Was sind TOM nach der DSGVO?

Technische und organisatorische Maßnahmen (TOM) sind die konkreten Schutzvorkehrungen für personenbezogene Daten nach Art. 32 DSGVO – etwa Verschlüsselung, Zugriffskontrolle und Backup (technisch) sowie Berechtigungskonzepte, Schulungen und Prozesse (organisatorisch).

Gibt es eine verbindliche Liste vorgeschriebener TOM?

Nein. Art. 32 DSGVO nennt nur Beispiele und Schutzziele. Welche Maßnahmen angemessen sind, ergibt sich risikobasiert aus Art und Umfang der Verarbeitung, dem Stand der Technik, den Kosten und dem Risiko für die Betroffenen.

Wie oft müssen TOM überprüft werden?

Art. 32 verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit. Ein fester Turnus ist nicht vorgeschrieben; üblich sind mindestens jährliche Überprüfungen sowie anlassbezogen bei wesentlichen Änderungen.

Wissen · Datenschutz

TOM nach Art. 32 DSGVO: Beispiele und Umsetzung

Technische und organisatorische Maßnahmen (TOM) sind die konkreten Schutzvorkehrungen, mit denen ein Unternehmen personenbezogene Daten sichert. Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt beispielhaft Pseudonymisierung, Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit sowie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Welche TOM angemessen sind, ergibt sich risikobasiert – es gibt keine feste Pflichtliste.

Rechtsgrundlage: Art. 32 DSGVO
Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit
Maßstab: Stand der Technik, Kosten, Risiko
Pflicht: regelmäßige Wirksamkeitsprüfung
Keine: feste Pflichtliste – risikobasiert

Was Art. 32 DSGVO verlangt

Verantwortliche und Auftragsverarbeiter müssen ein Schutzniveau gewährleisten, das dem Risiko angemessen ist. Maßstab sind der Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und das Risiko für die betroffenen Personen. Es gilt also keine Einheitslösung: Ein Krankenhaus braucht andere TOM als ein Onlineshop.

Art. 32 nennt vier Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme – ergänzt um die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederherzustellen, und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.

Konkrete Beispiele für TOM

Technische Maßnahmen: Verschlüsselung (Transport und Ruhezustand), Pseudonymisierung, Zugriffskontrolle über Rollen- und Rechtekonzepte, Mehr-Faktor-Authentifizierung, Protokollierung, Firewalls und Endpoint-Schutz, regelmäßige Updates/Patching sowie Backups mit getesteter Wiederherstellung.

Organisatorische Maßnahmen: Berechtigungs- und Need-to-know-Prinzip, Verpflichtung auf Vertraulichkeit, Schulungen und Sensibilisierung, Regelungen für Home-Office und mobile Geräte, ein Prozess für Datenschutzvorfälle, Lieferanten-/Auftragsverarbeiterkontrolle und ein Löschkonzept.

Risikobasiert bestimmen und dokumentieren

Der Weg zu angemessenen TOM führt über die Risikobetrachtung: Welche Daten werden verarbeitet, welche Bedrohungen bestehen, wie hoch wären Eintrittswahrscheinlichkeit und Schadensausmaß für die Betroffenen? Daraus leiten Sie die Maßnahmen ab. Wichtig ist die Nachweisbarkeit: TOM sollten dokumentiert, den Verarbeitungstätigkeiten zugeordnet und regelmäßig auf Wirksamkeit überprüft werden.

In MGMSYS pflegen Sie die TOM zentral (TOM-Backbone), verknüpfen sie mit den Einträgen des Verarbeitungsverzeichnisses (Art. 30) und weisen ihre Überprüfung revisionssicher nach.

Häufige Fragen

Was sind TOM nach der DSGVO?: Technische und organisatorische Maßnahmen (TOM) sind die konkreten Schutzvorkehrungen für personenbezogene Daten nach Art. 32 DSGVO – etwa Verschlüsselung, Zugriffskontrolle und Backup (technisch) sowie Berechtigungskonzepte, Schulungen und Prozesse (organisatorisch).
Gibt es eine verbindliche Liste vorgeschriebener TOM?: Nein. Art. 32 DSGVO nennt nur Beispiele und Schutzziele. Welche Maßnahmen angemessen sind, ergibt sich risikobasiert aus Art und Umfang der Verarbeitung, dem Stand der Technik, den Kosten und dem Risiko für die Betroffenen.
Müssen TOM dokumentiert werden?: Ja, aus der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO): TOM sollten dokumentiert, den Verarbeitungstätigkeiten zugeordnet und regelmäßig auf Wirksamkeit überprüft werden. Sie sind auch Teil des Verarbeitungsverzeichnisses.
Wie oft müssen TOM überprüft werden?: Art. 32 verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit. Ein fester Turnus ist nicht vorgeschrieben; üblich sind mindestens jährliche Überprüfungen sowie anlassbezogen bei wesentlichen Änderungen.