TOM-Wirksamkeitsprüfung: Datenschutzkontrollen testen

Eine TOM-Wirksamkeitsprüfung bewertet, ob technische und organisatorische Maßnahmen im betrachteten Verfahren tatsächlich Schutz bieten. Artikel 32 Absatz 1 Buchstabe d DSGVO sieht eine regelmäßige Wirksamkeitsbewertung vor. Unser Prüfauftrag konkretisiert dafür Umfang, Nachweise und Bewertungskriterien. Die Orientierung am Risiko und die Nachverfolgung von Prüfmaßnahmen beschreibt auch der EDPB in seinem Leitfaden „Secure personal data“. Eine bloße Liste vorhandener Maßnahmen ersetzt den Test ihrer Anwendung nicht.

Wir vereinbaren Intervalle je Kontrolle anhand der Verarbeitung, möglicher Auswirkungen, Änderungshäufigkeit und bisheriger Befunde. Eine häufig geänderte Berechtigungsstruktur kann andere Prüfzyklen benötigen als ein stabiler organisatorischer Ablauf. Vorfälle, wesentliche Systemänderungen oder neue Erkenntnisse werden als mögliche Auslöser einer zusätzlichen Prüfung aufgenommen. Ein jährlicher Gesamtdurchlauf wird nicht als allgemeingültiger Mindeststandard vorgegeben. Die Begründung der Intervalle und der nächste Prüftermin gehören in den Prüfplan.

Die Methode folgt dem Prüfziel. Für Zugriffsrechte kann ein Abgleich genehmigter Rollen mit einer Systemstichprobe sinnvoll sein; für Backups ein geplanter Wiederherstellungstest. Organisatorische Abläufe werden anhand tatsächlich bearbeiteter Vorgänge, Dokumente und Gespräche bewertet. Vor technischen Tests werden Freigaben, Testdaten, Betriebsgrenzen und Abbruchkriterien vereinbart. Ein Scan liefert nur einen Teil der Nachweise und ersetzt keine Bewertung organisatorischer Kontrollen.

Ein Prüfprotokoll beschreibt Kontrolle, Schutzziel, Testschritte, Datum, Systemstand und Stichprobe. Es verweist auf die verwendeten Nachweise und trennt Beobachtung von Bewertung. Festgestellte Abweichungen erhalten eine Priorität sowie eine verantwortliche Person und Folgemaßnahme. Fehlende Belege und nicht geprüfte Bereiche werden ausdrücklich ausgewiesen. Zugriffsrechte und Aufbewahrung der Prüfunterlagen werden passend zum Inhalt festgelegt; die Dokumentation allein garantiert keine rechtliche Anerkennung.

Die Implementierung führt eine Maßnahme ein, beispielsweise einen Berechtigungsprozess oder ein Wiederherstellungsverfahren. Die Wirksamkeitsprüfung untersucht danach anhand konkreter Fälle, ob die beabsichtigte Wirkung erreicht wird. Diese Leistung konzentriert sich auf Prüfplanung, Nachweise, Befunde und Folgetests. Eine umfassende technische Umsetzung oder Datenschutz-Folgenabschätzung wird bei Bedarf gesondert abgegrenzt. Dadurch bleibt klar, welche Ergebnisse der Prüfauftrag liefern kann.

Nützlich sind etwa der Anteil fristgerecht geprüfter Kontrollen, überfällige Maßnahmen, fehlende Nachweise und Ergebnisse von Wiederholungsprüfungen. Jede Kennzahl benötigt eine eindeutige Definition, Datenquelle, verantwortliche Person und Aktualisierung. Die Anzahl bestandener Tests wird zusammen mit Umfang und Stichprobe berichtet. Eine hohe Quote bei wenigen einfachen Kontrollen darf erhebliche ungeprüfte Risiken nicht verdecken. Zielwerte werden mit den Verantwortlichen vereinbart statt pauschal versprochen.

Zum Einstieg benötigen wir eine Übersicht der betrachteten Verarbeitungen und Systeme, vorhandene TOM-Dokumentation, relevante Nachweise und Ansprechpartner. Gemeinsam wählen wir einen Pilotprozess und definieren Prüfziele, Zugang, Testgrenzen und Abnahmekriterien. Nach dem Pilot erhalten Sie ein Prüfprotokoll, bewertete Befunde und eine Maßnahmenliste. Der weitere Umfang richtet sich nach den Ergebnissen und den verfügbaren Ressourcen. Eine Zertifizierung oder behördliche Freigabe wird damit nicht zugesagt.