Technische und Organisatorische Maßnahmen (TOM): Technische und Organisatorische Maßnahmen (TOM) sind die nach Art. 32 DSGVO geforderten Schutzmaßnahmen, mit denen Unternehmen ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten sicherstellen.
Art. 32 DSGVO verlangt, dass Verantwortliche und Auftragsverarbeiter unter Berücksichtigung von Stand der Technik, Implementierungskosten sowie Art, Umfang und Zweck der Verarbeitung ein angemessenes Schutzniveau gewährleisten – bewertet nach Eintrittswahrscheinlichkeit und Schwere des Risikos für die betroffenen Personen.
| Kategorie | Beispiele |
|---|---|
| Technische Maßnahmen | Verschlüsselung, Zugriffskontrolle, Backup-Konzept |
| Organisatorische Maßnahmen | Sicherheitsrichtlinie, Schulungen, Vertraulichkeitsverpflichtungen, Berechtigungskonzept |
TOM sind kein einmalig festgelegtes Set, sondern müssen dem sich ändernden Risiko und dem Stand der Technik laufend angepasst werden. Sie werden regelmäßig in Auftragsverarbeitungsverträgen konkret benannt und dort vom Auftraggeber geprüft, sowie im Verzeichnis von Verarbeitungstätigkeiten referenziert, damit die Angemessenheit auch nachträglich nachvollziehbar bleibt.
In der Praxis verlangen viele Auftraggeber vor Vertragsabschluss einen ausgefüllten TOM-Fragebogen oder eine Anlage zum Auftragsverarbeitungsvertrag, in der die konkreten Maßnahmen je Kategorie aufgelistet sind. Wer bereits ein ISMS betreibt, kann viele dieser Angaben direkt aus der bestehenden ISO-27001-Dokumentation ableiten, statt sie für jeden Kunden neu zu formulieren – das spart Aufwand bei wiederkehrenden Anfragen.
Art. 32 Abs. 1 DSGVO nennt beispielhaft vier Kategorien: Pseudonymisierung und Verschlüsselung personenbezogener Daten, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die Fähigkeit zur raschen Wiederherstellung der Verfügbarkeit nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der getroffenen Maßnahmen selbst. Dieser letzte Punkt wird in der Praxis häufig übersehen: Es reicht nicht, TOM einmal festzulegen und abzuheften – die Wirksamkeitsprüfung muss wiederkehrend erfolgen und dokumentiert werden, etwa im Rahmen interner Audits oder einer jährlichen Überprüfung durch den Datenschutzbeauftragten. Auch die Wahl der Maßnahmen selbst bleibt risikobasiert: Ein kleiner Handwerksbetrieb mit wenigen digitalen Systemen benötigt spürbar schlankere TOM als ein Unternehmen, das sensible Gesundheits- oder Finanzdaten in großem Umfang verarbeitet.
Relevanz für die Zertifizierung
Radikale Ehrlichkeit an dieser Stelle: Eine ISO 27001 Zertifizierung bei KCERT ist ein starkes dokumentiertes Indiz für viele technische und organisatorische Maßnahmen, insbesondere im IT-Bereich – sie ist aber keine automatische Gleichsetzung mit vollständiger DSGVO-Konformität. Datenschutzspezifische Pflichten wie das Verzeichnis von Verarbeitungstätigkeiten, Betroffenenrechte oder die Rechtsgrundlagenprüfung gehen über den Anwendungsbereich eines ISMS hinaus und müssen zusätzlich erfüllt werden. KCERT zertifiziert ISO 27001, nicht DSGVO-Konformität als solche – für die abschließende rechtliche Bewertung ist juristischer Rat hinzuzuziehen, den KCERT als Zertifizierungsstelle nicht ersetzt und auch nicht ersetzen möchte.
Häufige Fragen zu Technische und Organisatorische Maßnahmen (TOM)
Technisch zum Beispiel Verschlüsselung, Zugriffskontrolle und ein funktionierendes Backup-Konzept; organisatorisch etwa eine Sicherheitsrichtlinie, regelmäßige Schulungen, Vertraulichkeitsverpflichtungen und ein dokumentiertes Berechtigungskonzept. Die Angemessenheit richtet sich nach Risiko, Stand der Technik und den Kosten der Umsetzung, nicht nach einer starren Mindestliste. Auch Protokollierung von Zugriffen und regelmäßige Penetrationstests zählen in vielen Unternehmen inzwischen zu den erwarteten technischen Maßnahmen, insbesondere bei der Verarbeitung besonders sensibler Datenkategorien.
Sie ist ein starkes dokumentiertes Indiz für viele technische und organisatorische Maßnahmen, aber keine automatische Gleichsetzung mit vollständiger DSGVO-Konformität. Datenschutzspezifische Pflichten wie Verarbeitungsverzeichnis oder Betroffenenrechte gehen über den Anwendungsbereich eines ISMS hinaus und benötigen zusätzlich eine eigene, spezifisch datenschutzrechtliche Prüfung durch fachkundige Stellen.
Jedes Unternehmen, das personenbezogene Daten verarbeitet – als Verantwortlicher oder als Auftragsverarbeiter –, unabhängig von der Größe. Der Nachweis wird unter anderem im Verzeichnis von Verarbeitungstätigkeiten und in Auftragsverarbeitungsverträgen konkret verlangt und dort häufig vom jeweiligen Vertragspartner geprüft, bevor eine Zusammenarbeit beginnt.