Privacy Program Technische Organisatorische Kontrollen

Art.

32 Abs.

1 lit. d DSGVO fordert ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit technischer und organisatorischer Maßnahmen. Das bedeutet: Unternehmen müssen nicht nur TOMs implementieren, sondern deren tatsächliche Schutzwirkung kontinuierlich nachweisen. Die Prüfung muss den Stand der Technik berücksichtigen, risikobasiert erfolgen und dokumentiert werden. Ohne dieses Verfahren drohen Bußgelder nach Art.

83 Abs.

4 DSGVO.

Die DSGVO nennt keine feste Frequenz — die Prüfintervalle richten sich nach dem Risiko der Verarbeitung. Als Mindeststandard gilt eine jährliche Gesamtüberprüfung. Bestimmte Maßnahmen erfordern häufigere Kontrollen: Firewall-Regeln und Patch-Management sollten monatlich, Backup-Wiederherstellungstests quartalsweise und Zugriffsrechte halbjährlich geprüft werden. Nach Sicherheitsvorfällen, Systemänderungen oder neuen Bedrohungslagen ist eine sofortige Nachprüfung erforderlich.

Bewährte Prüfmethoden umfassen interne und externe Audits nach ISO 19011, automatisierte Schwachstellenscans und Penetrationstests für technische Maßnahmen, sowie dokumentenbasierte Reviews und Mitarbeiterbefragungen für organisatorische Kontrollen. Ergänzend kommen Tabletop-Übungen für Incident-Response-Prozesse, Phishing-Simulationen für Awareness-Maßnahmen und automatisiertes Compliance-Monitoring zum Einsatz. Die Methodenwahl sollte risikobasiert erfolgen und beide Dimensionen — technisch und organisatorisch — abdecken.

Die Dokumentation muss die Rechenschaftspflicht nach Art.

5 Abs.

2 DSGVO erfüllen. Jede Prüfung sollte enthalten: geprüfte Maßnahme mit Zuordnung zum Schutzziel, Prüfmethode und -datum, Ergebnis der Wirksamkeitsbewertung, identifizierte Abweichungen mit Risikoeinstufung, beschlossene Korrekturmaßnahmen mit Verantwortlichen und Fristen sowie den Termin der nächsten Überprüfung. Diese Nachweise müssen bei Anfragen von Aufsichtsbehörden zeitnah vorgelegt werden können.

Die Implementierung umfasst die erstmalige Einführung technischer und organisatorischer Maßnahmen — etwa Verschlüsselung, Zugriffskontrolle oder Datenschutzrichtlinien. Die Überwachung hingegen prüft danach fortlaufend, ob diese Maßnahmen in der Praxis tatsächlich wirken. Typische Probleme, die erst durch Monitoring auffallen: veraltete Firewall-Regeln, nicht durchgesetzte Passwortrichtlinien, fehlende Patches oder Mitarbeiter, die Sicherheitsvorgaben umgehen. Ohne regelmäßige Wirksamkeitskontrolle ist die beste Implementierung wertlos.

Aussagekräftige KPIs für TOM-Monitoring umfassen: Mean Time to Detect und Mean Time to Respond bei Sicherheitsvorfällen, Anteil fristgerecht durchgeführter Kontrollen, Anzahl und Schwere identifizierter Abweichungen, Erfolgsquote bei Backup-Wiederherstellungstests, Ergebnisse von Phishing-Simulationen, Abschlussquoten von Datenschutzschulungen sowie die Zeit bis zur Behebung identifizierter Schwachstellen. Diese Kennzahlen sollten in einem Privacy-Dashboard zusammengeführt und regelmäßig an die Geschäftsleitung berichtet werden.

ADVISORI etabliert strukturierte Prüfverfahren für technische und organisatorische Datenschutzkontrollen. Das umfasst die Entwicklung risikobasierter Audit-Pläne mit definierten Prüfzyklen, die Durchführung von Wirksamkeitsaudits nach anerkannten Standards, den Aufbau automatisierter Monitoring-Systeme für kontinuierliche Kontrolle sowie die Erstellung prüfungssicherer Dokumentation für Aufsichtsbehörden. Unser Ansatz verbindet regulatorische Anforderungen nach Art.

32 DSGVO mit praktisch umsetzbaren Kontrollprozessen.