TOM nach DSGVO: Technische und organisatorische Maßnahmen richtig umsetzen

Technische und Organisatorische Maßnahmen, kurz TOM, sind alle Vorkehrungen, die ein Unternehmen trifft, um personenbezogene Daten vor unbefugtem Zugriff, Verlust, Veränderung oder Vernichtung zu schützen. Die Rechtsgrundlage findet sich in Art. 32 DSGVO, der Verantwortliche und Auftragsverarbeiter gleichermaßen verpflichtet, ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Entscheidend ist das Wort angemessen: Die DSGVO schreibt keine universelle Checkliste vor. Stattdessen verlangt sie eine individuelle Risikoabwägung. Ein mittelständisches Handwerksunternehmen mit wenigen Kundenadressen steht vor anderen Anforderungen als eine Online-Plattform mit Millionen von Nutzerprofilen. Maßstab ist immer der sogenannte Stand der Technik – also das, was nach aktuellem Wissensstand technisch möglich und wirtschaftlich vertretbar ist.

TOMs sind keine einmalige Aufgabe, die man abhaken und vergessen kann. Sie sind ein lebendiges System, das regelmäßig überprüft, angepasst und dokumentiert werden muss. Wer heute seine Infrastruktur absichert und in drei Jahren keine einzige Überprüfung durchgeführt hat, hat die DSGVO-Anforderungen dennoch verletzt – selbst wenn zwischenzeitlich nichts passiert ist. Aufsichtsbehörden prüfen bei Kontrollen nicht nur den aktuellen Zustand, sondern auch die Nachweise über regelmäßige Reviews.

Rechenzentrum und Infrastruktur: Serverräume mit Zugangskontrolle (Chipkarte, PIN, Kamera), klimatisierte und gesicherte Schränke, unterbrechungsfreie Stromversorgung (USV), Brandschutzanlagen, redundante Internetanbindung. Wer Hosting-Dienste nutzt, sollte den AVV des Anbieters prüfen und sicherstellen, dass Rechenzentren mindestens ISO 27001 oder SOC 2 zertifiziert sind.

Netzwerk und Systeme: Firewall mit definierten Regelwerken, Netzwerksegmentierung (z. B. VLAN für produktive Systeme und Gäste getrennt), regelmäßige Patch- und Update-Zyklen für Betriebssysteme und Applikationen, Intrusion-Detection-Systeme (IDS), Protokollierung von Zugriffen und Anomalien, verschlüsselte VPN-Verbindungen für Fernzugriffe.

Zugang und Identität: Rollenbasierte Zugriffsrechte (Prinzip der minimalen Rechtevergabe), Mehrfaktor-Authentifizierung für alle externen Zugänge und privilegierten Accounts, automatische Sperrung nach Inaktivität, zentrales Identity- und Access-Management (IAM), sofortige Deaktivierung von Accounts ausgeschiedener Mitarbeiter.

Organisation und Prozesse: Dokumentiertes Löschkonzept mit definierten Aufbewahrungsfristen, Verpflichtung aller Mitarbeiter auf Vertraulichkeit, standardisierte Prozesse für Datenpannen (Incident Response), AVV mit allen Dienstleistern, die personenbezogene Daten verarbeiten, regelmäßige Datenschutz-Folgenabschätzungen (DSFA) für risikoreiche Verarbeitungen.

Der Begriff Stand der Technik ist eine dynamische Größe. Er beschreibt, was technisch verfügbar, praxiserprobt und wirtschaftlich vertretbar ist. Was vor fünf Jahren als sicher galt – etwa MD5 als Hash-Algorithmus oder WEP-Verschlüsselung im WLAN – ist heute technisch überholt und würde einem Datenschutz-Audit nicht standhalten.

Praktisch bedeutet das: Unternehmen müssen ihre TOMs regelmäßig an den aktuellen Stand anpassen. Empfehlungen des BSI (Bundesamt für Sicherheit in der Informationstechnik) und Hinweise der Datenschutzkonferenz (DSK) sind gute Orientierungspunkte für den deutschen Markt. Die DSK hat etwa konkrete Empfehlungen zu Passwortlängen, Verschlüsselungsstandards und Backup-Intervallen veröffentlicht.

Bei der Risikoabwägung zählen Faktoren wie: Art und Sensibilität der verarbeiteten Daten (Gesundheitsdaten erfordern mehr als eine Kundenliste), Umfang der Verarbeitung (1.000 vs. 1.000.000 Datensätze), Eintrittswahrscheinlichkeit von Bedrohungen und die möglichen Folgen eines Datenschutzvorfalls für die Betroffenen. Das Ergebnis dieser Abwägung muss dokumentiert werden – sie ist der Kern eines rechtssicheren TOM-Konzepts.

ISO 27001 und BSI IT-Grundschutz sind internationale bzw. nationale Standards für Informationssicherheits-Managementsysteme (ISMS). Sie sind nicht identisch mit der DSGVO-TOM-Pflicht, überschneiden sich aber stark. Wer nach ISO 27001 zertifiziert ist, erfüllt in der Regel einen Großteil der TOM-Anforderungen – allerdings nicht automatisch alle datenschutzspezifischen Aspekte.

Für den Mittelstand, der keine formelle Zertifizierung anstrebt, lohnt es sich dennoch, die Maßnahmenkataloge dieser Standards als Checkliste zu nutzen. Der BSI IT-Grundschutz-Kompendium ist kostenlos verfügbar und bietet konkrete, praxisnahe Maßnahmenbeschreibungen für alle gängigen IT-Bereiche. Die ISO 27701 ergänzt ISO 27001 speziell um datenschutzrechtliche Anforderungen und kann als Brücke zwischen ISMS und DSGVO-Compliance dienen.

Typische Schwachstellen im Mittelstand sind: fehlende oder veraltete Netzwerkdokumentation, keine klaren Rollenkonzepte, Backups die nie auf Wiederherstellbarkeit getestet werden, fehlende AVVs mit Cloud-Diensten (Microsoft 365, Google Workspace, Dropbox) sowie Mitarbeiter ohne Datenschutz-Grundschulung. Diese Lücken sind kein Ausdruck bösen Willens – sie entstehen, weil IT-Sicherheit und Datenschutz im Tagesgeschäft oft keine Priorität haben. Ein externer Datenschutzbeauftragter oder eine strukturierte Erstberatung hilft, diese Lücken schnell und kostengünstig zu schließen.