Technische und organisatorische Maßnahmen (TOM): Checkliste

Technische und organisatorische Maßnahmen (TOM) sind die Vorkehrungen, mit denen ein Verantwortlicher personenbezogene Daten angemessen sicher verarbeitet. Grundlage ist Art. 32 DSGVO. Technisch sind das etwa Verschlüsselung, Zugriffsrechte und Backups, organisatorisch etwa Schulungen, Verpflichtungen und klare Abläufe. Wie viel nötig ist, richtet sich nach dem Risiko: Gesundheitsdaten und Berufsgeheimnisse verlangen mehr als eine Kundenliste. Wer einen Dienstleister einsetzt, etwa einen KI-Anbieter, muss prüfen, ob dessen TOM ausreichen.

Ein Beispiel aus dem Alltag

Die Praxis Dr. Muster (ein erfundenes Beispiel) dokumentiert ihre TOM auf drei Seiten:

Technisch: Praxisrechner mit verschlüsselter Festplatte, individuelle Anmeldungen, automatische Bildschirmsperre, tägliches Backup auf ein verschlüsseltes Medium außerhalb der Praxis.
Organisatorisch: Alle Mitarbeitenden sind schriftlich zur Verschwiegenheit verpflichtet, einmal im Jahr gibt es eine Datenschutzschulung, Besucher kommen nicht an den Empfangsbildschirm.
Dienstleister: Für Praxissoftware, IT-Betreuung und den KI-Assistenten liegen Auftragsverarbeitungsverträge mit den TOM des jeweiligen Anbieters vor.

Prüft die Aufsichtsbehörde nach einem Vorfall, kann die Praxis zeigen, was sie getan hat.

TOM im Einzelnen

Was Art. 32 DSGVO verlangt

Verantwortliche und Auftragsverarbeiter treffen Maßnahmen, die unter Berücksichtigung von Stand der Technik, Kosten, Art und Zweck der Verarbeitung sowie Risiko ein angemessenes Schutzniveau gewährleisten. Ausdrücklich genannt sind:

a) Pseudonymisierung und Verschlüsselung personenbezogener Daten.
b) Die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen.
c) Die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen.
d) Ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der Maßnahmen.

Außerdem müssen Verantwortliche sicherstellen, dass Personen mit Zugang zu Daten diese nur auf Anweisung verarbeiten (Art. 32 Abs. 4). Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen verlangt zusätzlich Art. 25.

Die üblichen Kategorien

In Deutschland werden TOM oft nach den Kontrollzielen des früheren BDSG gegliedert. Die Begriffe sind bis heute gängig:

Zutrittskontrolle: Wer kommt in Räume mit Servern und Akten?
Zugangskontrolle: Wer kann sich an Systemen anmelden?
Zugriffskontrolle: Wer darf welche Daten sehen und ändern?
Weitergabekontrolle: Wie werden Daten sicher übertragen, etwa verschlüsselt?
Eingabekontrolle: Lässt sich nachvollziehen, wer was geändert hat?
Auftragskontrolle: Halten sich Dienstleister an Ihre Weisungen?
Verfügbarkeitskontrolle: Gibt es Backups und einen Notfallplan?
Trennungsgebot: Werden Daten für verschiedene Zwecke getrennt verarbeitet?

Die Datenschutzkonferenz empfiehlt für die systematische Auswahl das Standard-Datenschutzmodell (SDM).

Sanktion

Fehlende oder unzureichende TOM können mit bis zu zehn Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 DSGVO). Häufiger Anlass ist eine Datenpanne, die nach Art. 33 innerhalb von 72 Stunden an die Aufsichtsbehörde zu melden ist.

Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.

Checkliste zum Abhaken

Technisch

Geräte und Datenträger sind verschlüsselt.
Jede Person hat ein eigenes Konto, Anmeldung mit zweitem Faktor, wo möglich.
Zugriffsrechte folgen dem Bedarf und werden beim Ausscheiden entzogen.
Datenübertragung läuft verschlüsselt, auch E-Mail mit sensiblen Inhalten.
Backups laufen automatisch, liegen getrennt und werden testweise wiederhergestellt.
Updates und Virenschutz sind aktuell.

Organisatorisch

Mitarbeitende sind schriftlich zur Vertraulichkeit verpflichtet.
Es gibt regelmäßige Schulungen, auch zum Umgang mit KI.
Ein Ablauf für Datenpannen ist festgelegt, mit Meldefrist von 72 Stunden.
Löschfristen sind definiert und werden umgesetzt.
Mit jedem Dienstleister besteht ein AVV mit beigefügten TOM.
Die Maßnahmen werden mindestens jährlich überprüft.

So prüfen Sie die TOM eines KI-Anbieters

Ein KI-Anbieter, der als Auftragsverarbeiter arbeitet, muss hinreichende Garantien für geeignete TOM bieten (Art. 28 Abs. 1). Fragen Sie konkret:

Verschlüsselung: bei der Übertragung und im Ruhezustand?
Hosting: In welcher Region liegen die Daten? Gibt es Übermittlungen in Drittländer?
Modellanbieter: Welche KI-Modelle sind angebunden, und speichern deren Anbieter Eingaben?
Training: Wird mit Ihren Inhalten trainiert, auch „anonymisiert“?
Zugriff beim Anbieter: Wer beim Anbieter kann Ihre Daten sehen, und wie ist das geregelt?
Löschung: Wie und wann werden Daten gelöscht?

Was TOM nicht schützen

TOM schützen Daten vor Unbefugten. Sie schützen nicht davor, was ein Anbieter mit Ihren Daten tun darf, wenn der Vertrag es erlaubt. Ein Anbieter mit vorbildlicher Verschlüsselung kann sich in seinen Bedingungen trotzdem eine Lizenz an Ihren Inhalten nehmen. Werden diese anonymisiert, gilt die DSGVO nach Erwägungsgrund 26 nicht mehr, und die Daten dürfen rechtmäßig gebündelt und verkauft werden, etwa an Datenhändler oder KI-Entwickler. Wie das abläuft, zeigt Die Datenspur.

Für Wysor sind die Antworten auf diese Fragen Teil des Vertrags. Wysor ist Auftragsverarbeiter nach Art. 28 DSGVO, nimmt sich keine Lizenz zur Weiterverwendung, trainiert nicht mit Ihren Inhalten und verkauft sie nicht, weder personenbezogen noch anonymisiert. Das bindet auch jeden, dem Wysor künftig gehören könnte. Die Daten sind bei der Übertragung und im Ruhezustand verschlüsselt und werden in der EU gehostet. Bei jedem angebundenen Modellanbieter gilt Zero Data Retention: Die Daten werden verarbeitet und danach gelöscht. In Deutschland sind die eigenen Mitarbeitenden von Wysor in Textform zur Verschwiegenheit verpflichtet und nach § 203 Abs. 4 StGB belehrt.

Häufige Fragen

Was sind technische und organisatorische Maßnahmen? Alle Vorkehrungen, mit denen personenbezogene Daten angemessen geschützt werden. Technische Maßnahmen betreffen Systeme, etwa Verschlüsselung. Organisatorische Maßnahmen betreffen Abläufe und Menschen, etwa Schulungen und Verpflichtungen.

Wo sind TOM gesetzlich geregelt? In Art. 32 DSGVO. Art. 25 ergänzt den Datenschutz durch Technikgestaltung, Art. 28 verlangt, dass Auftragsverarbeiter geeignete TOM nachweisen.

Müssen TOM schriftlich dokumentiert werden? Die DSGVO verlangt, dass Sie die Einhaltung nachweisen können (Art. 5 Abs. 2). Ohne Dokumentation ist das kaum möglich. Eine allgemeine Beschreibung gehört außerdem ins Verarbeitungsverzeichnis.

Welche TOM braucht eine Arztpraxis? Wegen der Gesundheitsdaten ein hohes Schutzniveau: Verschlüsselung, individuelle Konten, Zugriffsrechte, Backups, Verpflichtung der Mitarbeitenden. Für Vertragsarztpraxen gilt zusätzlich die IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung.

Wie oft müssen TOM überprüft werden? Regelmäßig, so verlangt es Art. 32 Abs. 1 lit. d. Üblich ist eine jährliche Prüfung und eine zusätzliche bei neuen Systemen, etwa einem KI-Werkzeug.

Weiterlesen

Verarbeitungsverzeichnis nach Art. 30 DSGVO. Wo die TOM-Beschreibung hingehört.
NIS2 einfach erklärt. Die Cybersicherheitspflichten für größere Einrichtungen.
AVV mit KI-Anbietern. Wie TOM in den Vertrag kommen.
Legal verkäuflich. Die Quellen hinter dem Markt für anonymisierte Daten.

Fragen zu den TOM von Wysor? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App.

Wysor kostenlos testen →