TOM (technische und organisatorische Maßnahmen), im Compliance-Kontext.
TOM sind die Schutzmaßnahmen für personenbezogene Daten nach Artikel 32 DSGVO. Sie werden dokumentiert und dem Auftragsverarbeitungsvertrag beigefügt.
Technische und organisatorische Maßnahmen (TOM) sind die Vorkehrungen, mit denen ein Verantwortlicher oder ein Auftragsverarbeiter personenbezogene Daten schützt. Artikel 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt als Beispiele Pseudonymisierung, Verschlüsselung, die Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Technische Maßnahmen betreffen Systeme, etwa Transportverschlüsselung, Zugriffskonzepte, Protokollierung und Sicherungen. Organisatorische Maßnahmen betreffen Abläufe, etwa Rollenkonzepte, Vertraulichkeitsverpflichtungen, Löschroutinen und Meldeprozesse. Nach Artikel 28 DSGVO gehören die TOM zum Auftragsverarbeitungsvertrag und werden üblicherweise als eigene Anlage geführt.
Beispiele aus dem Mittelstand
- Ein deutscher SaaS-Anbieter führt eine TOM-Anlage mit Zugriffskonzept, Verschlüsselung im Transport und Ablauf für Sicherungen und Wiederherstellung.
- Ein Handelsunternehmen dokumentiert Löschroutinen je Datenart und verknüpft sie mit den Einträgen im Verarbeitungsverzeichnis.
- Eine Praxis regelt Rollen und Vertraulichkeitsverpflichtungen schriftlich, weil der Zugriff auf Gesundheitsdaten eng begrenzt sein muss.
Folge-Fragen
Gibt es eine verbindliche Liste von Maßnahmen?
Artikel 32 DSGVO nennt Beispiele, keine abschließende Aufzählung. Maßstab sind das Risiko für die betroffenen Personen, der Stand der Technik und die Implementierungskosten.
Wie oft werden TOM überprüft?
Artikel 32 DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. Ein fester Turnus ist nicht vorgegeben; üblich sind jährliche Reviews und anlassbezogene Prüfungen.
Worin unterscheiden sich TOM und Folgenabschätzung?
TOM beschreiben die Schutzmaßnahmen. Die Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO ist eine vorgelagerte Risikoprüfung für Verarbeitungen mit voraussichtlich hohem Risiko.
Reicht die TOM-Anlage des Dienstleisters?
Sie beschreibt die Maßnahmen des Auftragsverarbeiters. Ob sie für die eigene Verarbeitung angemessen ist, bewertet der Verantwortliche; bei sensiblen Daten gehört diese Bewertung in eine anwaltliche Prüfung.
TOM (technische und organisatorische Maßnahmen) in der Praxis.
Wo dieser Begriff in deinem Geschäft konkret wird, beginnt die Arbeit. Wir nennen klar, ob die Idee in unser Studio passt.
Datenschutz