TOMs nach Art. 32 DSGVO: Beispiele und Dokumentation

Fast jedes Unternehmen verarbeitet personenbezogene Daten. Deshalb braucht fast jedes Unternehmen TOMs. Der Begriff steht für technische und organisatorische Maßnahmen. Und er kommt aus Artikel 32 der DSGVO. Dort steht die Pflicht, Daten angemessen zu schützen. TOMs sind der konkrete Weg dorthin. Also die Summe aller Schritte, mit denen Sie Vertraulichkeit, Integrität und Verfügbarkeit sichern.

Dieser Beitrag zeigt, was hinter dem Kürzel steckt. Zunächst die technische Seite mit klaren Beispielen. Danach die organisatorische Seite. Zudem erklären wir, wie Sie TOMs am Schutzbedarf ausrichten. Und wie Sie sie so dokumentieren, dass ein Nachweis gelingt. Das Ziel ist eine Liste, die im Alltag hält. Also kein Papier für die Schublade, sondern gelebter Schutz.

Viele Betriebe empfinden das Thema als sperrig. Denn der Gesetzestext bleibt abstrakt. Deshalb übersetzen wir ihn hier in klare Beispiele. Zunächst geht es um die Frage, was zählt als Maßnahme überhaupt. Danach folgt der Blick auf Bewertung und Nachweis. Somit haben Sie am Ende eine Vorlage, an der Sie sich orientieren. Ebenso zeigen wir, wo TOMs an ein ISMS andocken. Denn wer schon Strukturen für Informationssicherheit hat, spart viel Arbeit.

Was TOMs nach Art. 32 DSGVO sind

TOMs sind alle Maßnahmen, mit denen Sie personenbezogene Daten schützen. Der Begriff steht für technische und organisatorische Maßnahmen. Artikel 32 DSGVO verlangt sie von jedem Verantwortlichen und jedem Auftragsverarbeiter. Dabei nennt das Gesetz kein festes Set. Vielmehr fordert es ein dem Risiko angemessenes Schutzniveau. Deshalb sehen die TOMs bei jedem Betrieb etwas anders aus.

Der Gesetzestext bleibt bewusst offen. Er nennt vier Schutzziele. Nämlich Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit. Zudem verlangt er die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen. Den vollen Wortlaut finden Sie in der DSGVO auf EUR-Lex. Die österreichische Datenschutzbehörde ist die zuständige Aufsicht dazu.

Warum die DSGVO keine fixe Liste vorgibt

Ein Steuerberater schützt andere Daten als ein Onlineshop. Deshalb wäre eine starre Vorgabe unpassend. Die DSGVO setzt daher auf Angemessenheit. Sie fragt nach dem Risiko für die Personen. Und sie fragt nach dem Stand der Technik. Sind die Daten sehr heikel, muss der Schutz stark sein. Sind sie harmlos, reicht weniger. Genau diese Logik prägt alle TOMs. Wir helfen bei der Einordnung im Rahmen unserer Datenschutz-Beratung.

Für wen die Pflicht gilt

Die Pflicht trifft jeden, der Daten verarbeitet. Also auch kleine Betriebe mit wenigen Kundendaten. Ein Handwerker mit einer Kundendatei fällt darunter. Ebenso ein Verein mit einer Mitgliederliste. Die Größe ändert nichts an der Pflicht. Sie ändert nur, wie viel Sie tun müssen. Deshalb braucht jeder eine Antwort auf die Frage, wie er Daten schützt. Kleine Betriebe finden erste Hilfen bei der Initiative onlinesicherheit.gv.at.

Ein Zahlenbeispiel macht den Rahmen greifbar. Ein Betrieb mit 30 Mitarbeitern führt Personalakten, Kundendaten und eine Bewerberdatenbank. Damit verarbeitet er Gesundheitsdaten, Gehälter und Kontaktdaten. Diese Kategorien haben einen hohen Schutzbedarf. Deshalb reichen ein Passwort und ein Virenschutz nicht aus. Vielmehr braucht der Betrieb ein durchdachtes Set an TOMs. Genau das schreibt Artikel 32 vor. Und genau das prüft die Behörde im Ernstfall.

Zudem lohnt ein Blick auf die Folgen eines Verstoßes. Fehlen angemessene Maßnahmen, drohen empfindliche Bußgelder. Ebenso haftet das Unternehmen für Schäden der betroffenen Personen. Hingegen schützt ein gutes Set an TOMs vor beidem. Es senkt das Risiko eines Vorfalls. Und es liefert im Ernstfall den Nachweis, dass Sie sorgfältig gehandelt haben. Deshalb sind die Maßnahmen kein reiner Kostenblock. Vielmehr sind sie eine Versicherung, die täglich wirkt.

Technische Maßnahmen mit konkreten Beispielen

Technische Maßnahmen wirken direkt an Systemen und Daten. Sie setzen dort an, wo Technik den Schutz trägt. Dazu zählen Verschlüsselung, Zugriffskontrolle und Backups. Ebenso die Pseudonymisierung von Daten. Diese Mittel greifen ganz ohne Zutun der Nutzer. Diese Maßnahmen bilden die erste Hälfte der TOMs. Deshalb beginnen wir hier mit konkreten Beispielen aus dem Alltag.

Verschlüsselung als Grundlage

Verschlüsselung schützt Daten. Und zwar auch dann, wenn ein Gerät verloren geht. Für Notebooks gilt sie als Standard. BitLocker unter Windows oder FileVault am Mac erledigen das. Als Verfahren hat sich AES-256 bewährt. Für den Weg durchs Netz sorgt TLS 1.3. Zudem lassen sich einzelne E-Mails verschlüsseln. Artikel 32 nennt die Verschlüsselung sogar ausdrücklich. Deshalb gehört sie in fast jede Liste der TOMs. Details zur Umsetzung zeigt unser Beitrag zur IT-Härtung.

Zugriffskontrolle und Berechtigungen

Nicht jeder darf alles sehen. Deshalb steuert die Zugriffskontrolle, wer welche Daten öffnet. Das Prinzip ist einfach. Jeder hat nur so viel Zugriff wie nötig. Ein Sachbearbeiter braucht beispielsweise keinen Zugang zur Lohnbuchhaltung. Zudem sichert die Mehr-Faktor-Authentifizierung vor allem administrative Zugänge. Ein starkes Passwort allein genügt heute nämlich nicht mehr. Somit ist diese Kontrolle eine zentrale technische TOM.

Backup und Pseudonymisierung

Backups sichern die Verfügbarkeit der Daten. Sie greifen nach einem Ausfall oder einem Ransomware-Angriff. Bewährt hat sich beispielsweise die Regel drei Kopien, zwei Medien, eine außer Haus. Zudem gehört ein Backup regelmäßig getestet. Denn ein ungetestetes Backup ist nur eine Hoffnung. Die Pseudonymisierung hingegen trennt Daten von direkten Kennungen. Aus einem Namen wird somit etwa eine Nummer. Folglich sinkt der Schaden, falls Daten abfließen. Wie belastbar Ihre Technik wirklich ist, zeigt ein IT-Security-Audit. So werden Lücken in den TOMs sichtbar, bevor ein Angreifer sie findet.

Protokollierung und Update-Disziplin

Zwei weitere technische Maßnahmen werden oft vergessen. Zunächst die Protokollierung. Sie hält fest, wer wann auf welche Daten zugegriffen hat. Somit lässt sich ein Vorfall später nachvollziehen. Zudem schreckt eine Protokollierung vor Missbrauch ab. Danach die Update-Disziplin. Veraltete Software ist ein häufiges Einfallstor. Deshalb gehören Betriebssystem und Programme zeitnah aktualisiert. Ein automatisches Update-Management nimmt diese Last ab. Beide Maßnahmen kosten wenig und bringen viel. Genau deshalb zählen sie zu den wirksamsten TOMs im Alltag.

Organisatorische Maßnahmen im Überblick

Organisatorische Maßnahmen regeln das Verhalten der Menschen. Sie setzen bei Abläufen, Rollen und Regeln an. Technik allein reicht nämlich nicht. Denn die beste Verschlüsselung nützt wenig, wenn das Passwort am Monitor klebt. Der Mensch bleibt somit ein Teil des Schutzes. Deshalb bilden organisatorische Maßnahmen die zweite Hälfte der TOMs. Sie machen aus Technik gelebten Schutz.

Richtlinien und Berechtigungskonzept

Am Anfang stehen klare Regeln. Eine Richtlinie legt fest, wie Ihr Team mit Daten umgeht. Ein Berechtigungskonzept ordnet danach Zugriffe den Rollen zu. Es hält schriftlich fest, wer worauf zugreifen darf. Somit wird die technische Zugriffskontrolle erst nachvollziehbar. Zudem gehört ein Prozess dazu, der Rechte bei einem Austritt entzieht. Denn ein alter Zugang ist ein offenes Tor. Folglich sind solche Konzepte das Rückgrat der organisatorischen TOMs.

Schulung und Sensibilisierung

Der Mensch entscheidet oft über Erfolg oder Schaden. Deshalb zählt die Schulung zu den wichtigsten Maßnahmen. Mitarbeiter müssen beispielsweise Phishing erkennen. Ebenso müssen sie wissen, wie sie mit Daten umgehen. Eine kurze Unterweisung im Jahr genügt hingegen selten. Vielmehr braucht es regelmäßige Impulse. Genau das leistet gezielte Security-Awareness. Ohne diesen Baustein bleiben die TOMs unvollständig.

Auftragsverarbeitung und Meldeprozesse

Viele Betriebe geben Daten nach außen. Etwa an einen Cloud-Dienst oder ein Lohnbüro. Dafür braucht es einen Vertrag. Wie das geht, erklärt unser Beitrag zum Auftragsverarbeitungsvertrag. Zudem gehört ein Meldeprozess für Zwischenfälle dazu. Kommt es zu einer Panne, zählt die Zeit. Wie Sie eine Datenpanne binnen 72 Stunden melden, sollte im Vorfeld geregelt sein. So verhindern organisatorische TOMs Hektik im Ernstfall.

Technisch oder organisatorisch: der Vergleich

Viele Maßnahmen lassen sich klar zuordnen. Technische wirken über Systeme. Organisatorische wirken über Regeln und Verhalten. Beide Seiten greifen ineinander. Denn erst zusammen ergeben sie ein sinnvolles Schutzniveau. Die folgende Tabelle stellt typische Beispiele gegenüber. Sie zeigt, wie sich die zwei Arten von TOMs ergänzen.

Warum beide Seiten zusammengehören

Ein Beispiel zeigt das Zusammenspiel. Die Zugriffskontrolle im System ist zunächst technisch. Das Berechtigungskonzept dahinter ist hingegen organisatorisch. Ohne das Konzept vergibt nämlich niemand die Rechte richtig. Umgekehrt lässt sich das Konzept ohne die Technik nicht durchsetzen. Deshalb sind starke TOMs immer eine Kombination. Wer nur in Technik investiert, lässt die halbe Strecke offen.

Ein häufiger Fehler

Manche Betriebe kaufen eine Firewall. Danach fühlen sie sich sicher. Doch die Firewall ist nur ein Baustein. Fehlt beispielsweise die Schulung, klickt ein Mitarbeiter trotzdem auf den falschen Link. Fehlt hingegen das Berechtigungskonzept, hat der Praktikant Zugang zu Gehaltsdaten. Deshalb genügt kein einzelnes Produkt. Vielmehr braucht es das ganze Set an TOMs. Ein solides ISMS nach ISO 27001 hält beide Seiten dauerhaft zusammen.

TOMs bewerten: Schutzbedarf und Stand der Technik

TOMs entstehen nicht nach Gefühl. Sie folgen einer Bewertung. Zunächst klären Sie den Schutzbedarf der Daten. Danach richten Sie die Maßnahmen am Stand der Technik aus. Genau diese zwei Größen nennt Artikel 32. Deshalb ist die Bewertung der Kern jeder guten TOMs-Liste. Ohne sie bleibt die Auswahl willkürlich.

Den Schutzbedarf ehrlich einschätzen

Nicht alle Daten sind gleich viel wert. Eine offene Telefonnummer ist harmlos. Eine Krankenakte hingegen ist sehr heikel. Deshalb teilen Sie Ihre Daten in Stufen ein. Üblich sind beispielsweise normal, hoch und sehr hoch. Je höher die Stufe, desto stärker die nötigen Maßnahmen. Gesundheits- und Finanzdaten landen folglich fast immer oben. Diese Einordnung steht am Anfang jeder Bewertung. Sie baut auf dem Verarbeitungsverzeichnis auf, das ohnehin Pflicht ist.

Stand der Technik heißt nicht neueste Technik

Der Stand der Technik ist ein bewegliches Maß. Er beschreibt, was am Markt bewährt und zu haben ist. Er verlangt nicht das teuerste Produkt. Vielmehr fordert er guten Schutz zu fairen Kosten. Ein altes Verfahren fällt durch. Eine aktuelle, gut gepflegte Lösung genügt. Die EU-Agentur ENISA veröffentlicht dazu Orientierungshilfen. Diese helfen bei der Frage, was heute als angemessen gilt.

Risiko und Aufwand abwägen

Die DSGVO verlangt eine Abwägung. Sie stellt das Risiko den Kosten gegenüber. Ein kleiner Verein muss nicht wie eine Bank aufrüsten. Doch ganz weglassen darf er den Schutz auch nicht. Die Maßnahme muss zum Risiko passen. Deshalb prüfen Sie jede TOM auf ihren Beitrag. Bringt sie viel Schutz bei wenig Aufwand, hat sie Vorrang. Diese Logik verhindert sowohl Lücken als auch teure Übervorsorge. Wer hier fundiert vorgeht, verbindet die TOMs mit einem sauberen Risikomanagement. Genau das ist die Brücke zu einem ISMS. Denn beide Welten fragen nach Risiko, Schutzbedarf und Wirksamkeit.

Ein Bewertungsbeispiel aus der Praxis

Ein kleines Ingenieurbüro speichert Projektdaten und Kundenkontakte. Zunächst stuft es diese Daten als normal bis hoch ein. Danach prüft es die passenden Maßnahmen. Eine Festplattenverschlüsselung ist günstig und wirksam. Also hat sie klaren Vorrang. Eine teure Speziallösung für Hochsicherheit hingegen wäre überzogen. Somit fällt die Wahl leicht. Ebenso entscheidet das Büro über die Backup-Strategie. Zwei getestete Sicherungen genügen für dieses Risiko. Auf dieser Grundlage entsteht eine schlanke, aber solide Liste an TOMs. Genau so soll die Bewertung funktionieren.

TOMs dokumentieren und nachweisen

TOMs müssen nachweisbar sein. Denn die DSGVO kennt die Rechenschaftspflicht. Sie verlangt, dass Sie Ihren Schutz belegen können. Deshalb genügt es nicht, Maßnahmen nur umzusetzen. Sie müssen sie auch schriftlich festhalten. Das gilt für kleine wie für große Betriebe. Genau hier scheitern viele Betriebe. Nicht am Schutz selbst, sondern am fehlenden Nachweis.

Was in die Dokumentation gehört

Eine gute TOMs-Dokumentation ist konkret. Sie nennt jede Maßnahme knapp und klar. Zudem ordnet sie die Maßnahme einem Schutzziel zu. Beispielsweise dient die Festplattenverschlüsselung der Vertraulichkeit mobiler Geräte. Ergänzen Sie außerdem das Datum und den Verantwortlichen. Somit entsteht ein nachvollziehbares Bild. Meiden Sie leere Floskeln wie modernste Technik. Denn solche Sätze belegen nichts. Klare Angaben hingegen überzeugen jede Prüfung. Nennen Sie also, was Sie wirklich tun.

TOMs regelmäßig überprüfen

Artikel 32 fordert eine regelmäßige Prüfung. Denn Technik und Risiken ändern sich. Ein Mittel von gestern kann heute unsicher sein. Deshalb gehören TOMs mindestens einmal im Jahr auf den Prüfstand. Zudem lösen große Änderungen eine Prüfung aus. Etwa ein neues System oder ein neuer Dienstleister. Halten Sie jede Prüfung schriftlich fest. So zeigen Sie der Behörde, dass Ihr Schutz lebt. Genau diesen Rhythmus liefert ein strukturiertes ISMS nach ISO 27001.

Der Bezug zur Auftragsverarbeitung

TOMs spielen auch nach außen eine Rolle. Holen Sie einen Partner ins Boot, prüfen Sie dessen TOMs. Denn Sie bleiben für die Daten in der Pflicht. Ein guter Auftragsverarbeitungsvertrag listet die Maßnahmen des Partners auf. Umgekehrt fragen Ihre Kunden nach Ihren TOMs. Wer eine saubere Liste zeigt, gewinnt Vertrauen. Für KMU ist ein guter Schutz ohnehin sinnvoll. Mehr dazu zeigt unser Beitrag zur Cybersicherheit für KMU. Bei der Erstellung und Bewertung Ihrer TOMs unterstützt Sie unsere Datenschutz-Beratung.

Erstgespräch vereinbaren

Häufig gestellte Fragen

Was bedeutet die Abkürzung TOMs?

TOMs steht für technische und organisatorische Maßnahmen. Der Begriff stammt aus Artikel 32 DSGVO. Er umfasst alle Schritte, mit denen Sie personenbezogene Daten schützen. Dazu zählen technische Vorkehrungen und organisatorische Regeln gleichermaßen.

Sind TOMs für kleine Unternehmen Pflicht?

Ja, die Pflicht gilt für jeden, der personenbezogene Daten verarbeitet. Die Größe ändert nichts daran. Sie beeinflusst nur den Umfang. Ein kleiner Betrieb braucht weniger TOMs als ein Konzern. Ganz ohne Maßnahmen kommt aber niemand aus.

Was ist der Unterschied zwischen technischen und organisatorischen Maßnahmen?

Technische Maßnahmen wirken über Systeme, etwa Verschlüsselung oder Backups. Organisatorische Maßnahmen wirken über Regeln und Verhalten, etwa Schulungen oder ein Berechtigungskonzept. Gute TOMs kombinieren stets beide Seiten.

Wie oft muss ich meine TOMs überprüfen?

Mindestens einmal im Jahr gehören die TOMs auf den Prüfstand. Zudem lösen große Änderungen eine Prüfung aus. Etwa ein neues System oder ein neuer Dienstleister. Halten Sie jede Prüfung schriftlich fest, denn Artikel 32 verlangt die regelmäßige Überprüfung.

Was bedeutet Stand der Technik bei TOMs?

Der Stand der Technik meint, was am Markt bewährt und verfügbar ist. Er verlangt nicht das teuerste Produkt. Vielmehr fordert er zeitgemäßen Schutz zu vertretbaren Kosten. Ein veraltetes Verfahren genügt nicht, eine aktuelle Lösung schon.

Muss ich meine TOMs dokumentieren?

Ja, die DSGVO kennt die Rechenschaftspflicht. Sie müssen Ihren Schutz belegen können. Deshalb halten Sie jede Maßnahme schriftlich fest und ordnen sie einem Schutzziel zu. Ohne Dokumentation fehlt der Nachweis, selbst bei gutem Schutz.

Wie hängen TOMs mit ISO 27001 zusammen?

Ein ISMS nach ISO 27001 liefert die Struktur für TOMs. Es fragt ebenfalls nach Risiko, Schutzbedarf und Wirksamkeit. Deshalb deckt ein bestehendes ISMS viele Anforderungen aus Artikel 32 bereits ab. Beide Welten ergänzen sich sehr gut.

Fazit: TOMs sind laufende Arbeit

TOMs sind das Herzstück des Datenschutzes im Alltag. Sie verbinden Technik und Regeln zu einem Schutz, der zum Risiko passt. Zunächst klären Sie den Schutzbedarf. Danach wählen Sie Maßnahmen am Stand der Technik. Zum Schluss halten Sie alles klar fest. Wer diesen Weg geht, erfüllt Artikel 32 und schützt sein Geschäft zugleich.

Wichtig ist die laufende Pflege. Denn Technik und Gefahren ändern sich ständig. Eine Liste von gestern ist schnell veraltet. Deshalb gehören TOMs oft geprüft und angepasst. So bleibt aus der Pflicht ein echter Schutz. Und Sie sind vorbereitet, falls die Behörde oder ein Kunde nach Ihren Maßnahmen fragt.

SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren