Technische und organisatorische Maßnahmen (TOMs) konkret

Kurz: TOMs sind die Schutzmaßnahmen, mit denen ein Unternehmen personenbezogene Daten sichert: von Zugriffsrechten und Verschlüsselung bis Schulungen und Notfallplänen.

Genauer: Art. 32 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen“, abhängig von Stand der Technik, Kosten, Art und Umfang der Verarbeitung und Risiko für Betroffene. In Verträgen (Auftragsverarbeitung), Datenschutzdokumentation und Prüfungen taucht daher immer eine TOM-Liste auf. Dies ist allgemeine Information und keine Rechtsberatung; Gesetze ändern sich, und Einzelfälle können anders liegen. Bei konkreten Problemen hilft eine Beratung (Verbraucherzentrale, Anwalt, Datenschutzaufsicht).

Im Detail

Technische Maßnahmen (Beispiele)

• Verschlüsselung von Daten bei Speicherung und Übertragung (TLS, Festplatten-/Datenbankverschlüsselung).
• Zugriffskontrolle: Benutzerkonten, Rollen und Rechte, Zwei-Faktor, Passwortrichtlinien, Sperrung bei Fehlversuchen.
• Pseudonymisierung/Anonymisierung.
• Protokollierung (Logs) und Überwachung.
• Backups und Wiederherstellungstests, Ausfallsicherheit.
• Firewalls, Updates/Patch-Management, Virenschutz, Netzwerksegmentierung.
• Trennung von Test-/Produktivdaten, Mandantentrennung.

Organisatorische Maßnahmen (Beispiele)

• Richtlinien (Datenschutz, Passwörter, Clean Desk, Mobile Geräte).
• Schulung und Verpflichtung der Mitarbeitenden zur Vertraulichkeit.
• Berechtigungskonzept (Need-to-know), Ein- und Austrittsprozesse.
• Auftragsverarbeitungsverträge mit Dienstleistern, Lieferantenprüfung.
• Notfall- und Meldeprozess bei Datenpannen (72 Stunden).
• Löschkonzept und Aufbewahrungsfristen.
• Besucherregelung, Schließsystem, Aktenvernichtung.
• Regelmäßige Überprüfung und Dokumentation (Wirksamkeit prüfen).

Gliederung der Schutzziele

TOMs werden oft nach Zielen gegliedert: Vertraulichkeit (Zutritts-, Zugangs-, Zugriffskontrolle, Trennung), Integrität (Weitergabe-, Eingabekontrolle), Verfügbarkeit und Belastbarkeit (Backup, Wiederherstellung), Verfahren zur regelmäßigen Überprüfung. So lassen sie sich dem Risiko zuordnen, das etwa die Schutzbedarfsfeststellung ermittelt.

Praxis für kleine Betriebe

Beginne mit einer kurzen Liste der tatsächlich umgesetzten Maßnahmen: Passwortmanager, Updates, Backups, Verschlüsselung der Geräte, Zwei-Faktor, Zugriffsrechte, Schulung, Vertragsmuster. Ehrlich dokumentieren, was wirklich gilt, nicht Wunschlisten. Überprüfe mindestens jährlich. Muster liefern Aufsichtsbehörden, BSI-Grundschutz, Branchenverbände.

Siehe auch: Schutzbedarfsfeststellung, Auftragsverarbeitung (AVV), Datenpanne und Meldepflicht, ISO 27001 und BSI-Grundschutz