ENKontakt
Gilt fürEUDEAT

TOM (Technische und Organisatorische Maßnahmen)

Sicherheitsmaßnahmen nach Art. 32 DSGVO — Pflicht für jeden Verantwortlichen

· Kategorie: DSGVO · Compliance-Kit

TL;DR

Technische und Organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO sind verpflichtende Sicherheitsvorkehrungen — abgestimmt auf Risikolage und Stand der Technik. Typische Kategorien: Pseudonymisierung, Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit, Wiederherstellbarkeit, regelmäßige Wirksamkeitsprüfung.

Was ist TOM (Technische und Organisatorische Maßnahmen)?

Art. 32 DSGVO verlangt risikoangemessene TOMs. Anders als ISO 27001 nennt die DSGVO keine konkrete Mindestliste. Stand der Technik wird laufend nachgehalten — BSI Grundschutz, ENISA Empfehlungen, ISO 27002.

Beispiele: Festplattenverschlüsselung, MFA, Backup-Strategie, Patch-Management, Berechtigungs-Konzept, Schulungen, Datenträger-Vernichtung nach DIN 66399.

Praxisbeispiel

Ein 30-Personen-Maschinenbauer dokumentiert 14 typische TOMs in einer Liste:

  1. MFA für alle Admin-Konten
  2. VPN für Remote-Zugriffe
  3. Festplattenverschlüsselung (BitLocker)
  4. Tägliches Backup mit 30-Tage-Retention
  5. Berechtigungskonzept nach Need-to-Know
  6. Schulungs-Pflichtschulung jährlich
  7. Patch-Management-Prozess
  8. Vier-Augen-Prinzip bei Sub-Vergabe
  9. Verschlossener Server-Raum + Zutrittsprotokoll
  10. SSL/TLS für alle Web-Services
  11. Pseudonymisierung in der Test-Umgebung
  12. DIN 66399-konforme Akten-Vernichtung
  13. Penetrationstest jährlich
  14. Notfall-Plan + Tabletop-Übung halbjährlich

Häufig gestellte Fragen

Reicht eine ISO 27001-Zertifizierung als TOM-Nachweis?
Als Grundlage ja, als alleiniger Nachweis nicht: Ein ISO-27001-ISMS deckt viele TOM-Anforderungen des Art. 32 DSGVO strukturell ab, ersetzt aber nicht die eigene Prüfung nach Art. 32. Lücken: spezifische Beschäftigtendatenschutz-Themen (in Deutschland § 26 BDSG — diese Norm gilt nur in Deutschland; zur Rechtslage in Österreich siehe Abschnitt „Rechtslage: Deutschland und Österreich“), Pseudonymisierung.
Wie oft TOMs aktualisieren?
Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOMs, nennt aber keine feste Frist. Praxis-Rhythmus (keine gesetzliche Frist): mindestens jährlich + bei wesentlichen Änderungen (neue IT-Systeme, neue Verarbeitungen, neue Bedrohungen). Den Review-Zyklus dokumentieren.
Müssen TOMs an Auftragsverarbeiter weitergegeben werden?
Nein, aber AV muss eigene TOMs nachweisen (Art. 28 Abs. 3 lit. c). Verantwortlicher prüft ihre Angemessenheit.

Rechtslage: Deutschland und Österreich

Art. 32 DSGVO ist eine EU-Verordnung und gilt in Deutschland und Österreich wortgleich: Die Pflicht zu risikoangemessenen TOMs und die genannten Kategorien (Pseudonymisierung, Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit, Wiederherstellbarkeit, regelmäßige Wirksamkeitsprüfung) sind in beiden Ländern identisch. Ein Unterschied entsteht erst beim angrenzenden Beschäftigtendatenschutz, den die DSGVO über die Öffnungsklausel des Art. 88 DSGVO dem nationalen Recht überlässt.

Deutschland: Die Verarbeitung von Beschäftigtendaten richtet sich ergänzend zur DSGVO nach § 26 BDSG. Diese Norm ist deutsches Spezialrecht und gilt nur in Deutschland.

Österreich: Einen § 26 BDSG gibt es nicht. Der Beschäftigtendatenschutz stützt sich auf Art. 88 bzw. Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 96 Abs. 1 Z 3 ArbVG (Regelung durch Betriebsvereinbarung) sowie das Datenschutzgesetz (DSG). Zuständige Aufsichtsbehörde ist die Datenschutzbehörde.

Siehe auch

Praxis-Hinweis: Dieser Artikel ist praxisorientierte Compliance-Dokumentation, keine Rechtsberatung. Wir sind Compliance-Spezialist, keine Anwaltskanzlei. Für rechtsverbindliche Auskünfte konsultieren Sie eine zugelassene Rechtsanwältin oder einen Rechtsanwalt.