen und Lücken zu erkennen.
