Was verlangt die DSGVO?
Artikel 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, geeignete technische und organisatorische Maßnahmen zu treffen. Zu berücksichtigen sind der Stand der Technik, die Kosten, Art und Umfang der Verarbeitung sowie Wahrscheinlichkeit und Schwere des Risikos. Genannt werden unter anderem:[1]
- Pseudonymisierung und Verschlüsselung personenbezogener Daten
- die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme dauerhaft sicherzustellen
- die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen
- ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der Maßnahmen
Beispiele für TOM
| Bereich | Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|---|
| Zutritt | Schließanlage, abgeschlossener Serverraum | Schlüsselregelung, Besucherbegleitung |
| Zugang | Passwortrichtlinie, Multi-Faktor-Anmeldung | Regeln für Ein- und Austritte |
| Zugriff | Berechtigungskonzept, Protokollierung | Rechte nach dem Prinzip „so wenig wie nötig“ |
| Weitergabe | verschlüsselte E-Mail und VPN | Regeln für den Datenaustausch |
| Verfügbarkeit | Backups, USV, Virenschutz, Updates | Notfallplan, Wiederherstellungstests |
| Dienstleister | Fernzugänge nur mit MFA | Auftragsverarbeitungsverträge, Auswahl und Kontrolle |
| Überprüfung | Schwachstellenscans | jährliche Durchsicht der TOM |
TOM im Auftragsverarbeitungsvertrag
Wer einen Dienstleister personenbezogene Daten verarbeiten lässt, braucht einen Auftragsverarbeitungsvertrag. Darin muss sich der Dienstleister verpflichten, die nach Artikel 32 erforderlichen Maßnahmen zu ergreifen.[2] In der Praxis hängt dem Vertrag deshalb eine Anlage mit den TOM des Dienstleisters an. Umgekehrt fragen Kunden Sie nach Ihren TOM, wenn Sie selbst Daten im Auftrag verarbeiten.
Beispiel aus der Praxis
Eine Unternehmensberatung soll für einen Konzernkunden Personaldaten auswerten und muss vorab ihre TOM nachweisen. Bisher gibt es nur eine allgemeine Datenschutzerklärung. Gemeinsam mit dem IT-Dienstleister entsteht eine Übersicht auf drei Seiten, gegliedert wie die Tabelle oben. Dabei fallen zwei Lücken auf: Notebooks waren nicht verschlüsselt, und für Austritte gab es keine Checkliste. Beides wird behoben, dann geht die Übersicht an den Kunden.
TOM vs. IT-Sicherheitskonzept
Die TOM beschreiben, welche Maßnahmen zum Schutz personenbezogener Daten getroffen sind; sie sind vor allem ein Nachweis gegenüber Kunden und Aufsichtsbehörden. Das IT-Sicherheitskonzept ist breiter: Es betrachtet alle Daten und Systeme, auch ohne Personenbezug, und leitet die Maßnahmen aus einer Risikoanalyse ab. Gut gemacht, verweisen beide aufeinander.
Kurz gesagt
TOM sind die technischen und organisatorischen Maßnahmen, mit denen ein Unternehmen personenbezogene Daten nach Artikel 32 DSGVO schützt. Sie müssen dem Risiko angemessen, dokumentiert und regelmäßig überprüft sein und spielen in jedem Auftragsverarbeitungsvertrag eine zentrale Rolle.
Weiterlesen: Telefonie und Datenschutz, Wie sichere ich Geschäftsdaten?, IT-Sicherheitskonzept für den Mittelstand