Technische und organisatorische Maßnahmen (TOM)
Technische und organisatorische Maßnahmen (TOM) sind die Vorkehrungen, mit denen Verantwortliche und Auftragsverarbeiter personenbezogene Daten schützen. Art. 32 DSGVO verlangt ein Schutzniveau, das dem Risiko der Verarbeitung angemessen ist.
TOMs setzen den Datenschutz praktisch um.
Die DSGVO schreibt keine feste Liste von Maßnahmen vor. Nach Art. 32 Abs. 1 sind der Stand der Technik, die Kosten der Umsetzung, Art, Umfang und Zwecke der Verarbeitung sowie das Risiko für die betroffenen Personen zu berücksichtigen. Je sensibler die Daten, desto höher die Anforderungen – Gesundheitsdaten brauchen mehr Schutz als eine Lieferadresse.
Die Verordnung nennt beispielhaft vier Bereiche:
- Pseudonymisierung und Verschlüsselung personenbezogener Daten,
- die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme,
- die rasche Wiederherstellung von Daten und Zugang nach einem Zwischenfall,
- ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der Maßnahmen.
So sehen TOMs im Kundenservice aus.
| Art | Beispiele |
|---|---|
| Technisch | Persönliche Benutzerkonten mit Zwei-Faktor-Anmeldung, Rollen- und Rechtekonzept, verschlüsselte Verbindungen, gesperrte USB-Anschlüsse, Protokollierung von Zugriffen, Datensicherung |
| Organisatorisch | Verpflichtung auf Vertraulichkeit, Schulung vor dem ersten Zugriff, Regeln für das Homeoffice, aufgeräumter Arbeitsplatz ohne Papiernotizen, Vier-Augen-Prinzip, Meldeweg bei Datenpannen |
| Prozessbezogen im Gespräch | Legitimation der Anrufenden vor jeder Auskunft, Zugriff nur auf die Daten des jeweiligen Vorgangs, keine Aufzeichnung ohne Einwilligung |
Viele Verzeichnisse gliedern die Maßnahmen noch nach den Kontrollzielen des früheren Bundesdatenschutzgesetzes, etwa Zutritts-, Zugangs-, Zugriffs- und Weitergabekontrolle. Das ist zulässig, solange die Ziele des Art. 32 DSGVO abgedeckt sind.
In der Auftragsverarbeitung gehören die TOMs in den Vertrag.
Nach Art. 28 Abs. 1 DSGVO darf ein Verantwortlicher nur Auftragsverarbeiter einsetzen, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Nach Art. 28 Abs. 3 lit. c muss der Vertrag den Auftragsverarbeiter verpflichten, alle nach Art. 32 erforderlichen Maßnahmen zu ergreifen. Üblich ist eine Anlage zum AVV, die die Maßnahmen konkret beschreibt.
Der Auftraggeber bleibt verantwortlich. Er muss die Maßnahmen vor der Beauftragung prüfen und sich später von ihrer Einhaltung überzeugen können. Welche Punkte Sie im Kundenservice zuerst ansehen sollten, zeigt der Beitrag DSGVO im Kundenservice.
Diese Schwächen fallen bei der Prüfung häufig auf.
- Allgemeine Textbausteine: „Angemessene Zugriffskontrolle“ sagt nichts. Prüfbar ist erst, wer worauf zugreifen darf und wie das kontrolliert wird.
- Stand von gestern: Die Anlage beschreibt ein Büro, gearbeitet wird aber im Homeoffice.
- Unterauftragnehmer fehlen: Hosting, Telefonie und Software-Anbieter müssen erfasst sein.
- Keine Wirksamkeitskontrolle: Maßnahmen werden beschrieben, aber nie getestet.
So prüfen Sie die TOMs eines Dienstleisters.
Fordern Sie die aktuelle Anlage, die Liste der Unterauftragnehmer und Nachweise an. Ein Zertifikat nach ISO/IEC 27001 belegt ein geprüftes Managementsystem für Informationssicherheit und erleichtert die Kontrolle; achten Sie auf Geltungsbereich und Standorte. Fragen Sie nach dem Speicherort der Daten und nach den Regeln für mobile Arbeit.
aLIVE Support legt die TOMs im AVV fest und speichert Projektdaten auf Servern in Deutschland. Die Nachweise finden Sie unter Qualität und Zertifikate.
Fragen zu TOM.
Ihre Frage ist nicht dabei? Wir antworten innerhalb eines Werktags.
Die DSGVO enthält keine abschließende Pflichtliste. Verlangt wird ein dem Risiko angemessenes Schutzniveau; welche Maßnahmen dafür nötig sind, ergibt sich aus der jeweiligen Verarbeitung.
Nein. Das Zertifikat ist ein starker Nachweis, ersetzt aber nicht die Prüfung, ob die Maßnahmen zum konkreten Auftrag und zum Geltungsbereich passen.
