TOM

Was zählt zu den technischen und organisatorischen Maßnahmen?

TOM sind alle konkreten Vorkehrungen, mit denen ein Unternehmen personenbezogene Daten schützt. Man unterscheidet technische Maßnahmen, die in Systemen verankert sind, und organisatorische Maßnahmen, die Abläufe und Verantwortlichkeiten betreffen.

• Technisch: Verschlüsselung, Zugriffsrechte, Backups, Protokollierung
• Organisatorisch: Berechtigungskonzepte, Schulungen, Vertraulichkeitsverpflichtungen, klare Zuständigkeiten

Gemeinsam sorgen sie dafür, dass nur befugte Personen auf Daten zugreifen und dass diese verfügbar, vertraulich und unverändert bleiben.

Warum verlangt die DSGVO TOM?

Die DSGVO fordert ein dem Risiko angemessenes Schutzniveau. TOM sind der praktische Beleg, dass Sie diese Pflicht erfüllen — nicht durch bloße Absicht, sondern durch nachweisbare Maßnahmen.

Im Schadensfall oder bei einer Prüfung müssen Sie zeigen können, dass Schutzvorkehrungen vorhanden und wirksam waren. Welche Maßnahmen angemessen sind, richtet sich nach Sensibilität der Daten, Stand der Technik und möglichem Schaden für die Betroffenen. TOM sollten dokumentiert und regelmäßig überprüft werden, damit sie aktuell bleiben.

Worauf sollte man bei TOM achten?

Maßnahmen dürfen nicht nur auf dem Papier stehen. Entscheidend ist, dass sie tatsächlich gelebt, dokumentiert und in Abständen überprüft werden.

Orientieren Sie den Aufwand am Risiko: Hochsensible Daten brauchen stärkere Vorkehrungen als unkritische. Vermeiden Sie generische Listen, die nicht zur eigenen IT passen. Ein wiederkehrendes Audit hilft, Lücken zu erkennen und die Maßnahmen aktuell zu halten. Auch Dienstleister müssen über den Auftragsverarbeitungsvertrag auf passende TOM verpflichtet werden.