Technische und organisatorische Maßnahmen (TOMs): Was sind TOMs nach Art. 32 DSGVO?

Technische und organisatorische Maßnahmen (TOMs) sind alle Vorkehrungen, mit denen ein Unternehmen personenbezogene Daten vor Verlust, Zerstörung, Veränderung und unbefugtem Zugriff schützt. Technisch sind Maßnahmen, die in Systemen und Gebäuden umgesetzt werden – Verschlüsselung, Firewall, Backup, Zutrittskontrolle. Organisatorisch sind Regeln und Abläufe – Berechtigungskonzept, Schulungen, Vertretungsregeln, Clean-Desk-Policy. Die Frage „Was sind TOMs?“ beantwortet Art. 32 DSGVO: Maßnahmen, die dem Risiko der Verarbeitung angemessen sind und deren Wirksamkeit regelmäßig überprüft wird. Ihre Dokumentation ist Pflichtbestandteil des Verzeichnisses der Verarbeitungstätigkeiten und jedes Auftragsverarbeitungsvertrags.

Rechtsgrundlage: Art. 32 DSGVO und Art. 25

Art. 32 verlangt vom Verantwortlichen und vom Auftragsverarbeiter, unter Berücksichtigung von Stand der Technik, Kosten, Art und Zweck der Verarbeitung und dem Risiko für die Betroffenen ein angemessenes Schutzniveau zu gewährleisten. Als Beispiele nennt die Verordnung Pseudonymisierung und Verschlüsselung, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen. Art. 25 ergänzt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Die Rechenschaftspflicht (Art. 5 Abs. 2) verlangt, das alles nachweisen zu können – deshalb das TOM-Dokument. Auch nach ISO/IEC 27001 und ISO/IEC 27701 sind dieselben Maßnahmen Teil des Systems; ein Unternehmen mit ISMS kann seine TOMs weitgehend aus der Erklärung zur Anwendbarkeit ableiten.

Checkliste: TOMs nach Schutzzielen

Bewährt hat sich die Gliederung nach den Gewährleistungszielen, die auch das Standard-Datenschutzmodell der Aufsichtsbehörden verwendet:

Vertraulichkeit: Zutrittskontrolle (Schließsystem, Besucherregelung, Alarmanlage), Zugangskontrolle (Passwortrichtlinie, Mehr-Faktor-Authentifizierung, Bildschirmsperre), Zugriffskontrolle (Berechtigungskonzept, Protokollierung, Verschlüsselung von Laptops und Datenträgern), Trennungskontrolle (Mandanten- und Testdatentrennung), Pseudonymisierung – siehe pseudonymisierte Daten.
Integrität: Weitergabekontrolle (Transportverschlüsselung, sichere Datenträgerentsorgung, Übermittlungsprotokolle), Eingabekontrolle (Nachvollziehbarkeit von Eingaben und Änderungen, Protokollierung).
Verfügbarkeit und Belastbarkeit: Backup-Konzept mit getesteter Wiederherstellung, unterbrechungsfreie Stromversorgung, Brandschutz, Virenschutz und Patch-Management, Notfallplan.
Verfahren zur Überprüfung: Datenschutzmanagement mit regelmäßigen Audits, Vorfallmanagement mit Meldeprozess, Auftragskontrolle über AV-Verträge und Dienstleisterprüfung, Schulungen – siehe Datenschutz-Awareness.

Die TOMs sind risikoabhängig: Ein Handwerksbetrieb mit Kundenadressen braucht andere Maßnahmen als eine Arztpraxis mit Gesundheitsdaten. Was angemessen ist, ergibt sich aus der Risikobetrachtung im Datenschutzmanagementsystem und bei hohem Risiko aus der Datenschutz-Folgenabschätzung.

TOMs dokumentieren und aktuell halten

Ein zentrales TOM-Dokument je Unternehmen, gegliedert nach Schutzzielen, mit Stand und Freigabe; Verweise auf Richtlinien und Konzepte statt Wiederholung.
Konkret statt pauschal: „Verschlüsselung“ genügt nicht – welche Systeme, welches Verfahren, welche Ausnahmen.
Als Anlage zu jedem Auftragsverarbeitungsvertrag (Art. 28 Abs. 3 DSGVO) und als Grundlage der Dienstleisterprüfung.
Jährliche Überprüfung der Wirksamkeit, dokumentiert: Backup-Wiederherstellung getestet, Berechtigungen rezertifiziert, Phishing-Test ausgewertet.
Aktualisierung bei neuen Systemen, Verarbeitungen, Standorten oder nach einem Datenschutzvorfall.

Häufige Fragen zu TOMs

Was sind TOMs in der IT und im Datenschutz?

TOMs sind technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten nach Art. 32 DSGVO. Technische Maßnahmen wirken in Systemen und Gebäuden – Verschlüsselung, Firewall, Backup, Zutrittskontrolle. Organisatorische Maßnahmen sind Regeln und Abläufe – Berechtigungskonzept, Schulungen, Vertretungsregelungen. Zusammen sollen sie ein dem Risiko angemessenes Schutzniveau gewährleisten.

Müssen TOMs schriftlich dokumentiert werden?

Ja. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt den Nachweis, dass angemessene Maßnahmen bestehen. Außerdem ist eine allgemeine Beschreibung der TOMs Pflichtangabe im Verzeichnis der Verarbeitungstätigkeiten (Art. 30) und Bestandteil jedes Auftragsverarbeitungsvertrags (Art. 28). Aufsichtsbehörden fordern das TOM-Dokument bei Prüfungen und nach Datenpannen an.

Was ist der Unterschied zwischen TOMs und einem ISMS?

TOMs sind die einzelnen Schutzmaßnahmen für personenbezogene Daten. Ein Informationssicherheitsmanagementsystem nach ISO 27001 ist der übergeordnete Rahmen, der für alle Informationen des Unternehmens Risiken bewertet und Maßnahmen steuert. Wer ein ISMS betreibt, kann seine TOMs daraus ableiten; umgekehrt ersetzt ein TOM-Dokument kein Managementsystem.