TOMs richtig umsetzen

Art. 32 DSGVO verlangt von jedem Unternehmen ein „dem Risiko angemessenes Schutzniveau” für personenbezogene Daten – umgesetzt durch technische und organisatorische Maßnahmen (TOMs). Dieses Whitepaper zeigt, wie Sie TOMs strukturiert herleiten, umsetzen und nachweisbar dokumentieren, statt eine Vorlage ungeprüft zu übernehmen.

Der risikobasierte Ansatz von Art. 32

TOMs sind kein fester Katalog, sondern das Ergebnis einer Risikoabwägung. Maßgeblich sind Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für die Betroffenen. Je sensibler die Daten und je größer der mögliche Schaden, desto höher das erforderliche Schutzniveau. Berücksichtigt werden zudem Stand der Technik und Implementierungskosten.

Die vier Schutzziele

Wirksame TOMs zahlen auf vier Schutzziele ein:

• Vertraulichkeit – nur Befugte haben Zugriff auf Daten.
• Integrität – Daten bleiben unverändert und korrekt.
• Verfügbarkeit – Daten sind bei Bedarf zugänglich.
• Belastbarkeit – Systeme bleiben auch unter Störungen funktionsfähig und lassen sich rasch wiederherstellen.

Technische Maßnahmen

Technische Maßnahmen wirken an Systemen und Technik. Typisch sind Zugriffs- und Berechtigungskontrolle, Verschlüsselung (Transport und Speicherung), Pseudonymisierung, Netzwerk- und Endpunktschutz, Protokollierung sowie Back-up- und Wiederherstellungsverfahren. Entscheidend ist, dass die Maßnahmen tatsächlich aktiv und aktuell gehalten sind – nicht nur auf dem Papier stehen.

Organisatorische Maßnahmen

Organisatorische Maßnahmen wirken an Abläufen und Verhalten: Berechtigungskonzepte nach dem Need-to-know-Prinzip, Richtlinien (z. B. Passwort-, Clean-Desk-, Home-Office-Regeln), Schulungen und Sensibilisierung, Vertretungs- und Freigabeprozesse, ein Löschkonzept sowie geregelte Abläufe für den Umgang mit Dienstleistern und Datenpannen. Erst technische und organisatorische Maßnahmen zusammen ergeben ein tragfähiges Schutzniveau.

TOMs dokumentieren

Aus der Rechenschaftspflicht (Art. 5 Abs. 2) folgt: Sie müssen Ihre TOMs belegen können. Eine gute TOM-Dokumentation ordnet die Maßnahmen den Schutzzielen zu, beschreibt sie konkret genug, um überprüfbar zu sein, und benennt Verantwortliche. Sie ist zugleich Pflichtbestandteil jedes Auftragsverarbeitungsvertrags (Art. 28) und das erste, was Aufsichtsbehörden bei einer Prüfung sehen wollen.

Wirksamkeit regelmäßig prüfen

Art. 32 verlangt ausdrücklich ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Legen Sie feste Prüfzyklen (z. B. jährlich) fest und prüfen Sie zusätzlich anlassbezogen – nach Systemänderungen, neuen Verarbeitungen oder Vorfällen. Dokumentieren Sie die Prüfung; sie ist der Nachweis, dass Ihre TOMs gelebt und nicht nur einmalig erstellt wurden.

Häufige Fehler

• Vorlage ungeprüft übernehmen – beschreibt Maßnahmen, die Sie nicht umsetzen.
• Einmal erstellt, nie geprüft – ohne Wirksamkeitskontrolle verlieren TOMs ihren Wert.
• Nur Technik, keine Organisation – Berechtigungen und Schulungen werden vergessen.
• Keine Zuordnung zum Risiko – Maßnahmen passen nicht zur tatsächlichen Verarbeitung.

In 5 Schritten zu belastbaren TOMs

1. Verarbeitungen und Risiken erfassen: Was wird verarbeitet, mit welchem Schutzbedarf?
2. Schutzniveau festlegen: angemessenes Niveau je Verarbeitung bestimmen.
3. Maßnahmen auswählen: technische und organisatorische Maßnahmen den Schutzzielen zuordnen.
4. Umsetzen und dokumentieren: Maßnahmen aktivieren und nachvollziehbar festhalten.
5. Wirksamkeit prüfen: feste Zyklen etablieren und Prüfungen dokumentieren.

Häufige Fragen

Was sind technische und organisatorische Maßnahmen (TOMs)?

TOMs sind alle Maßnahmen, mit denen ein Unternehmen ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten gewährleistet (Art. 32 DSGVO). Technische Maßnahmen betreffen Systeme und Technik (z. B. Verschlüsselung, Zugriffsschutz), organisatorische betreffen Abläufe und Regeln (z. B. Berechtigungskonzepte, Schulungen).

Sind TOMs auch für kleine Unternehmen Pflicht?

Ja. Art. 32 DSGVO gilt für jeden Verantwortlichen und Auftragsverarbeiter unabhängig von der Größe. Der Umfang richtet sich nach dem Risiko der Verarbeitung – ein kleines Unternehmen mit geringem Risiko benötigt weniger als ein Betrieb, der besondere Datenkategorien verarbeitet.

Muss ich meine TOMs dokumentieren?

Ja. Aus der Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO) folgt, dass Sie Ihre TOMs nachweisen können müssen. Eine strukturierte TOM-Dokumentation ist zudem Voraussetzung für Auftragsverarbeitungsverträge (Art. 28) und wird von Aufsichtsbehörden regelmäßig angefordert.

Wie oft müssen TOMs überprüft werden?

Art. 32 verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit. Üblich ist eine jährliche Überprüfung sowie anlassbezogen bei Änderungen an Systemen, Prozessen oder nach einem Sicherheitsvorfall.

Reicht eine TOM-Vorlage aus dem Internet?

Als Startpunkt ja, als fertige Lösung nein. TOMs müssen zu Ihren tatsächlichen Systemen, Prozessen und Risiken passen. Eine ungeprüft übernommene Vorlage beschreibt oft Maßnahmen, die Sie gar nicht umsetzen – und ist damit im Ernstfall wertlos oder sogar belastend.