TOM Datenschutz: Checkliste technisch-organisatorischer Maßnahmen

Technisch-organisatorische Maßnahmen (TOM) machen aus „wir nehmen Sicherheit ernst“ etwas, das eine Behörde überprüfen kann. Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind - und „angemessen“ heißt konkret und dokumentiert, nicht ein Satz guter Absichten. Diese Checkliste zeigt die technischen und die organisatorischen Maßnahmen, die ein KMU braucht, wie detailliert sie sein müssen und wie sie mit ROPA und Auftragsverarbeitungsverträgen zusammenhängen.

Was sind technisch-organisatorische Maßnahmen?

Was verlangt Artikel 32 konkret?

Art. 32 verlangt, personenbezogene Daten mit Maßnahmen zu schützen, die dem Risiko angemessen sind - abgedeckt sind Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie die Fähigkeit, den Zugriff nach einem Vorfall wiederherzustellen. Es gibt keine feste Liste vor; es erwartet, dass Sie passende Maßnahmen wählen und dokumentieren. Für die meisten KMU heißt das: ein klarer, konkreter Satz technischer Kontrollen plus die organisatorischen Regeln drumherum.

Checkliste: technische Maßnahmen

Welche technischen Maßnahmen brauche ich?

• Verschlüsselung - Daten im Transit (TLS) und im Ruhezustand (AES-256 oder vergleichbar).
• Zugriffskontrolle - nur wer Zugriff braucht, bekommt ihn; Rollen und Rechte dokumentiert.
• Backups - regelmäßige, getestete Sicherungen mit definierter Wiederherstellungszeit.
• Logging - Protokolle, wer wann auf welche Daten zugegriffen hat.
• Pseudonymisierung - Identifikatoren von Inhaltsdaten trennen, wo möglich.
• Patch- und Endgeräte-Management - Systeme aktuell halten; Geräte absichern.

Checkliste: organisatorische Maßnahmen

Welche organisatorischen Maßnahmen brauche ich?

• Rollen und Verantwortlichkeiten - wer ist für welche Verarbeitung zuständig.
• Schulungen - Mitarbeitende wissen, wie sie mit Daten in ihrer Rolle umgehen.
• Löschkonzept - was wird wann nach welchem Prozess gelöscht.
• Richtlinien - BYOD, Clean Desk, Passwortregeln.
• Vorfallmanagement - wer wird wann informiert, abgestimmt auf die 72-Stunden-Frist.
• Dienstleistersteuerung - AVVs vorhanden und TOM je Auftragsverarbeiter geprüft.

Wie konkret müssen TOM sein?

Reicht „angemessene Sicherheitsmaßnahmen“?

Nein. „Wir setzen angemessene Maßnahmen ein“ ist ein Platzhalter, den eine Behörde zurückweist. Konkret ist nachweisbar: „TLS 1.2+ im Transit, AES-256 im Ruhezustand, rollenbasierter Zugriff vierteljährlich geprüft, tägliche getestete Backups mit 24-Stunden-RTO.“ Je sensibler die Daten, desto mehr Detail. Nutzen Sie die Checkliste oben als Gerüst und füllen Sie sie mit Ihrer tatsächlichen Konfiguration.

Wie TOM mit ROPA und AVV zusammenhängen

Wo stehen TOM in der Dokumentation?

Im Verzeichnis der Verarbeitungstätigkeiten verweist jeder Eintrag auf die geltenden TOM - direkt oder als Link auf ein TOM-Dokument. In jedem Auftragsverarbeitungsvertrag verlangt die DSGVO, dass die TOM des Auftragsverarbeiters ausreichend beschrieben werden; ein AVV ohne konkrete TOM ist unvollständig. Ein gepflegtes TOM-Dokument, überall referenziert, ist sauberer als Maßnahmen mehrfach zu wiederholen.

Quellen & weiterführende Links