Technisch-organisatorische Maßnahmen (TOMs)

Technisch-Organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO

• Zweck: Gewährleistung eines dem Risiko angemessenen Schutzniveaus für die Verarbeitung personenbezogener Daten.
• Schutzziele: Die TOMs dienen primär der Sicherstellung von:
  • Vertraulichkeit: Schutz vor unbefugter Kenntnisnahme.
  • Integrität: Schutz vor unbemerkter Veränderung oder Zerstörung.
  • Verfügbarkeit: Sicherstellung, dass Daten und Systeme bei Bedarf zur Verfügung stehen.
  • Belastbarkeit: Fähigkeit der Systeme, Störungen zu verkraften.
• Risikoorientierter Ansatz: Die Auswahl und der Umfang der TOMs hängen von einer Risikobewertung ab. Zu berücksichtigende Faktoren sind u.a. Stand der Technik, Implementierungskosten, Art und Zweck der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos.

Systematik der Maßnahmen (Anlehnung an Anlage zu § 9 BDSG a.F.)

Eine gängige und prüfungsrelevante Strukturierung der TOMs ist die Gliederung in acht Kontrollziele:

1. Zutrittskontrolle (physisch): Maßnahmen, die Unbefugten den physischen Zutritt zu Datenverarbeitungsanlagen verwehren (z.B. Schlüssel, Alarmanlage, Werkschutz).
2. Zugangskontrolle (systemisch): Maßnahmen, die die unbefugte Nutzung von DV-Systemen verhindern (z.B. Authentifizierungsmechanismen wie Passwörter, 2FA, Biometrie).
3. Zugriffskontrolle (logisch): Maßnahmen, die sicherstellen, dass Nutzer nur auf die Daten zugreifen können, für die sie eine Berechtigung haben (z.B. Rollen- und Berechtigungskonzepte, Need-to-know-Prinzip).
4. Weitergabekontrolle: Maßnahmen, die die Vertraulichkeit bei der Übertragung und dem Transport von Daten sicherstellen (z.B. Transport- und Ende-zu-Ende-Verschlüsselung, VPN).
5. Eingabekontrolle: Maßnahmen, die die Nachvollziehbarkeit von Eingaben, Änderungen und Löschungen gewährleisten (z.B. Protokollierung/Logging).
6. Auftragskontrolle: Maßnahmen, die sicherstellen, dass Auftragsverarbeiter die Weisungen des Verantwortlichen befolgen (z.B. sorgfältige Auswahl, Abschluss eines AV-Vertrags nach Art. 28 DSGVO, Kontrollen).
7. Verfügbarkeitskontrolle: Maßnahmen zum Schutz vor Zerstörung oder Verlust (z.B. Backup-Strategie, USV, Brandschutz, redundante Systeme).
8. Trennungsgebot: Maßnahmen zur getrennten Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden (z.B. Mandantentrennung in Software, Trennung von Test- und Produktivsystemen).