Technische und organisatorische Maßnahmen (TOMs)

Ein Übersicht mit Beispielen

Die Datenschutz-Grundverordnung (DSGVO) fordert von Unternehmen, dass sie personenbezogene Daten durch umfassende technische und organisatorische Maßnahmen (TOMs) schützen. Diese Maßnahmen sind essenziell, um Risiken zu minimieren und die Sicherheit der Verarbeitung zu gewährleisten. In diesem Artikel finden Sie einen strukturierten Überblick über die Anforderungen sowie erweiterte Beispiele für technische und organisatorische Maßnahmen und deren Bedeutung im Datenschutzmanagement.

Warum sind TOMs erforderlich?

Die Erforderlichkeit von TOMs ergibt sich aus der DSGVO. Die folgenden Artikel sind besonders relevant:

  • Art. 5 DSGVO: Grundsätze der Verarbeitung personenbezogener Daten, insbesondere Vertraulichkeit, Integrität und Verfügbarkeit.
  • Art. 24 DSGVO: Verantwortung des Verantwortlichen zur Implementierung geeigneter Maßnahmen.
  • Art. 32 DSGVO: Sicherheitsanforderungen, die den Schutz vor unbefugtem Zugriff, Datenverlust und anderen Risiken gewährleisten.
  • Art. 25 DSGVO: Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.

Diese Regelungen verpflichten Unternehmen, sowohl technische als auch organisatorische Maßnahmen umzusetzen und diese regelmäßig zu überprüfen.

Technische Maßnahmen im Detail

Technische Maßnahmen umfassen IT-Lösungen und physische Sicherheitsvorkehrungen, die den Zugriff auf Daten kontrollieren, die Verfügbarkeit sichern und die Integrität gewährleisten.

  • Beispiele:

  • Ende-zu-Ende-Verschlüsselung bei Messengern.

  • VPN-Nutzung für sichere Verbindungen zu internen Netzwerken.

  • Verschlüsselte Festplatten (z. B. BitLocker, VeraCrypt).

  • Zweck: Schützt Daten vor Abfangen und Diebstahl während der Übertragung oder Speicherung.

  • Beispiele:

  • Einführung biometrischer Zugangssysteme (z. B. Fingerabdruck, Gesichtserkennung). – Achtung (!) Art. 9 DSGVO

  • Regelmäßige Passwordänderungen und Anforderungen an starke Passwörter.

  • Rollenbasierte Zugriffsrechte (Role-Based Access Control, RBAC).

  • Zweck: Stellt sicher, dass nur berechtigte Personen auf sensible Daten zugreifen können.

  • Beispiele:

  • Firewalls zur Kontrolle des Datenverkehrs zwischen Netzwerken.

  • Intrusion Detection/Prevention Systems (IDS/IPS).

  • Regelmäßige Sicherheitsupdates und Patch-Management.

  • Zweck: Schutz vor Cyberangriffen, Malware und Netzwerkverletzungen.

  • Beispiele:

  • Cloud-basierte Backups mit redundanter Speicherung.

  • Offline-Backups auf externen Festplatten.

  • Snapshots von Servern für schnelle Wiederherstellung bei Ausfällen.

  • Zweck: Gewährleistung der Verfügbarkeit von Daten bei Verlust oder Systemausfällen.

  • Beispiele:

  • Mobile Device Management (MDM) zur Durchsetzung von Sicherheitsrichtlinien.

  • Datenlöschfunktionen bei Diebstahl oder Verlust.

  • Verschlüsselung von Smartphones und Tablets.

  • Zweck: Schützt personenbezogene Daten, die auf mobilen Geräten gespeichert oder verarbeitet werden.

  • Beispiele:

  • Einsatz von SIEM-Systemen (Security Information and Event Management).

  • Automatische Protokollierung von Zugriffen und Änderungen an Daten.

  • Analyse von Log-Daten zur Erkennung verdächtiger Aktivitäten.

  • Zweck: Identifiziert Sicherheitsvorfälle in Echtzeit und ermöglicht schnelles Handeln.

  • Beispiele:

  • Schutz von Serverräumen mit biometrischen Zugangssystemen.

  • Überwachungskameras und Bewegungsmelder.

  • Klimaanlagen und Brandschutzsysteme in Serverräumen.

  • Zweck: Physischer Schutz der Hardware und Verhinderung von Sabotage oder Naturkatastrophenschäden.

Organisatorische Maßnahmen im Detail

Organisatorische Maßnahmen konzentrieren sich auf Strukturen, Prozesse und das Verhalten der Mitarbeitenden, um den Datenschutz in der Organisation zu gewährleisten.

  • Beispiele:

  • Einführung eines unternehmensweiten Datenschutz-Handbuchs.

  • Implementierung regelmäßiger Überprüfungsverfahren der Datenschutzkonformität.

  • Dokumentation aller Verarbeitungsprozesse gemäß Art. 30 DSGVO.

  • Zweck: Schaffung einer zentralen Struktur zur Sicherstellung des Datenschutzes.

  • Beispiele:

  • Durchführung von Datenschutz-Workshops und Online-Schulungen.

  • Sensibilisierungskampagnen (z. B. „Phishing erkennen“).

  • Quiz oder Tests zur Überprüfung des Wissens über Datenschutzrichtlinien.

  • Zweck: Aufbau eines Datenschutzbewusstseins und Reduzierung menschlicher Fehler.

  • Beispiele:

  • Entwicklung interner Richtlinien zur Nutzung von IT-Systemen.

  • Einführung eines Löschkonzepts mit klar definierten Löschfristen.

  • Festlegung von Prozessen im Umgang mit Datenschutzverletzungen (Data Breach Management).

  • Zweck: Schaffung klarer Handlungsanweisungen und Verantwortlichkeiten.

  • Beispiele:

  • Auftragsverarbeitungsverträge (AVV) mit IT-Dienstleistern.

  • Prüfung der Sicherheitsmaßnahmen von Partnerunternehmen.

  • Geheimhaltungsvereinbarungen mit externen Beratern.

  • Zweck: Sicherstellung, dass auch externe Partner datenschutzkonform arbeiten.

  • Beispiele:

  • Entwicklung eines IT-Notfallplans mit klar definierten Zuständigkeiten.

  • Regelmäßige Simulation von Datenpannen und Notfallszenarien.

  • Definition von Kommunikationsstrategien im Falle einer Datenschutzverletzung.

  • Zweck: Schnelle und gut strukturierte Reaktion auf Vorfälle zur Minimierung von Schäden.

  • Beispiele:

  • Externe Datenschutz-Audits durch zertifizierte Dienstleister.

  • Interne Kontrollmechanismen (z. B. Checklisten für Datenschutzprüfungen).

  • Automatische Überwachung der Einhaltung von Löschfristen.

  • Zweck: Sicherstellung der fortlaufenden Datenschutzkonformität.

  • Beispiele:

  • Abschließbare Schränke für Akten mit sensiblen Daten.

  • Einsatz von Aktenvernichtern mit Sicherheitsstufe P-4 oder höher.

  • Einführung einer „Clean Desk Policy“.

  • Zweck: Schutz physischer Dokumente vor unbefugtem Zugriff.

Praktische Umsetzung: Der Schlüssel zur Datensicherheit

Die Umsetzung von technischen und organisatorischen Maßnahmen sollte stets risikobasiert erfolgen. Folgende Schritte helfen Ihnen dabei:

  • Risikoanalyse durchführen: Bewerten Sie die möglichen Gefahren für personenbezogene Daten.
  • Maßnahmen priorisieren: Setzen Sie auf Lösungen, die die größten Risiken minimieren.
  • Regelmäßige Überprüfung: TOM sollten kontinuierlich an neue Bedrohungen und technologische Entwicklungen angepasst werden.

Der Schlüssel zum Schutz von (personenbezogenen) Daten

Die Kombination aus technischen und organisatorischen Maßnahmen bietet einen umfassenden Schutz personenbezogener Daten. Unternehmen sollten nicht nur in moderne Technologien investieren, sondern auch in Prozesse und Schulungen, um ihre Mitarbeitenden aktiv einzubinden. Eine sorgfältige Implementierung und regelmäßige Überprüfung der TOMs sind unerlässlich, um den gesetzlichen Anforderungen der DSGVO gerecht zu werden und Datenschutzverstößen wirksam entgegen zu wirken.

Benötigen Sie Unterstützung bei der Implementierung von TOMs?

Wir unterstützen Sie bei der Implementierung von TOMs und anderer Datenschutzbestimmungen.

Vertrauen Sie auf unsere Erfahrung und unser Know-how.

Beratung anfragen