Technische und organisatorische Maßnahmen

Technische und organisatorische Maßnahmen, kurz TOMs, schützen personenbezogene Daten vor unbefugtem Zugriff, Verlust, Veränderung und einer anderen unzulässigen Verarbeitung. Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Die Pflicht steht im Zusammenhang mit der Verantwortung des Unternehmens nach Art. 24 DSGVO und mit Datenschutz durch Technikgestaltung und datenschutzfreundlichen Voreinstellungen nach Art. 25 DSGVO.

Welche Maßnahmen angemessen sind, hängt von der Verarbeitung, den betroffenen Daten und den möglichen Folgen ab. Art. 32 DSGVO nennt unter anderem Pseudonymisierung und Verschlüsselung, die Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, Verfahren zur raschen Wiederherstellung sowie regelmäßige Prüfungen und Bewertungen der Wirksamkeit. Dazu gehören daher nicht nur IT-Einstellungen, sondern auch Berechtigungen, Zuständigkeiten, Schulungen, Notfallabläufe und die Kontrolle von Dienstleistern.

Für Unternehmen reicht eine allgemeine Sicherheitsliste nicht aus. Die Maßnahmen sollten zu den tatsächlichen Verarbeitungstätigkeiten passen, nachvollziehbar dokumentiert und bei Änderungen oder neuen Risiken überprüft werden. Bei Dienstleistern ist die Auftragsverarbeitung einzubeziehen. Die Prüfung eines Auftragsverarbeitervertrags und die Checkliste für Auftragsverarbeiter unterstützen bei der ersten Ordnung der Nachweise. Für Zuständigkeiten und laufende Kontrollen bietet die Seite zu Datenschutz-Governance und Compliance weitere Orientierung.