Technische und organisatorische Maßnahmen (TOM): was die DSGVO verlangt, mit Beispielen
Technische und organisatorische Maßnahmen, kurz TOM, sind die Schutzmaßnahmen, mit denen Sie personenbezogene Daten sichern. Art. 32 DSGVO verlangt, dass sie zum Risiko passen und dokumentiert sind. Hier finden Sie die Anforderungen, eine bewährte Gliederung und typische Beispiele für jeden Bereich.
Wo TOM gebraucht werden
- Anlage zum Auftragsverarbeitungsvertrag (Art. 28 DSGVO)
- Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)
- Datenschutz-Folgenabschätzung (Art. 35 DSGVO)
- Nachweis gegenüber der Aufsichtsbehörde (Art. 5 Abs. 2 DSGVO)
- Audits, Ausschreibungen und Kundenanfragen
Kurz beantwortet: TOM sind alle technischen und organisatorischen Maßnahmen, die die Sicherheit personenbezogener Daten gewährleisten. Nach Art. 32 DSGVO müssen Verantwortliche und Auftragsverarbeiter ein Schutzniveau sicherstellen, das dem Risiko angemessen ist. Dabei berücksichtigen sie den Stand der Technik, die Kosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung. Technische Maßnahmen betreffen Systeme, etwa Verschlüsselung oder Zugriffsrechte. Organisatorische Maßnahmen betreffen Abläufe, etwa Schulungen, Richtlinien oder Vertretungsregeln.
Was Art. 32 DSGVO konkret verlangt
Art. 32 Abs. 1 DSGVO nennt vier Punkte, die die Maßnahmen „unter anderem“ umfassen:
- Pseudonymisierung und Verschlüsselung personenbezogener Daten.
- Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer sicherstellen.
- Rasche Wiederherstellung der Verfügbarkeit und des Zugangs zu den Daten nach einem physischen oder technischen Zwischenfall.
- Regelmäßige Überprüfung der Wirksamkeit der Maßnahmen.
Eine feste Liste schreibt die DSGVO nicht vor. Welche Maßnahmen angemessen sind, ergibt sich aus der Risikobewertung. Wer Gesundheitsdaten verarbeitet, braucht ein höheres Schutzniveau als ein Handwerksbetrieb mit Kundenadressen. Verstöße gegen Art. 32 können mit einem Bußgeld von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 DSGVO).
Bewährte Gliederung: acht Kontrollbereiche mit Beispielen
In der Praxis werden TOM meist nach den acht Kontrollbereichen gegliedert, die das frühere Bundesdatenschutzgesetz in seiner Anlage zu § 9 aufgeführt hat. Die Gliederung ist nicht mehr vorgeschrieben, sie ist aber verbreitet, und Prüfer wie Kunden kennen sie.
Zutrittskontrolle
Kein Zutritt Unbefugter zu Räumen mit Datenverarbeitung: Schlüsselregelung, Zutrittskarten, abgeschlossener Serverraum, Besucherbegleitung.
Zugangskontrolle
Keine Nutzung der Systeme durch Unbefugte: persönliche Benutzerkonten, Passwortrichtlinie, Mehr-Faktor-Anmeldung, automatische Bildschirmsperre.
Zugriffskontrolle
Jeder sieht nur, was er für seine Aufgabe braucht: Rollen- und Berechtigungskonzept, Protokollierung, regelmäßige Rechteprüfung.
Weitergabekontrolle
Schutz bei Übertragung und Transport: Verschlüsselung per TLS oder VPN, verschlüsselte Datenträger, sichere Entsorgung von Akten und Festplatten.
Eingabekontrolle
Nachvollziehbar, wer welche Daten eingegeben, geändert oder gelöscht hat: Protokolle, Änderungshistorie, individuelle Kennungen.
Auftragskontrolle
Dienstleister verarbeiten Daten nur nach Weisung: Auftragsverarbeitungsverträge, Auswahl und Kontrolle der Dienstleister.
Verfügbarkeitskontrolle
Schutz vor Verlust und Zerstörung: Datensicherung nach der 3-2-1-Regel, Virenschutz, unterbrechungsfreie Stromversorgung, Notfallplan.
Trennungsgebot
Daten für unterschiedliche Zwecke werden getrennt verarbeitet: getrennte Mandanten, Datenbanken oder Test- und Produktivsysteme.
Überprüfung
Verfahren zur regelmäßigen Kontrolle nach Art. 32 Abs. 1 lit. d: interne Audits, Wiederherstellungstests, Prüfung durch den Datenschutzbeauftragten.
Organisatorische Maßnahmen, die oft fehlen
Technik allein reicht nicht. In Prüfungen fehlen am häufigsten die organisatorischen Maßnahmen:
- Verpflichtung auf Vertraulichkeit aller Beschäftigten, die mit personenbezogenen Daten arbeiten.
- Regelmäßige Schulungen zu Datenschutz und Informationssicherheit, siehe Datenschutzschulung.
- Löschkonzept mit Fristen und Verantwortlichen, siehe Löschkonzept nach DSGVO.
- Meldeprozess für Datenpannen, damit die 72-Stunden-Frist eingehalten werden kann, siehe Datenpanne.
- Regeln für Homeoffice, mobile Geräte und private Endgeräte.
- Ein- und Austrittsprozess, damit Zugänge rechtzeitig angelegt und gesperrt werden.
So erstellen Sie Ihre TOM-Dokumentation
- Verarbeitungen erfassen: Grundlage ist das Verzeichnis der Verarbeitungstätigkeiten.
- Risiko bewerten: Welche Daten, welche Betroffenen, welche Folgen bei Verlust oder Missbrauch? Hilfe bietet die Risikoanalyse nach DSGVO.
- Ist-Zustand aufnehmen: mit IT, Personal und Geschäftsführung, Bereich für Bereich nach der Gliederung oben.
- Lücken schließen: fehlende Maßnahmen priorisieren und umsetzen.
- Dokumentieren: konkret und überprüfbar. „Daten werden gesichert“ genügt nicht, „tägliche verschlüsselte Sicherung, eine Kopie außer Haus, monatlicher Wiederherstellungstest“ schon.
- Regelmäßig aktualisieren: mindestens jährlich und bei jeder größeren Änderung an Systemen oder Dienstleistern.
Häufige Fragen zu technischen und organisatorischen Maßnahmen
Was sind TOM im Datenschutz?
TOM steht für technische und organisatorische Maßnahmen. Gemeint sind alle Vorkehrungen, mit denen ein Unternehmen personenbezogene Daten vor Verlust, Missbrauch und unbefugtem Zugriff schützt. Rechtsgrundlage ist Art. 32 DSGVO.
Was ist der Unterschied zwischen technischen und organisatorischen Maßnahmen?
Technische Maßnahmen setzen an Systemen und Geräten an, zum Beispiel Verschlüsselung, Firewall oder Zugriffsrechte. Organisatorische Maßnahmen regeln Abläufe und Verhalten, zum Beispiel Schulungen, Richtlinien, Vier-Augen-Prinzip oder Vertretungsregeln.
Muss jedes Unternehmen TOM dokumentieren?
Ja. Wer personenbezogene Daten verarbeitet, muss nach Art. 5 Abs. 2 DSGVO nachweisen können, dass die Daten angemessen geschützt sind. Ohne schriftliche Beschreibung der Maßnahmen ist dieser Nachweis kaum möglich. Auftragsverarbeiter brauchen die TOM zudem als Anlage zum Auftragsverarbeitungsvertrag.
Gibt es ein Muster für die TOM?
Die acht Kontrollbereiche oben eignen sich als Muster-Gliederung. Ein fertiges Muster ersetzt aber nicht die Prüfung, ob die Maßnahmen in Ihrem Unternehmen tatsächlich so umgesetzt sind. Entscheidend ist, dass die Beschreibung stimmt.
Wie oft müssen TOM überprüft werden?
Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung. Bewährt hat sich eine jährliche Prüfung sowie eine anlassbezogene Prüfung bei neuen Systemen, neuen Dienstleistern oder nach einem Sicherheitsvorfall.
Wer ist für die TOM verantwortlich?
Verantwortlich ist die Geschäftsleitung. Die Umsetzung liegt meist bei IT und Fachabteilungen. Der Datenschutzbeauftragte berät und prüft, ob die Maßnahmen angemessen sind, er setzt sie aber nicht selbst um.
Weiterlesen: Datenschutzkonzept · Auftragsverarbeitungsvertrag · Datenschutz-Folgenabschätzung · Datenschutz-Audit · Externer Datenschutzbeauftragter
TOM prüfen und dokumentieren lassen
Im kostenlosen Erstgespräch klären wir, wo Ihre technischen und organisatorischen Maßnahmen stehen und was für eine belastbare Dokumentation fehlt – aus Schwabach, Nürnberg und Weißenburg, vor Ort in Bayern und digital bundesweit.