Was sind technische und organisatori­sche Maßnahmen (TOM)?

TOM: Definition und Rechts­grund­lage

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Zu berücksichtigen sind der Stand der Technik, die Implementierungskosten, Art, Umfang und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für die Betroffenen. Technische Maßnahmen wirken über Systeme, organisatorische über Abläufe und Regeln.

Ziel ist der Schutz von Vertraulichkeit, Integrität und Verfügbarkeit der Daten sowie die Belastbarkeit der Systeme. Die Verordnung nennt als Beispiele Pseudonymisierung und Verschlüsselung, die Fähigkeit zur raschen Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Eine feste Checkliste gibt es nicht: Die Auswahl richtet sich nach dem Risiko im Einzelfall.

Typische Maßnahmen im Überblick

In der Praxis werden TOM meist nach Kontrollbereichen gegliedert, die sich an früheren gesetzlichen Vorgaben orientieren. Die Gliederung hilft, nichts zu vergessen, und dient auch als Anlage zu Verträgen mit Dienstleistern. Welche Punkte davon relevant sind, hängt von Größe, Branche und Art der Daten ab.

• Zutritt: abschließbare Räume, Schlüsselverwaltung, Besucherregelung
• Zugang und Zugriff: Benutzerkonten, Passwortregeln, Zwei-Faktor-Authentifizierung, Rollen und Rechte
• Weitergabe: Verschlüsselung bei Übertragung und Speicherung, sichere Fernwartung
• Eingabe: Protokollierung, wer Daten wann geändert hat
• Verfügbarkeit: Backups, Notfallplan, Wiederanlauftest
• Trennung: Daten verschiedener Kunden und Zwecke getrennt halten
• Organisation: Schulung, Verpflichtung zur Vertraulichkeit, Richtlinien

Praxis­bei­spiel: Zulieferer mit Kundenportal

Ein Zulieferer betreibt ein Kundenportal, in dem Händler Bestellungen und Rechnungen einsehen. Die Daten liegen auf einem Server, auf den alle Mitarbeiter der IT-Abteilung Administratorrechte haben; Backups liegen auf derselben Maschine, und Passwörter unterliegen keinen Regeln. Ein Kunde fragt im Rahmen seines Auftragsverarbeitungsvertrags nach den TOM und erhält nur einen Mustertext.

Die Verbesserungen: ein Rollenkonzept mit Mindestrechten, Zwei-Faktor-Anmeldung für Administratoren, Verschlüsselung, Backups auf einem getrennten System mit Restore-Test und eine kurze Notfallanweisung. Die Maßnahmen werden als TOM-Dokument festgehalten, das der Kunde einsehen kann, und künftig regelmäßig überprüft.

Doku­menta­tion, Nachweis und typische Fehler

TOM müssen schriftlich dokumentiert und aktuell gehalten werden: für das Verzeichnis der Verarbeitungstätigkeiten, für Auftragsverarbeitungsverträge und als Nachweis gegenüber Aufsichtsbehörden und Kunden. Zertifizierungen wie ISO 27001 können die Nachweisführung unterstützen, ersetzen sie aber nicht automatisch. Entscheidend ist, dass die Maßnahmen tatsächlich gelten und gelebt werden.

Typische Fehler: ein Mustertext, der nie zum Betrieb passte, Maßnahmen nur auf dem Papier (etwa ein Backup, das nie getestet wurde), veraltete Angaben nach Systemwechseln und fehlende Zuständigkeiten. Auch kostenlose Tools und private Geräte gehören in die Betrachtung, sobald damit personenbezogene Daten verarbeitet werden.

Worauf Unternehmen achten sollten

Beginnen Sie mit einer Risikoeinschätzung: Welche Daten sind besonders sensibel, welche Systeme besonders kritisch? Legen Sie daraus verhältnismäßige Maßnahmen fest, benennen Sie Verantwortliche und überprüfen Sie die Wirkung regelmäßig. Nano Concepts setzt technische Maßnahmen wie Rechtekonzepte, Verschlüsselung, Backups und Monitoring um und unterstützt bei der Dokumentation. Dieser Beitrag ersetzt keine Rechtsberatung.