Datenschutzkonzept und TOM: was hineingehört und wie Sie es aufbauen
Ein Datenschutzkonzept beschreibt, wie Ihr Unternehmen personenbezogene Daten verarbeitet, schützt und wieder löscht – und wer wofür verantwortlich ist. Wir erstellen es auf Ihren tatsächlichen Stand, nicht aus einem Musterhandbuch.
Das gehört hinein
- Verarbeitungsverzeichnis nach Art. 30 DSGVO
- Technische und organisatorische Maßnahmen (TOM)
- Löschkonzept
- Verträge zur Auftragsverarbeitung
- Rollen, Prozesse und Schulungsnachweise
Kurz beantwortet: Ein Datenschutzkonzept bündelt Verarbeitungsverzeichnis, technische und organisatorische Maßnahmen (TOM), Löschkonzept, Verträge zur Auftragsverarbeitung und die internen Abläufe für Auskunftsanfragen und Datenpannen. Den Begriff kennt die DSGVO nicht, die Pflichten dahinter schon: Nach Art. 5 Abs. 2 und Art. 24 DSGVO müssen Sie nachweisen können, dass Sie die Grundsätze des Datenschutzes einhalten. Fehlen Verzeichnis oder TOM, drohen Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 DSGVO).
Was in ein Datenschutzkonzept gehört
Verarbeitungsverzeichnis
Welche Daten Sie wofür, auf welcher Rechtsgrundlage und wie lange verarbeiten (Art. 30 DSGVO).
TOM
Wie Sie die Daten schützen – von der Zugriffsregelung bis zur Datensicherung (Art. 32 DSGVO).
Löschkonzept
Welche Daten wann gelöscht werden und wer das auslöst. Orientierung gibt die DIN 66398.
AV-Verträge
Mit jedem Dienstleister, der für Sie Daten verarbeitet – Cloud, Lohnbüro, IT-Betreuung (Art. 28 DSGVO).
Rollen
Geschäftsführung, Datenschutzbeauftragter, interne Ansprechpersonen und Fachabteilungen.
Prozesse
Auskunft und Löschung auf Antrag (Art. 15–22), Datenpannen binnen 72 Stunden (Art. 33), Folgenabschätzung bei hohem Risiko (Art. 35).
TOM im Datenschutz: die Maßnahmen nach Art. 32 DSGVO
Die TOM sind der Teil, nach dem Aufsichtsbehörden und Auftraggeber am häufigsten fragen. Art. 32 DSGVO verlangt ein Schutzniveau, das dem Risiko angemessen ist: unter anderem Pseudonymisierung und Verschlüsselung, die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen.
In der Praxis gliedern viele Unternehmen ihre TOM weiterhin nach den bekannten Kontrollzielen:
- Zutritt: Wer kommt in Büro und Serverraum? Schließplan, Besucherregelung.
- Zugang: Wer kann sich an Systemen anmelden? Passwortregeln, Mehr-Faktor-Anmeldung.
- Zugriff: Wer sieht welche Daten? Rollen- und Rechtekonzept.
- Weitergabe: Wie werden Daten übertragen? Verschlüsselung, sichere Dateiübertragung.
- Eingabe: Ist nachvollziehbar, wer was geändert hat? Protokollierung.
- Auftrag: Arbeiten Dienstleister nur nach Weisung? AV-Verträge, Kontrollen.
- Verfügbarkeit: Datensicherung, unterbrechungsfreie Stromversorgung, Virenschutz, Wiederanlauf.
- Trennung: Werden Daten unterschiedlicher Zwecke getrennt verarbeitet?
Wichtig ist nicht die Länge der Liste, sondern dass sie stimmt. Eine TOM-Dokumentation, die eine Mehr-Faktor-Anmeldung verspricht, die es nicht gibt, ist im Prüffall schlechter als eine ehrliche Lücke mit Maßnahmenplan.
So entsteht Ihr Datenschutzkonzept mit CMD
- Bestandsaufnahme: Gespräche mit Geschäftsführung, Personal, Vertrieb und IT – meist an einem Vormittag.
- Verzeichnis und TOM: auf Ihren tatsächlichen Stand geschrieben. Technische Fragen klären wir bei Bedarf direkt mit Ihrer IT oder mit unseren Kollegen von BES Systemhaus.
- Lücken und Maßnahmenplan: priorisiert, mit Aufwand und Zuständigkeit.
- Löschkonzept, Verträge, Prozesse: Fristen, AV-Verträge und die Abläufe für Auskunft und Datenpanne.
- Pflege: Ein Datenschutzkonzept veraltet mit jeder neuen Software. Als externer Datenschutzbeauftragter halten wir es aktuell.
Häufige Fragen zum Datenschutzkonzept
Kostenloser Selbsttest: Sieben Fragen zeigen, ob Sie einen Datenschutzbeauftragten brauchen und wo Ihre Dokumentation Lücken hat. Zum DSGVO-Check
Ist ein Datenschutzkonzept Pflicht?
Ein Dokument mit diesem Namen schreibt die DSGVO nicht vor. Pflicht sind aber die Inhalte: das Verarbeitungsverzeichnis, angemessene TOM, AV-Verträge und der Nachweis, dass Sie die Grundsätze einhalten. Das Datenschutzkonzept fasst diese Pflichten zusammen.
Was ist der Unterschied zwischen Datenschutzkonzept und TOM?
Die TOM sind ein Teil des Datenschutzkonzepts. Sie beschreiben die Schutzmaßnahmen nach Art. 32 DSGVO. Das Datenschutzkonzept umfasst darüber hinaus Verzeichnis, Löschkonzept, Verträge, Rollen und Prozesse.
Wie oft muss das Datenschutzkonzept aktualisiert werden?
Immer dann, wenn sich etwas Wesentliches ändert – neue Software, neuer Dienstleister, neuer Standort. Zusätzlich empfiehlt sich eine jährliche Überprüfung; Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen.
Brauchen kleine Unternehmen ein Datenschutzkonzept?
Ja. Das Verarbeitungsverzeichnis ist auch unter 250 Beschäftigten Pflicht, sobald Daten nicht nur gelegentlich verarbeitet werden – bei Lohnabrechnung oder Kundendaten ist das praktisch immer der Fall. TOM und AV-Verträge gelten unabhängig von der Größe.
Kann ich eine Vorlage verwenden?
Als Gliederung ja. Der Inhalt muss aber zu Ihrem Betrieb passen – eine TOM-Liste, die Maßnahmen verspricht, die es nicht gibt, ist im Prüffall schlechter als eine ehrliche Lücke mit Maßnahmenplan.
Weiterlesen: DSGVO-Beratung · AV-Vertrag · Datenschutz-Audit · Datenschutzkoordinator · Checklisten
Datenschutzkonzept anfragen
Im kostenlosen Erstgespräch klären wir, was bei Ihnen schon vorhanden ist und was fehlt – vor Ort in Bayern, digital bundesweit.