Glossar · Datenschutz & Recht
Was sind TOM?
Kurz erklärt
TOM (technische und organisatorische Maßnahmen) sind die konkreten Schutzvorkehrungen, mit denen ein Unternehmen personenbezogene Daten nach Artikel 32 DSGVO sichert – von Verschlüsselung und Backups bis zu Zutrittsregeln und Schulungen.
TOM steht für technische und organisatorische Maßnahmen, mit denen ein Unternehmen personenbezogene Daten vor Verlust, Diebstahl und unbefugtem Zugriff schützt. Die DSGVO verlangt solche Maßnahmen in Artikel 32 ausdrücklich. Sie sind damit keine freiwillige Kür, sondern Pflicht für jedes Unternehmen, das Kundendaten, Personaldaten oder Patientendaten verarbeitet.
Wie funktionieren TOM?
Die DSGVO schreibt keine feste Liste vor. Sie verlangt ein Schutzniveau, das dem Risiko angemessen ist. Dabei werden der Stand der Technik, die Kosten, die Art der Daten und die möglichen Folgen für die Betroffenen berücksichtigt.
Artikel 32 nennt beispielhaft einige Maßnahmen, an denen sich die TOM orientieren sollten.
- Pseudonymisierung und Verschlüsselung personenbezogener Daten
- die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme
- die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen
- ein Verfahren, um die Wirksamkeit der Maßnahmen regelmäßig zu überprüfen
Technische und organisatorische Maßnahmen im Vergleich
| Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|
| Verschlüsselung von Laptops, Smartphones und Übertragungen | Richtlinien für Passwörter, Homeoffice und mobile Geräte |
| Multi-Faktor-Authentifizierung | Berechtigungskonzept mit klaren Rollen |
| Firewall, Virenschutz und Endpoint-Schutz | Schulung und Sensibilisierung der Mitarbeitenden |
| Backup und getestete Wiederherstellung | Notfallplan mit Zuständigkeiten |
| Protokollierung von Zugriffen | Verträge mit Dienstleistern und deren Kontrolle |
Technische Maßnahmen setzen Sicherheit mit Hard- und Software um. Organisatorische Maßnahmen regeln, wie Menschen im Unternehmen mit Daten umgehen. Beide Seiten gehören zusammen, denn das beste Passwortsystem hilft wenig, wenn Zugangsdaten auf einem Zettel am Bildschirm kleben.
Schutzziele als Orientierung
- Vertraulichkeit: Nur Berechtigte sehen die Daten.
- Integrität: Daten werden nicht unbemerkt verändert.
- Verfügbarkeit: Daten sind nutzbar, wenn sie gebraucht werden.
- Belastbarkeit: Systeme halten Störungen stand und lassen sich wiederherstellen.
Die deutschen Datenschutzaufsichtsbehörden haben mit dem Standard-Datenschutzmodell eine Methode veröffentlicht, die diese Ziele um weitere ergänzt, etwa Datenminimierung und Transparenz. Wer tiefer einsteigen möchte, findet im BSI-IT-Grundschutz zudem viele konkrete Sicherheitsanforderungen.
So dokumentieren Sie TOM
Eine gute Dokumentation ist kurz, konkret und ehrlich. Sie beschreibt den tatsächlichen Stand und wird gepflegt, wenn sich etwas ändert.
- Bestand aufnehmen: Welche Systeme, Standorte und Dienstleister verarbeiten personenbezogene Daten?
- Risiken einschätzen: Welche Daten sind besonders schützenswert, etwa Gesundheits- oder Personaldaten?
- Maßnahmen zuordnen: je Schutzziel festhalten, was technisch und organisatorisch umgesetzt ist.
- Lücken schließen: fehlende Maßnahmen mit Verantwortlichen und Termin planen.
- Freigeben und aktualisieren: Geschäftsführung gibt das Dokument frei, danach folgt eine regelmäßige Überprüfung.
Für die Beschreibung genügen oft wenige Seiten. Wichtiger als Umfang ist, dass ein Außenstehender versteht, wie Ihre Daten geschützt sind.
Was bedeuten TOM für Ihr Unternehmen?
TOM werden an vielen Stellen verlangt. Sie gehören als Anlage zu jedem Auftragsverarbeitungsvertrag, werden bei Kundenaudits und Lieferantenfragebögen abgefragt und dienen als Nachweis gegenüber der Aufsichtsbehörde.
Angemessen heißt nicht maximal. Eine Arztpraxis mit Gesundheitsdaten braucht strengere TOM als ein Handwerksbetrieb mit Kundenadressen. Entscheidend ist, dass die Maßnahmen zum tatsächlichen Risiko passen und wirklich umgesetzt sind.
Ein Beispiel: Eine Steuerkanzlei verschlüsselt alle Laptops, sichert die Anmeldung mit einem zweiten Faktor und regelt, wer auf welche Mandantenordner zugreifen darf. Zusätzlich gibt es eine schriftliche Regel für den Umgang mit Papierakten und einen jährlichen Wiederherstellungstest der Datensicherung.
- Nutzen: weniger Sicherheitsvorfälle, schnellere Antworten auf Kundenanfragen und bessere Karten bei Ausschreibungen.
- Kostenfaktoren: Sicherheitssoftware, Backup-Lösungen, Zeit für Dokumentation und Security-Awareness-Training.
- Prüfen: Stimmt die Beschreibung noch mit der gelebten Praxis und der aktuellen IT überein?
- Typischer Fehler: eine Vorlage aus dem Internet übernehmen, die Maßnahmen beschreibt, die es im Betrieb gar nicht gibt.
Unsere DSGVO-Beratung für KMU hilft Ihnen, die Maßnahmen passend zu Ihrer IT zu dokumentieren. Dieser Beitrag ersetzt keine Rechtsberatung.
Häufige Fragen zu TOM
Wie oft sollten TOM überprüft werden?
Die DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung. In der Praxis bewährt sich eine feste jährliche Prüfung und zusätzlich eine Aktualisierung bei wesentlichen Änderungen, etwa neuen Systemen oder einem Umzug in die Cloud.
Gibt es eine Vorlage für TOM?
Vorlagen helfen beim Einstieg, müssen aber an die tatsächliche IT angepasst werden. Beschreiben Sie, was wirklich umgesetzt ist, nicht was wünschenswert wäre.
Wer ist für die TOM verantwortlich?
Verantwortlich ist das Unternehmen selbst, also die Geschäftsführung. IT-Dienstleister und Datenschutzbeauftragte unterstützen bei Umsetzung und Dokumentation.
Stand: · Verantwortlich: Raphael Neuberger, Gründer Newmountains.IT
Aus der Praxis
Passende Lösungen zum Thema TOM (technische und organisatorische Maßnahmen)
Leistung
DSGVO für KMU — rechtssicher aufstellen, Abmahnungen vermeiden
DSGVO für KMU: Abmahnschutz, anwaltlich geprüfte Rechtstexte und Datenschutzbeauftragter über unsere Partner-Kanzlei. Technische Umsetzung ab 490 € netto.
Zur Leistung →Im Shop
Externer Datenschutzbeauftragter
Pflicht ab 20 Mitarbeitern nach § 38 BDSG: Der Händlerbund stellt den externen Datenschutzbeauftragten inklusive 12 Beratungsstunden pro Jahr, DSGVO-Dokumentation und Teamschulung. Ab 99,90 …
219,90 € Ursprünglicher Preis war: 219,90 €99,90 €Aktueller Preis ist: 99,90 €. zzgl. MwSt.
Zum Produkt →Weiterlesen
Verwandte Begriffe
Reden wir über Ihre IT.
In 30 Minuten ordnen wir Ihre Situation ein und zeigen, wo Cloud, KI und Automatisierung bei Ihnen wirklich etwas bringen — und wo nicht. Kostenlos, unverbindlich, ohne Verkaufsdruck.
oder direkt anrufen: 0871 20 655 600 · Mo–Fr 9–17 Uhr
