Technische und organisatorische Maßnahmen (TOM) sind alle Vorkehrungen, mit denen Sie personenbezogene Daten vor Verlust, Missbrauch und unbefugtem Zugriff schützen. Art. 32 DSGVO schreibt keine feste Liste vor. Sie müssen ein Schutzniveau sicherstellen, das dem Risiko angemessen ist, und dabei Stand der Technik, Kosten und die Art der Verarbeitung berücksichtigen. Die Maßnahmen dokumentieren Sie und überprüfen sie regelmäßig.
Was verlangt Art. 32 DSGVO?
Verantwortliche und Auftragsverarbeiter treffen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 Abs. 1 DSGVO). Dabei berücksichtigen Sie:
- den Stand der Technik,
- die Implementierungskosten,
- Art, Umfang, Umstände und Zwecke der Verarbeitung,
- die Eintrittswahrscheinlichkeit und Schwere des Risikos für die betroffenen Personen.
Das Gesetz nennt vier Maßnahmen, die "unter anderem" dazugehören:
- Pseudonymisierung und Verschlüsselung personenbezogener Daten (lit. a)
- Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer sicherstellen (lit. b)
- Rasche Wiederherstellung der Verfügbarkeit und des Zugangs nach einem physischen oder technischen Zwischenfall (lit. c)
- Regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen (lit. d)
Bei der Bewertung des Risikos zählen besonders Vernichtung, Verlust, Veränderung, unbefugte Offenlegung und unbefugter Zugang (Art. 32 Abs. 2 DSGVO). Außerdem müssen Sie sicherstellen, dass Beschäftigte Daten nur auf Anweisung verarbeiten (Art. 32 Abs. 4 DSGVO).
Risikobasiert: Wie viel Schutz ist genug?
Es gibt keine Maßnahme, die für alle passt. Ein Handwerksbetrieb mit Kundenadressen braucht weniger als eine Arztpraxis mit Befunden. Gehen Sie in drei Schritten vor:
- Schutzbedarf bestimmen: Welche Daten verarbeiten Sie, und was passiert, wenn sie verloren gehen oder in falsche Hände geraten?
- Maßnahmen auswählen: Legen Sie für jedes Schutzziel fest, was Sie tun.
- Wirksamkeit prüfen: Testen Sie Backups, Berechtigungen und Notfallpläne tatsächlich.
| Schutzbedarf | Beispiele für Daten | Typische Maßnahmen |
|---|---|---|
| normal | Kontaktdaten von Geschäftskunden, Bestellungen | Passwortregeln, Updates, Virenschutz, Backups, Rollenrechte |
| hoch | Personalakten, Bankdaten, Zugangsdaten, Bewerbungen | zusätzlich Mehr-Faktor-Anmeldung, Verschlüsselung der Datenträger, Protokollierung |
| sehr hoch | Gesundheitsdaten, Daten von Berufsgeheimnisträgern, große Datenbestände | zusätzlich Ende-zu-Ende-Verschlüsselung, strenge Trennung, regelmäßige Sicherheitstests |
Welche technischen und organisatorischen Maßnahmen sind typisch?
Viele TOM-Dokumente gliedern sich noch nach den acht Kontrollen aus dem alten BDSG. Das ist weiterhin eine brauchbare Struktur:
| Bereich | Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|---|
| Zutritt zu Räumen | Schließanlage, Alarmanlage, abschließbarer Serverraum | Schlüsselverwaltung, Besucherregelung |
| Zugang zu Systemen | persönliche Konten, Mehr-Faktor-Anmeldung, Bildschirmsperre | Passwortrichtlinie, Verfahren beim Austritt |
| Zugriff auf Daten | Rollen- und Rechtekonzept, Verschlüsselung | Freigabe von Rechten durch Vorgesetzte, jährliche Prüfung |
| Weitergabe | TLS, verschlüsselte Anhänge, sichere Portale | Regeln für E-Mail und Datenträger |
| Eingabe | Protokollierung von Änderungen | Zuständigkeiten festlegen |
| Auftrag | Zugriffsbeschränkung für Dienstleister | Auftragsverarbeitungsvertrag, Kontrolle |
| Verfügbarkeit | Backups nach der 3-2-1-Regel, Notstrom, Virenschutz | Notfallplan, Wiederherstellungstest |
| Trennung | getrennte Mandanten und Datenbanken | Zweckbindung in Prozessen |
Organisatorische Maßnahmen werden oft unterschätzt. Dazu gehören die Verpflichtung der Beschäftigten, regelmäßige Schulungen, eine Clean-Desk-Regel und ein geregelter Umgang mit Datenpannen.
Besondere Kategorien: § 22 Abs. 2 BDSG
Verarbeiten Sie Gesundheitsdaten oder andere besondere Kategorien nach Art. 9 DSGVO, verlangt § 22 Abs. 2 BDSG angemessene und spezifische Maßnahmen. Das Gesetz nennt unter anderem:
- nachträgliche Prüfbarkeit, ob und von wem Daten eingegeben, verändert oder entfernt wurden,
- Sensibilisierung der Beteiligten,
- Beschränkung des Zugangs innerhalb der Stelle,
- Pseudonymisierung und Verschlüsselung,
- Sicherstellung der Verfügbarkeit und Belastbarkeit, auch der raschen Wiederherstellung,
- ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen.
Dokumentation: das TOM-Dokument
Die Maßnahmen müssen Sie nachweisen können (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO). Das TOM-Dokument erfüllt drei Aufgaben:
- Teil des Verzeichnisses: Das Verzeichnis von Verarbeitungstätigkeiten enthält eine allgemeine Beschreibung der TOM (Art. 30 Abs. 1 lit. g DSGVO).
- Anlage zum Auftragsverarbeitungsvertrag: Dienstleister müssen ihre Maßnahmen nach Art. 32 DSGVO darlegen (Art. 28 Abs. 3 lit. c DSGVO). Prüfen Sie diese Anlage vor Vertragsschluss.
- Nachweis bei Prüfungen: Nach einer Datenpanne fragt die Aufsichtsbehörde fast immer nach den getroffenen Maßnahmen.
Beschreiben Sie konkret, was Sie tun. "Es werden angemessene Passwörter verwendet" hilft niemandem. Besser: "Passwörter mit mindestens 12 Zeichen, Mehr-Faktor-Anmeldung für E-Mail und Fernzugriff."
Hilfen für die Auswahl
- Das Standard-Datenschutzmodell der Datenschutzkonferenz ordnet Maßnahmen den Gewährleistungszielen zu.
- Der IT-Grundschutz des BSI liefert detaillierte Bausteine, vor allem für größere Organisationen.
- Genehmigte Verhaltensregeln oder Zertifizierungen können als Faktor herangezogen werden, um die Einhaltung nachzuweisen (Art. 32 Abs. 3 DSGVO).
Wie oft müssen Sie die Maßnahmen überprüfen?
Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung. Eine feste Frist nennt das Gesetz nicht. Üblich ist eine jährliche Prüfung. Zusätzlich prüfen Sie immer dann, wenn sich etwas ändert: neue Software, ein neuer Standort, ein Wechsel des IT-Dienstleisters oder eine Datenpanne. Halten Sie Ergebnis und Datum fest. Denken Sie außerdem an Art. 25 DSGVO: Neue Systeme stellen Sie schon bei der Auswahl datenschutzfreundlich ein, nicht erst im Nachhinein.
Beispiele aus Unternehmen
Steuerbüro mit 8 Beschäftigten: Mandantendaten sind Berufsgeheimnisse. Sinnvoll sind verschlüsselte Laptops, ein Mandantenportal statt E-Mail-Anhängen, Mehr-Faktor-Anmeldung und tägliche Backups mit Wiederherstellungstest.
Online-Shop: Wichtig sind sichere Anmeldung im Shop-Backend, zeitnahe Updates für Shopsystem und Plugins, Trennung von Test- und Livesystem und ein Rechtekonzept für den Kundenservice.
Arztpraxis: Zugriffsrechte nach Rolle, Bildschirme am Empfang nicht einsehbar, verschlüsselte Kommunikation mit Laboren und ein Notfallplan für den Ausfall der Praxissoftware.
Was passiert bei unzureichenden TOM?
Verstöße gegen Art. 32 DSGVO können mit Bußgeldern bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 lit. a DSGVO). Ein bekanntes Beispiel betraf einen Telekommunikationsanbieter: Anrufer erhielten im Callcenter schon mit Name und Geburtsdatum Auskunft über Kundendaten. Der Bundesbeauftragte für den Datenschutz verhängte 2019 ein Bußgeld von 9,55 Millionen Euro, das Landgericht Bonn setzte es 2020 auf 900.000 Euro herab. Hinzu kommen Schadensersatzforderungen nach Art. 82 DSGVO, wenn eine Datenpanne auf schwache Maßnahmen zurückgeht.
Checkliste
- Schutzbedarf der wichtigsten Daten bestimmt
- Maßnahmen je Bereich festgelegt und konkret beschrieben
- Mehr-Faktor-Anmeldung für E-Mail, Fernzugriff und Cloud eingerichtet
- Backups vorhanden und Wiederherstellung getestet
- Rechtekonzept dokumentiert und jährlich geprüft
- Beschäftigte verpflichtet und geschult
- TOM der Dienstleister geprüft
- Überprüfungstermin festgelegt
Ob Ihre Maßnahmen zum Risiko passen, lässt sich in einem Datenschutz-Audit klären. Ist trotz aller Vorsorge etwas passiert, finden Sie die nächsten Schritte unter Datenpanne melden.