Definition
Technische und organisatorische Maßnahmen (TOM) sind Vorkehrungen, die dazu dienen, die Sicherheit und den Schutz personenbezogener Daten zu gewährleisten. Sie umfassen alle technischen Einrichtungen und organisatorischen Prozesse, die den unbefugten Zugriff, die Veränderung oder die Löschung von Daten verhindern sollen. TOM sind ein zentraler Bestandteil des Datenschutzes und müssen von Verantwortlichen und Auftragsverarbeitern umgesetzt werden.
Der Begriff ist insbesondere in der Datenschutz-Grundverordnung (DSGVO) verankert, die in Artikel 32 konkrete Anforderungen an die Sicherheit der Verarbeitung stellt. Dabei sollen die Maßnahmen dem Stand der Technik, den Implementierungskosten sowie der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung angemessen sein. Ziel ist es, Risiken für die Rechte und Freiheiten betroffener Personen zu minimieren.
Was bedeutet das für Ihr Unternehmen?
Die TOM sind die schriftliche Antwort auf die Frage, wie Ihr Unternehmen personenbezogene Daten schützt, und werden bei jedem Auftragsverarbeitungsvertrag als Anlage verlangt. Viele Unternehmen nutzen dafür Musterlisten, die mit der eigenen Praxis wenig zu tun haben, was bei einer Prüfung oder nach einer Datenpanne auffällt. Beschreiben Sie nur, was tatsächlich umgesetzt ist, etwa Passwortregeln, Backups oder Zugriffsrechte, und aktualisieren Sie die Liste bei neuen Systemen.
Rechtliche Grundlage und Hintergrund
Die Verpflichtung zur Umsetzung technischer und organisatorischer Maßnahmen ergibt sich aus der Datenschutz-Grundverordnung (DSGVO), die im Mai 2018 in Kraft trat und die Verarbeitung personenbezogener Daten in der Europäischen Union regelt. Artikel 32 der DSGVO fordert von Verantwortlichen und Auftragsverarbeitern, geeignete Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Vor der DSGVO war die Umsetzung von TOM bereits im Bundesdatenschutzgesetz (BDSG) geregelt, das jedoch durch die DSGVO ergänzt und teilweise ersetzt wurde. Die Anforderungen an TOM sind seither stärker risikobasiert und technologieneutral formuliert, um eine flexible Anpassung an unterschiedliche Verarbeitungsszenarien zu ermöglichen.
Arten technischer Maßnahmen
Technische Maßnahmen beziehen sich auf den Einsatz von Hard- und Softwarelösungen, die den Schutz personenbezogener Daten sicherstellen. Dazu zählen beispielsweise Verschlüsselungstechnologien, Firewalls, Zugriffskontrollsysteme, Pseudonymisierung und regelmäßige Updates von Softwarekomponenten. Diese Maßnahmen sollen Angriffe von außen verhindern und die Integrität sowie Vertraulichkeit der Daten sicherstellen.
Weitere technische Maßnahmen umfassen die Protokollierung von Zugriffen, die Nutzung von sicheren Netzwerken sowie die Implementierung von Backup- und Wiederherstellungsverfahren. Die Auswahl der technischen Maßnahmen richtet sich nach dem jeweiligen Risiko und dem Stand der Technik, der sich durch technologische Fortschritte kontinuierlich weiterentwickelt.
Arten organisatorischer Maßnahmen
Organisatorische Maßnahmen betreffen die Gestaltung interner Prozesse und Regelungen innerhalb eines Unternehmens oder einer Organisation, die den Datenschutz sicherstellen. Dazu gehören unter anderem Schulungen der Mitarbeiter, die Einführung von Datenschutzrichtlinien, die Benennung von Datenschutzbeauftragten und die Durchführung von Risikoanalysen.
Zudem zählen Zugangs- und Zutrittskontrollen zu den organisatorischen Maßnahmen, ebenso wie die Festlegung von Verantwortlichkeiten und die Dokumentation von Datenschutzprozessen. Diese Maßnahmen sollen sicherstellen, dass technische Schutzvorkehrungen richtig angewendet und eingehalten werden.
Anwendung in der Praxis
In der Praxis sind technische und organisatorische Maßnahmen individuell an die jeweiligen Anforderungen und Risiken der Datenverarbeitung anzupassen. Unternehmen müssen regelmäßig überprüfen, ob ihre Maßnahmen noch angemessen sind und gegebenenfalls Anpassungen vornehmen. Dies erfolgt häufig im Rahmen von Datenschutz-Folgenabschätzungen oder internen Audits.
Die Dokumentation der TOM ist ebenfalls wichtig, um im Falle von Kontrollen durch Aufsichtsbehörden oder bei Datenschutzvorfällen nachweisen zu können, dass angemessene Schutzmaßnahmen implementiert wurden. Die Umsetzung der Maßnahmen betrifft sowohl Verantwortliche als auch Auftragsverarbeiter, die in Verträgen zur Auftragsverarbeitung entsprechende Verpflichtungen eingehen müssen.
Abgrenzung zu verwandten Begriffen
Technische und organisatorische Maßnahmen unterscheiden sich von allgemeinen Sicherheitsmaßnahmen dadurch, dass sie speziell auf den Schutz personenbezogener Daten ausgerichtet sind. Während IT-Sicherheitsmaßnahmen oft einen breiteren Fokus auf die gesamte IT-Infrastruktur haben, beziehen sich TOM gezielt auf Datenschutzaspekte.
Ein verwandter Begriff ist die Datensicherheit, die als Oberbegriff für alle Maßnahmen zum Schutz von Daten verstanden wird. TOM sind somit ein Teilbereich der Datensicherheit mit besonderem Fokus auf die Einhaltung datenschutzrechtlicher Vorgaben. Im Unterschied dazu umfasst Informationssicherheit auch den Schutz von Informationen, die nicht personenbezogen sind.