Technisch-organisatorische Maßnahmen (TOM): DSGVO-Compliance sichern

Technisch-organisatorische Maßnahmen (TOM): DSGVO-Compliance sichern

Technisch-organisatorische Maßnahmen (TOM): Der ultimative Leitfaden zur DSGVO-Konformität

Inhaltsverzeichnis

Einleitung: Was sind Technisch-organisatorische Maßnahmen (TOM)?

In der digitalen Welt von heute sind Daten das wertvollste Gut eines Unternehmens. Ihr Schutz ist nicht nur eine Frage der IT-Sicherheit, sondern auch eine zentrale rechtliche Anforderung der Datenschutz-Grundverordnung (DSGVO, GDPR auf Englisch). Hier kommen die Technisch-organisatorische Maßnahmen (TOM) ins Spiel. Doch was verbirgt sich genau hinter diesem Begriff? Vereinfacht gesagt, sind TOM alle konkreten Vorkehrungen, die ein Unternehmen trifft, um die Sicherheit und den Schutz personenbezogener Daten zu gewährleisten. Sie bilden das Rückgrat jeder soliden Datenschutzstrategie und schaffen eine wichtige Synergie zwischen Datenschutz und IT-Sicherheit.

Dieser Leitfaden von MUNAS Consulting dient als umfassende Ressource für Unternehmen jeder Größe, Datenschutzbeauftragte und IT-Verantwortliche. Wir erklären die rechtlichen Grundlagen, geben praxisnahe Beispiele und zeigen, wie Sie effektive Technisch-organisatorische Maßnahmen (TOM) nicht nur implementieren, sondern als kontinuierlichen Prozess im Unternehmen verankern. Ziel ist es, ein angemessenes Schutzniveau für die von Ihnen verarbeiteten Daten zu schaffen und so die Anforderungen der DSGVO zu erfüllen.

Die rechtliche Grundlage: TOM in der DSGVO

Die primäre rechtliche Verpflichtung zur Umsetzung von TOM findet sich in Artikel 32 der DSGVO: Sicherheit der Verarbeitung. Dieser Artikel verpflichtet Verantwortliche und Auftragsverarbeiter dazu, „geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“. Das bedeutet, es gibt keinen allgemeingültigen Maßnahmenkatalog, der für jedes Unternehmen passt. Stattdessen fordert die DSGVO einen risikobasierten Ansatz.

Die Technisch-organisatorische Maßnahmen (TOM) stehen zudem in engem Zusammenhang mit den Grundsätzen der Datenverarbeitung gemäß Artikel 5 DSGVO. Insbesondere die Grundsätze der „Integrität und Vertraulichkeit“ sowie der „Speicherbegrenzung“ werden direkt durch die Implementierung von TOM unterstützt. Ohne wirksame Schutzmaßnahmen können diese fundamentalen Prinzipien nicht eingehalten werden. Eine sorgfältige Dokumentation der getroffenen TOM ist zudem ein wesentlicher Bestandteil der Rechenschaftspflicht (Artikel 5 Absatz 2 DSGVO), da Unternehmen nachweisen müssen, dass sie die Vorschriften einhalten.

Kategorien von TOM: Ein Überblick

Technisch-organisatorische Maßnahmen (TOM) lassen sich grob in zwei Hauptkategorien unterteilen: technische und organisatorische Maßnahmen. Beide sind untrennbar miteinander verbunden und ergänzen sich gegenseitig. Eine hochmoderne Firewall (technisch) ist nutzlos, wenn Mitarbeiter ihre Passwörter auf Klebezetteln am Monitor notieren (organisatorisch).

Technische Maßnahmen

Technische Maßnahmen beziehen sich auf alle Vorkehrungen, die direkt in die IT-Systeme und die Infrastruktur implementiert werden. Sie bilden die erste Verteidigungslinie gegen unbefugte Zugriffe und Datenverluste. Beispiele hierfür sind:

  • Verschlüsselung: Schutz von Daten während der Übertragung (z. B. durch TLS) und bei der Speicherung (z. B. Festplattenverschlüsselung).
  • Pseudonymisierung: Ersetzen von direkten Identifikatoren (wie Namen) durch Pseudonyme, um die Zuordnung zu einer Person zu erschweren.
  • Firewalls und Intrusion-Detection-Systeme: Überwachung und Steuerung des Netzwerkverkehrs zum Schutz vor Angriffen von außen.
  • Antiviren-Software und Malware-Schutz: Schutz der Systeme vor schädlicher Software.
  • Sichere Authentifizierungsverfahren: Einsatz von starken Passwörtern, Zwei-Faktor-Authentifizierung (2FA) oder biometrischen Verfahren.

Organisatorische Maßnahmen

Organisatorische Maßnahmen umfassen alle Regelungen, Prozesse und Verhaltensweisen, die den Umgang mit Daten und Systemen im Unternehmen steuern. Sie schaffen den Rahmen, in dem die technischen Maßnahmen wirksam werden können.

  • Datenschutzrichtlinien und Arbeitsanweisungen: Klare Vorgaben für Mitarbeiter zum Umgang mit personenbezogenen Daten.
  • Schulung und Sensibilisierung der Mitarbeiter: Regelmäßige Trainings zu Datenschutz und Informationssicherheit.
  • Berechtigungskonzepte: Festlegung, welcher Mitarbeiter auf welche Daten zugreifen darf (Need-to-know-Prinzip).
  • Clean-Desk- und Clean-Screen-Policy: Anweisungen, keine sensiblen Unterlagen oder ungesperrte Bildschirme unbeaufsichtigt zu lassen.
  • Regelmäßige Audits und Kontrollen: Überprüfung der Wirksamkeit der getroffenen Technisch-organisatorische Maßnahmen (TOM).
  • Management von Datenschutzvorfällen: Ein etablierter Prozess zur Erkennung, Meldung und Behebung von Datenpannen.

Wichtige Aspekte bei der Auswahl und Umsetzung von TOM

Artikel 32 DSGVO gibt vier wesentliche Kriterien vor, die bei der Auswahl und Implementierung von TOM berücksichtigt werden müssen. Diese helfen dabei, ein „angemessenes“ Schutzniveau zu definieren.

  1. Stand der Technik: Dies ist ein dynamischer Begriff. Die Maßnahmen müssen dem aktuellen technologischen Entwicklungsstand entsprechen. Was gestern noch sicher war, kann morgen bereits veraltet sein. Unternehmen müssen sich kontinuierlich über neue Bedrohungen und verfügbare Schutztechnologien informieren.
  2. Implementierungskosten: Die Kosten für die Umsetzung der Maßnahmen müssen in einem angemessenen Verhältnis zum Schutzbedarf stehen. Dies ist keine Ausrede, um auf notwendige Schutzmaßnahmen zu verzichten, sondern soll unverhältnismäßige Belastungen vermeiden.
  3. Art, Umfang, Umstände und Zwecke der Verarbeitung: Die Art der verarbeiteten Daten ist entscheidend. Die Verarbeitung von besonders sensiblen Daten (z. B. Gesundheitsdaten) erfordert ein deutlich höheres Schutzniveau und somit strengere Technisch-organisatorische Maßnahmen (TOM) als die Verarbeitung einfacher Kontaktdaten.
  4. Eintrittswahrscheinlichkeit und Schwere des Risikos: Eine Risikobewertung ist unerlässlich. Unternehmen müssen analysieren, welche potenziellen Gefahren für die Rechte und Freiheiten von Personen bestehen (z. B. Identitätsdiebstahl, finanzielle Verluste) und wie wahrscheinlich deren Eintreten ist. Auf Basis dieser Analyse werden die passenden TOM ausgewählt.

Praktische Beispiele für TOM in Unternehmen

Um die Theorie greifbarer zu machen, werden die klassischen „acht Datenschutzkontrollen“ oft als Struktur für die Dokumentation von Technisch-organisatorische Maßnahmen (TOM) verwendet. Hier sind konkrete Beispiele für jede Kontrolle:

Zutrittskontrolle

Ziel: Unbefugten den physischen Zutritt zu Räumlichkeiten und Anlagen, in denen Daten verarbeitet werden, zu verwehren.

  • Abschließbare Büros und Serverräume
  • Alarmanlagen und Videoüberwachung (unter Beachtung des Datenschutzes)
  • Schlüsselkarten oder Transponder-Systeme
  • Besucherregistrierung am Empfang

Zugangskontrolle

Ziel: Verhindern, dass Unbefugte IT-Systeme nutzen können.

  • Sichere Passwortrichtlinien (Länge, Komplexität, regelmäßiger Wechsel)
  • Zwei-Faktor-Authentifizierung (2FA) für kritische Systeme
  • Automatische Sperrung des Bildschirms nach kurzer Inaktivität
  • Einsatz von personalisierten Benutzerkonten (keine Sammel-Accounts)

Zugriffskontrolle

Ziel: Sicherstellen, dass Benutzer nur auf die Daten zugreifen können, für die sie eine Berechtigung haben (Need-to-know-Prinzip).

  • Rollenbasiertes Berechtigungskonzept
  • Differenzierte Zugriffsrechte (Lesen, Schreiben, Löschen)
  • Protokollierung von Zugriffen auf sensible Daten
  • Regelmäßige Überprüfung der vergebenen Berechtigungen

Weitergabekontrolle und Übertragungskontrolle

Ziel: Gewährleisten, dass Daten bei der Übertragung und während des Transports nicht unbefugt gelesen, kopiert oder verändert werden können.

  • Verschlüsselung von E-Mails (z. B. S/MIME oder PGP)
  • Nutzung von verschlüsselten Verbindungen (HTTPS, VPN)
  • Sichere Verfahren für den Datenaustausch (z. B. verschlüsselte USB-Sticks, sichere Cloud-Dienste)

Eingabekontrolle

Ziel: Nachträglich feststellen und überprüfen können, ob und von wem personenbezogene Daten in Systeme eingegeben, verändert oder entfernt worden sind.

  • Lückenlose Protokollierung (Logging) von systemrelevanten Aktionen
  • Versionierung von Dokumenten und Datensätzen
  • Nachvollziehbarkeit von Änderungen durch Benutzerkennungen und Zeit Stempel

Verfügbarkeitskontrolle und Belastbarkeit

Ziel: Schutz der Daten vor Zerstörung oder Verlust und Sicherstellung der schnellen Wiederherstellbarkeit.

  • Regelmäßige und getestete Datensicherungen (Backups)
  • Redundante Systemauslegung (z. B. gespiegelte Festplatten)
  • Unterbrechungsfreie Stromversorgung (USV)
  • Notfall- und Wiederherstellungspläne

Trennungskontrolle

Ziel: Sicherstellen, dass Daten, die zu unterschiedlichen Zwecken erhoben wurden, auch getrennt verarbeitet werden.

  • Logische Mandantentrennung in Softwareanwendungen
  • Getrennte Datenbanken oder Tabellen für unterschiedliche Verarbeitungstätigkeiten
  • Physische Trennung von Test- und Produktivsystemen

Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

Artikel 25 der DSGVO fordert „Datenschutz durch Technikgestaltung“ (Privacy by Design) und „datenschutzfreundliche Voreinstellungen“ (Privacy by Default). Diese Prinzipien sind eng mit den Technisch-organisatorische Maßnahmen (TOM) verknüpft. Privacy by Design bedeutet, dass der Datenschutz bereits bei der Entwicklung von neuen Prozessen, Produkten und Systemen von Anfang an mitgedacht wird. Anstatt Sicherheitslücken nachträglich zu schließen, werden Schutzmechanismen direkt integriert. Privacy by Default stellt sicher, dass in den Grundeinstellungen einer Anwendung immer die datenschutzfreundlichste Option vor eingestellt ist. Ein effektives TOM-Konzept berücksichtigt diese Prinzipien proaktiv.

Die Rolle des Datenschutzbeauftragten bei TOM

Der Datenschutzbeauftragte (DSB) ist eine wichtige Figur im Kontext der TOM. Seine Aufgabe ist es jedoch nicht, die Maßnahmen selbst zu implementieren – das ist die Verantwortung der Geschäftsführung und der Fachabteilungen. Der DSB agiert als Berater und Prüfer. Er unterstützt das Unternehmen bei der Risikobewertung, berät bei der Auswahl geeigneter Technisch-organisatorische Maßnahmen (TOM) und überwacht deren Umsetzung und Wirksamkeit. Er ist der interne Experte, der sicherstellt, dass die gewählten Maßnahmen den rechtlichen Anforderungen der DSGVO entsprechen.

Häufige Fehler bei der Implementierung von TOM und wie man sie vermeidet

Bei der Umsetzung von TOM können leicht Fehler passieren, die die gesamte Datenschutzstrategie untergraben. Hier sind einige der häufigsten Fallstricke:

  • Unzureichende Dokumentation: Maßnahmen werden zwar umgesetzt, aber nicht oder nur lückenhaft dokumentiert. Im Falle einer Prüfung durch die Aufsichtsbehörde fehlt der Nachweis.
  • „Set it and forget it“-Mentalität: TOM werden einmalig implementiert und danach nicht mehr überprüft oder angepasst. Dies ignoriert den „Stand der Technik“.
  • Vernachlässigung der physischen Sicherheit: Der Fokus liegt oft nur auf der digitalen Welt, während ungesicherte Aktenschränke oder Serverräume ein leichtes Ziel darstellen.
  • Mangelnde Mitarbeitersensibilisierung: Die besten technischen Systeme helfen wenig, wenn Mitarbeiter durch Unwissenheit Sicherheitsrisiken verursachen (z. B. Phishing-Mails).
  • Kein risikobasierter Ansatz: Es werden Standardmaßnahmen für alles angewendet, anstatt eine differenzierte Bewertung basierend auf dem Schutzbedarf der Daten vorzunehmen.

Diese Fehler lassen sich durch einen strukturierten Ansatz, regelmäßige Kontrollen und die Einbindung aller relevanten Abteilungen vermeiden. Unterstützung finden Unternehmen auch bei den Aufsichtsbehörden wie dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) oder den Landesbeauftragten, wie der LDI NRW.

TOM als kontinuierlicher Prozess: Überprüfung und Anpassung

Technisch-organisatorische Maßnahmen (TOM) sind kein einmaliges Projekt, sondern ein lebender Prozess. Die Bedrohungslandschaft, die technologischen Möglichkeiten und die internen Prozesse eines Unternehmens ändern sich ständig. Daher ist eine regelmäßige Überprüfung, Bewertung und Anpassung der TOM unerlässlich. Dies sollte mindestens einmal jährlich oder bei wesentlichen Änderungen (z. B. Einführung eines neuen IT-Systems) geschehen.

Zukünftige Strategien, insbesondere für die Jahre ab 2026, müssen sich auf neue Herausforderungen wie KI-gesteuerte Cyberangriffe und die Potenziale des Quantencomputings einstellen. Dies erfordert eine noch agilere und vorausschauender Gestaltung der Technisch-organisatorische Maßnahmen (TOM), die auf Resilienz und schnelle Anpassungsfähigkeit ausgelegt sind.

Fazit: Warum effektive TOM unverzichtbar sind

Effektive Technisch-organisatorische Maßnahmen (TOM) sind das Herzstück eines funktionierenden Datenschutzmanagements. Sie sind mehr als nur eine lästige Pflicht zur Erfüllung der DSGVO-Anforderungen. Sie sind eine entscheidende Investition in die Sicherheit Ihrer Unternehmenswerte, in das Vertrauen Ihrer Kunden und in die Zukunftsfähigkeit Ihres Geschäfts. Ein durchdachtes Konzept aus technischen und organisatorischen Schutzvorkehrungen minimiert das Risiko von Datenpannen, vermeidet empfindliche Bußgelder und stärkt Ihren Ruf als verantwortungsbewusstes Unternehmen.

Die Umsetzung und Pflege eines angemessenen Schutzniveaus kann komplex sein. Wenn Sie Unterstützung bei der Analyse, Konzeption oder Überprüfung Ihrer Technisch-organisatorische Maßnahmen (TOM) benötigen, steht Ihnen das Team von MUNAS Consulting gerne zur Seite. Kontaktieren Sie uns für eine professionelle Beratung auf unserer Webseite.

Thematisch passende Beiträge