Technisch-organisatorische Maßnahmen (TOM) sind alle technischen und organisatorischen Vorkehrungen, die personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Missbrauch schützen. Sie umfassen etwa Verschlüsselung, Zugriffskontrollen, Schulungen und Verfahrensregeln. Ihr Umfang richtet sich nach dem Risiko und dem Stand der Technik.
Definition
Technisch-organisatorische Maßnahmen sind die Gesamtheit der Maßnahmen, mit denen ein Verantwortlicher die Sicherheit der Verarbeitung personenbezogener Daten gewährleistet. Die DSGVO verlangt in Artikel 32 Maßnahmen, die ein dem Risiko angemessenes Schutzniveau sicherstellen. Technische Maßnahmen umfassen Verschlüsselung, Pseudonymisierung, Zugriffskontrollen, Firewalls und Backup-Systeme. Organisatorische Maßnahmen umfassen Richtlinien, Schulungen, Berechtigungskonzepte, Vertraulichkeitsvereinbarungen und Prozesse zur Vorfallbehandlung. Die Auswahl der Maßnahmen muss risikobasiert erfolgen und dokumentiert werden. Sie wird regelmäßig überprüft und an neue Bedrohungen angepasst. Auch die ISO/IEC 27001 verlangt im Anhang A vergleichbare Maßnahmen. TOM sind ein zentraler Bestandteil der Rechenschaftspflicht nach der DSGVO.
Praxisbezug
Ein Handwerksbetrieb verarbeitet Kundendaten auf einem Server. Als technische Maßnahme verschlüsselt er die Festplatten und sichert die Daten täglich. Als organisatorische Maßnahme führt er ein Zugriffskonzept ein und schult die Mitarbeiter. Die getroffenen Maßnahmen werden in einem TOM-Dokument beschrieben, das er auf Anfrage der Aufsichtsbehörde vorlegen kann.
Normbezug
DSGVO Artikel 32; ISO/IEC 27001:2022 Anhang A