Technische und organisatorische Maßnahmen (TOM)

Rechtsgrundlage der technischen und organisatorischen Maßnahmen

Artikel 32 Abs. 1 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Zu berücksichtigen sind der Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen.

Die Vorschrift nennt beispielhaft:

1. Pseudonymisierung und Verschlüsselung personenbezogener Daten
2. die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer sicherzustellen
3. die Fähigkeit, die Verfügbarkeit der Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen
4. ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen

Weitere Bezüge in der DSGVO:

• Art. 5 Abs. 1 lit. f: Grundsatz der Integrität und Vertraulichkeit
• Art. 24: Verantwortung des Verantwortlichen, geeignete Maßnahmen umzusetzen und nachweisen zu können
• Art. 25: Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
• Art. 28 Abs. 3 lit. c: Auftragsverarbeiter müssen die Maßnahmen nach Art. 32 ergreifen; das wird im Vertrag zur Auftragsverarbeitung festgehalten
• Art. 30 Abs. 1 lit. g: Das Verzeichnis der Verarbeitungstätigkeiten enthält, wenn möglich, eine allgemeine Beschreibung der TOM

Gliederung der Maßnahmen

Die DSGVO schreibt keine Gliederung vor. In der Praxis haben sich zwei Ansätze verbreitet.

Klassische Kontrollbereiche

Viele TOM-Dokumentationen orientieren sich noch an den Kontrollzielen aus dem früheren Bundesdatenschutzgesetz, die sich in ähnlicher Form heute in § 64 BDSG für den Bereich von Polizei und Justiz finden:

• Zutrittskontrolle: Wer kommt in Räume mit Datenverarbeitungsanlagen? Schließanlage, Besucherregelung, verschlossener Serverraum.
• Zugangskontrolle: Wer kann Systeme benutzen? Individuelle Konten, starke Passwörter, Zwei-Faktor-Authentifizierung, Bildschirmsperre.
• Zugriffskontrolle: Wer sieht welche Daten? Rollen- und Berechtigungskonzept, Prinzip der minimalen Rechte, regelmäßige Rechteüberprüfung.
• Weitergabekontrolle: Wie werden Daten übertragen? Verschlüsselte Verbindungen, verschlüsselter Versand, Regeln für Datenträger.
• Eingabekontrolle: Lässt sich nachvollziehen, wer Daten eingegeben oder geändert hat? Protokollierung in Fachanwendungen.
• Auftragskontrolle: Werden Dienstleister sorgfältig ausgewählt, vertraglich gebunden und überprüft?
• Verfügbarkeitskontrolle: Datensicherung, Virenschutz, unterbrechungsfreie Stromversorgung, Notfallplan.
• Trennungskontrolle: Werden Daten für unterschiedliche Zwecke getrennt verarbeitet?

Standard-Datenschutzmodell

Die Datenschutzkonferenz (DSK) hat mit dem Standard-Datenschutzmodell (SDM) eine Methode beschlossen, die Maßnahmen an Gewährleistungszielen ausrichtet: Datenminimierung, Verfügbarkeit, Integrität, Vertraulichkeit, Nichtverkettung, Transparenz und Intervenierbarkeit. Das SDM verbindet die rechtlichen Anforderungen der DSGVO mit konkreten Maßnahmen und wird von Aufsichtsbehörden für Prüfungen genutzt. Ein Katalog von Referenzmaßnahmen ergänzt die Methode.

TOM und IT-Grundschutz

Die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit sind in DSGVO und IT-Grundschutz dieselben, der Blickwinkel unterscheidet sich aber: Der Datenschutz schützt die betroffenen Personen, die Informationssicherheit die Informationen und Geschäftsprozesse des Unternehmens. In der Praxis überschneiden sich die Maßnahmen stark. Das IT-Grundschutz-Kompendium enthält mit dem Baustein CON.2 Datenschutz eine Verbindung zum SDM. Wer nach IT-Grundschutz oder ISO 27001 arbeitet, kann einen großen Teil seiner TOM aus dieser Dokumentation ableiten. Datenschutzspezifische Punkte wie Löschkonzept, Zweckbindung oder Betroffenenrechte kommen hinzu.

Dokumentation in der Praxis

Aufbau einer TOM-Beschreibung

• Geltungsbereich: Standorte, Systeme, Verarbeitungen
• Maßnahmen je Kontrollbereich oder Gewährleistungsziel, konkret formuliert («Zugriff auf die Lohnbuchhaltung nur für zwei benannte Personen»), nicht abstrakt («angemessene Zugriffsregeln»)
• Verweise auf Richtlinien, Konzepte und Nachweise
• Datum, Version, verantwortliche Person

Häufige Schwächen

• Mustertexte, die nicht zum Betrieb passen
• Maßnahmen, die auf dem Papier stehen, aber nicht gelebt werden
• fehlende Überprüfung, obwohl Art. 32 Abs. 1 lit. d sie ausdrücklich fordert
• veraltete Angaben nach Systemwechseln oder Umzug

Überprüfung

Legen Sie einen festen Rhythmus fest, zum Beispiel jährlich und nach größeren Änderungen. Halten Sie das Ergebnis mit Datum fest. Prüfen Sie dabei stichprobenartig, ob die Maßnahmen wirken: Funktioniert die Wiederherstellung aus der Datensicherung? Sind Berechtigungen ausgeschiedener Beschäftigter entfernt? Sind Updates eingespielt?

Auftragsverarbeitung

Wenn Sie Dienstleister mit der Verarbeitung personenbezogener Daten beauftragen, etwa für Cloud-Speicher, Lohnabrechnung oder IT-Betreuung, müssen Sie sich nach Art. 28 DSGVO von deren TOM überzeugen. Umgekehrt erwarten Ihre Kunden eine TOM-Beschreibung, wenn Sie für sie Daten verarbeiten. Eine aktuelle, konkrete TOM-Dokumentation spart hier viel Abstimmungsaufwand.

TOM und NIS-2

Für Unternehmen, die unter NIS-2 fallen, gelten zusätzlich die Risikomanagementmaßnahmen nach § 30 BSIG. Viele Maßnahmen überschneiden sich, etwa Zugriffskontrolle, Verschlüsselung, Datensicherung und Schulung. Es lohnt sich, beide Anforderungen in einer gemeinsamen Maßnahmenübersicht zu führen, statt getrennte Dokumentationen zu pflegen. Eine Tabelle mit Maßnahme, Rechtsgrundlage und Nachweis reicht dafür aus.