Was sind technische und organisatorische Maßnahmen?
Technische und organisatorische Maßnahmen (TOM) sind alle Vorkehrungen, die Sie treffen, um personenbezogene Daten zu schützen. Art. 32 DSGVO verpflichtet Sie dazu, geeignete Maßnahmen zu implementieren und diese zu dokumentieren — angemessen in Bezug auf das Risiko.
TOM sind keine einmalige Angelegenheit, sondern müssen laufend überprüft und an den Stand der Technik angepasst werden.
Welche TOM sind erforderlich?
Die DSGVO nennt als Beispiele:
- Pseudonymisierung und Verschlüsselung personenbezogener Daten
- Vertraulichkeit, Integrität, Verfügbarkeit der Systeme dauerhaft sicherstellen
- Belastbarkeit der Systeme und Dienste
- Wiederherstellbarkeit nach einem Zwischenfall
- Regelmäßige Überprüfung der Wirksamkeit
In der Praxis bedeutet das u. a.: Zugriffskontrollen, Passwortrichtlinien, Datensicherung, verschlüsselte Kommunikation, physische Sicherheit, Mitarbeiterschulungen.
Technische Maßnahmen (Auswahl)
- Verschlüsselung von Festplatten, E-Mails und Übertragungen (TLS/SSL)
- Firewall, Virenscanner, regelmäßige Updates
- Berechtigungskonzept (Need-to-know-Prinzip)
- Sichere Passwörter und Multi-Faktor-Authentifizierung
- Regelmäßige Datensicherung und Wiederherstellungstests
- Protokollierung von Zugriffen auf kritische Systeme
Organisatorische Maßnahmen (Auswahl)
- Verpflichtung der Mitarbeitenden zur Vertraulichkeit
- Datenschutzschulungen und Awareness-Maßnahmen
- Zutritts- und Zugangskontrollen (Büro, Serverraum)
- Richtlinien für BYOD, Mobile Devices und Homeoffice
- Prozesse für den Umgang mit Datenpannen
- Regelungen zur Aufbewahrung und Löschung von Daten
Dokumentation als Nachweispflicht
Die DSGVO verlangt nicht nur die Umsetzung von TOM, sondern auch deren schriftliche Dokumentation (Rechenschaftspflicht, Art. 5 Abs. 2 DSGVO). Ohne Dokumentation können Sie im Ernstfall nicht nachweisen, was Sie tun — auch wenn Ihre Maßnahmen in der Praxis gut sind.
AGIDAT erstellt für Sie eine vollständige, prüfungssichere TOM-Dokumentation, die Sie als Nachweis gegenüber Behörden, Kunden und Partnern verwenden können.