TOM einfach erklärt
Technische Maßnahmen stecken in Systemen und Einstellungen: Zugriffsrechte, Verschlüsselung, Firewall, Datensicherung. Organisatorische Maßnahmen sind Regeln, Zuständigkeiten und Abläufe.
Die beiden Seiten hängen voneinander ab. Ein Berechtigungskonzept im Verzeichnisdienst, etwa im Active Directory, ist technisch umgesetzt. Dass die Personalabteilung einen Austritt rechtzeitig an die IT meldet, ist eine organisatorische Regel. Fehlt sie, bleibt das Konto der ausgeschiedenen Person aktiv, so sorgfältig die Rechte auch eingerichtet sind.
Die Pflicht dazu steht in Art. 32 der DSGVO. Sie trifft nicht nur das Unternehmen, das über die Daten bestimmt, sondern ebenso jeden Dienstleister, der sie in dessen Auftrag verarbeitet.
Einen festen Katalog gibt die Verordnung nicht vor. Was angemessen ist, ergibt sich aus einer Abwägung: Auf der einen Seite stehen der Stand der Technik und der Aufwand für die Umsetzung. Auf der anderen zählen, welche Daten in welchem Umfang, unter welchen Umständen und wozu verarbeitet werden und wie wahrscheinlich und schwer ein Schaden für die betroffenen Personen wäre. Eine psychotherapeutische Praxis mit Behandlungsnotizen braucht deshalb einen höheren Schutz als ein Betrieb, der nur Kontaktdaten von Geschäftspartnern speichert.
Was Art. 32 DSGVO bei den TOM ausdrücklich nennt
Die Verordnung zählt einige Maßnahmen auf, die „gegebenenfalls unter anderem“ dazugehören. Die Tabelle zeigt, wie sie sich in einem kleinen oder mittleren Unternehmen umsetzen lassen.
| Anforderung | Beispiele aus dem IT-Betrieb |
|---|---|
| Pseudonymisierung und Verschlüsselung (Buchst. a) | Verschlüsselung von Notebooks, Smartphones und Verbindungen; Kennnummern statt Namen in Auswertungen |
| Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit (Buchst. b) | Rechte nach dem Bedarf der Aufgabe, Multi-Faktor-Authentifizierung, zeitnahe Updates per Patch-Management, unterbrechungsfreie Stromversorgung (USV) |
| Rasche Wiederherstellung nach einem Zwischenfall (Buchst. c) | Backup mit einer Kopie außer Haus, festgelegte Reihenfolge für den Wiederanlauf |
| Regelmäßige Überprüfung der Wirksamkeit (Buchst. d) | Rücksicherung testen, Benutzerkonten durchsehen, Maßnahmen einmal im Jahr bewerten |
Hinzu kommt eine organisatorische Pflicht aus Art. 32 Abs. 4: Wer Zugang zu personenbezogenen Daten hat, darf sie nur nach Anweisung verarbeiten. Dazu gehören in der Regel die Verpflichtung der Mitarbeitenden auf Vertraulichkeit und eine Einweisung, wie mit Kundendaten umzugehen ist.
Wie sich gute TOM auszahlen können, zeigt Art. 34 Abs. 3 Buchst. a DSGVO. Geht ein Gerät verloren, müssen die Betroffenen nicht benachrichtigt werden, wenn die Daten darauf für Unbefugte unzugänglich gemacht wurden, etwa durch Verschlüsselung. Ob eine Meldung an die Aufsichtsbehörde nötig ist, bleibt davon getrennt zu prüfen.
TOM beschreiben und aktuell halten
Die Maßnahmen müssen nicht nur bestehen, sondern sich auch belegen lassen. Nach Art. 24 muss der Verantwortliche nachweisen können, dass er die Verordnung einhält, und seine Maßnahmen bei Bedarf überprüfen und anpassen. Im Verzeichnis von Verarbeitungstätigkeiten sind die TOM allgemein zu beschreiben, wenn das möglich ist (Art. 30 Abs. 1 Buchst. g). Setzen Sie einen Dienstleister ein, bindet ihn der Vertrag zur Auftragsverarbeitung an eigene Maßnahmen nach Art. 32. Bitten Sie ihn um deren Beschreibung und bewahren Sie sie bei Ihren Datenschutzunterlagen auf.
Hilfreich sind Angaben, die sich nachprüfen lassen. „Die Daten werden regelmäßig gesichert“ sagt wenig. „Tägliche Sicherung des Dateiservers, eine Kopie außerhalb des Gebäudes, Rücksicherung zuletzt im März erfolgreich getestet“ zeigt dagegen, was tatsächlich geschieht. Eine neue Fassung ist fällig, wenn neue Cloud-Dienste hinzukommen, Mitarbeitende im Homeoffice arbeiten, das Unternehmen umzieht oder den Dienstleister wechselt.
Wenn ein Auftraggeber nach Ihren TOM fragt
Angenommen, ein Übersetzungsbüro mit zwölf Mitarbeitenden soll für eine Klinik Arztbriefe übersetzen. Bevor sie den Auftrag vergibt, verlangt die Klinik eine Beschreibung der TOM als Anlage zum Vertrag zur Auftragsverarbeitung. Das vorhandene Dokument wurde geschrieben, als alle im Büro saßen und die Dateien nur auf dem eigenen Server lagen.
Inzwischen liegen die Postfächer in Microsoft 365, zwei Übersetzerinnen arbeiten zeitweise zu Hause am Notebook, und freie Mitarbeitende erhalten Texte als Mailanhang. Beim Abgleich fallen drei Lücken auf: Die Notebooks sind nicht verschlüsselt, für Microsoft 365 genügt ein Kennwort, und wer welche Briefe erhalten hat, lässt sich nicht nachvollziehen.
Das Büro schaltet die Festplattenverschlüsselung ein und macht den zweiten Anmeldefaktor zur Pflicht. Texte für die freien Mitarbeitenden gehen künftig über eine Freigabe mit Ablaufdatum statt per Mail. Weil sie als weitere Auftragsverarbeiter gelten, braucht ihr Einsatz die vorherige Genehmigung der Klinik (Art. 28 Abs. 2). Erst danach geht die überarbeitete Beschreibung hinaus, mit Datum und einem Termin für die nächste Durchsicht.
Dieser Text ist keine Rechtsberatung. Was für Ihren Betrieb angemessen ist, bewerten Sie am besten zusammen mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten.
Wie ProNet unterstützt
Ob Ihre beschriebenen Maßnahmen zur tatsächlichen Technik passen, lässt sich mit einem IT-Sicherheitscheck klären. Wir nehmen auf, was technisch und organisatorisch umgesetzt ist, von Updates und Datensicherung über Zugänge und zweiten Faktor bis zu Richtlinien. Die Befunde ordnen wir nach dem Schutzbedarf Ihrer Daten und Abläufe; Lücken landen nach Dringlichkeit in einem Maßnahmenplan. Die Fakten für Ihre TOM-Beschreibung liefert auf Wunsch eine IT-Dokumentation mit Geräten, Einstellungen und Zugängen. Die datenschutzrechtliche Einordnung der Ergebnisse übernehmen wir nicht; sie gehört zu Ihrem betrieblichen Datenschutz.