TOM DSGVO: Technische und organisatorische Maßnahmen nach Art. 32

TOM nach Art.

32 DSGVO sind Sicherheitsmaßnahmen zum Schutz personenbezogener Daten. Technische Maßnahmen umfassen Verschlüsselung, Firewalls und Zugriffskontrolle. Organisatorische Maßnahmen beinhalten Richtlinien, Schulungen, Zuständigkeiten und Prozesse zur Sicherstellung der Datensicherheit.

Art.

32 nennt Pseudonymisierung und Verschlüsselung, die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sicherzustellen, die rasche Wiederherstellbarkeit nach Zwischenfällen und ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der Maßnahmen.

TOM müssen schriftlich dokumentiert und regelmäßig aktualisiert werden. Die Dokumentation umfasst eine Beschreibung jeder Maßnahme, die Zuordnung zu Schutzzielen, Verantwortlichkeiten, den Implementierungsstatus, Prüfintervalle und Nachweise der Wirksamkeit. Sie ist Teil des Verarbeitungsverzeichnisses.

Technische Maßnahmen umfassen Verschlüsselung von Daten und Kommunikation, Zutrittskontrolle zu Serverräumen, Zugangskontrolle durch Passwortrichtlinien und MFA, Zugriffskontrolle durch Berechtigungskonzepte, Protokollierung, automatische Sicherheitsupdates und Backup-Systeme.

Organisatorische Maßnahmen sind Datenschutzrichtlinien und -konzepte, Mitarbeiterschulungen, Geheimhaltungsvereinbarungen, Vier-Augen-Prinzip, Clean-Desk-Policy, Notfallpläne, regelmäßige Audits und dokumentierte Prozesse für Betroffenenrechte und Datenpannen.

Die Angemessenheit bewertet sich nach Stand der Technik, Implementierungskosten, Art und Umfang der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken. Ein risikobasierter Ansatz erfordert stärkere Maßnahmen bei sensibleren Daten und höheren Risiken.

Art.

32 verlangt regelmäßige Überprüfung und Bewertung der Wirksamkeit. Best Practice sind jährliche TOM-Audits plus anlassbezogene Prüfungen bei Sicherheitsvorfällen, Systemwechseln oder neuen Verarbeitungstätigkeiten. Ergebnisse müssen dokumentiert werden.