TOMs nach DSGVO: technische und organisatorische Maßnahmen

Was verlangt Art. 32 DSGVO?

Verantwortliche und Auftragsverarbeiter treffen geeignete technische und organisatorische Maßnahmen, „um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“ (Art. 32 Abs. 1). Sie berücksichtigen den Stand der Technik, die Kosten, Art, Umfang, Umstände und Zwecke der Verarbeitung und die Wahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der Menschen.

Die Maßnahmen schließen „gegebenenfalls unter anderem“ ein: Pseudonymisierung und Verschlüsselung (Buchst. a), die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme (b), die rasche Wiederherstellung nach einem Zwischenfall (c) und ein Verfahren, das die Wirksamkeit regelmäßig überprüft (d). Das Wort „gegebenenfalls“ steht im deutschen Text seit einer Berichtigung von 2018.

Bei der Bewertung zählen besonders Vernichtung, Verlust, Veränderung, unbefugte Offenlegung und unbefugter Zugang (Abs. 2). Abs. 4 verlangt außerdem Schritte, damit Beschäftigte mit Zugang zu personenbezogenen Daten diese nur auf Anweisung verarbeiten.

Art. 32 Abs. 1, 2 und 4 DSGVO

Wie wählen Sie angemessene Maßnahmen aus?

Maßstab ist das Risiko für die Menschen, deren Daten Sie verarbeiten. Die Datenschutzkonferenz (DSK) ist die Konferenz der deutschen Aufsichtsbehörden. In ihrem Kurzpapier Nr. 18 beschreibt sie das Risiko mit zwei Größen: der Schwere eines möglichen Schadens, etwa einer Rufschädigung oder eines finanziellen Verlusts, und der Wahrscheinlichkeit, dass er eintritt.

Das Ergebnis ordnet die DSK in die Stufen geringes Risiko, Risiko und hohes Risiko. Ist ein hohes Risiko zu erwarten, bestimmen Sie die Maßnahmen nach ihren Hinweisen zum Verzeichnis schon im Rahmen einer Datenschutzfolgenabschätzung nach Art. 35.

Für die Auswahl verweist die DSK in denselben Hinweisen auf ihr Standard-Datenschutzmodell (SDM), auf den IT-Grundschutz des BSI und auf ISO Normen. Das SDM, Version 3.1 von 2024, ordnet Maßnahmen sieben Gewährleistungszielen zu, von Datenminimierung bis Intervenierbarkeit, also der Möglichkeit für Betroffene, ihre Rechte durchzusetzen. Es liest diese Ziele aus der Sicht der betroffenen Personen.

Art. 32 Abs. 1 · Art. 35 DSGVO

Wo und wie Sie die TOMs beschreiben

Art. 32 schreibt kein eigenes Dokument vor. Das Verzeichnis von Verarbeitungstätigkeiten soll aber, wenn möglich, eine allgemeine Beschreibung der Maßnahmen enthalten (Art. 30 Abs. 1 Buchst. g), und nach der DSK ist diese Beschreibung trotz „wenn möglich“ der Regelfall.

Die Beschreibung soll so konkret sein, dass die Aufsichtsbehörde eine erste Prüfung der Rechtmäßigkeit vornehmen kann (DSK, Kurzpapier Nr. 1). Sie dürfen auf vorhandene Unterlagen verweisen, etwa ein Sicherheitskonzept aus Ihrer Informationssicherheit, und ergänzen dann, was für eine Verarbeitung zusätzlich gilt.

Art. 32 gilt auch für Auftragsverarbeiter, und Ihr Unternehmen arbeitet nur mit solchen, die hinreichende Garantien bieten (Art. 28 Abs. 1). Der Vertrag verpflichtet sie auf alle nach Art. 32 erforderlichen Maßnahmen und darauf, Ihnen die Informationen zum Nachweis zu geben (Art. 28 Abs. 3 Buchst. c und h). Lassen Sie sich ihre Beschreibung geben, bevor Sie sie beauftragen.

Art. 28 Abs. 1 und 3 · Art. 30 Abs. 1 Buchst. g DSGVO

Beispiel: die TOMs eines Betriebs mit 80 Beschäftigten

Die Muster Metall GmbH, ein erfundener Betrieb, beschreibt ihre TOMs nach den Buchstaben von Art. 32 Abs. 1. Ein schwacher Satz wäre: „Wir schützen Daten nach dem Stand der Technik.“ Er sagt nicht, was im Betrieb geschieht.

Ihre Beschreibung sagt stattdessen: Die Festplatten aller Laptops sind verschlüsselt, der Wiederherstellungsschlüssel liegt getrennt vom Gerät (a). Rechte werden über Rollen vergeben, E-Mail und Fernzugriff verlangen einen zweiten Faktor (b). Der Server wird täglich gesichert, und die letzte geglückte Wiederherstellung ist mit Datum vermerkt (c).

Zu Buchstabe d steht dort, wer die Maßnahmen wann prüft: die Geschäftsführung mit dem externen Datenschutzbeauftragten. Pseudonymisierung setzt die Firma bisher nicht ein und hält fest, warum.

Welche Fehler Sie bei TOMs vermeiden sollten

Übernehmen Sie keine Vorlage unverändert. Sie beschreibt Maßnahmen, die in Ihrem Betrieb vielleicht nicht gelten, und Ihr Unternehmen muss nachweisen können, was es tatsächlich tut (Art. 5 Abs. 2).

Zählen Sie nicht nur Technik auf. Zu den organisatorischen Maßnahmen gehören etwa die Verpflichtung auf Vertraulichkeit, Anweisungen an Beschäftigte nach Art. 32 Abs. 4 und ein Rollen- und Rechtekonzept.

Vergessen Sie Buchstabe d nicht. Ohne ein Verfahren, das die Wirksamkeit prüft, bleibt die Beschreibung ein Stand von einem Tag. Art. 24 Abs. 1 verlangt, Maßnahmen erforderlichenfalls zu überprüfen und zu aktualisieren.

Übernehmen Sie NIS 2 Maßnahmen nicht ungeprüft. Sie schützen Ihre Systeme, Art. 32 fragt nach dem Risiko für die Menschen, deren Daten Sie verarbeiten.

Mit einem KI Assistenten: was er für die TOMs entwerfen kann

Ein KI Assistent wie Claude, ChatGPT oder Copilot kann aus Ihren Unterlagen eine Beschreibung nach den Buchstaben a bis d entwerfen und Lücken markieren, etwa fehlende Angaben zur Pseudonymisierung. Über MCP (Model Context Protocol), einen offenen Standard, liest er dafür auch Ihren NIS 2 Durchgang. Wie das geht, zeigt unser Artikel zu TOMs mit KI aus Ihren NIS 2 Unterlagen.

Ob eine Maßnahme dem Risiko angemessen ist, entscheidet Ihr Unternehmen als Verantwortlicher (Art. 32 Abs. 1). Prüfen Sie jeden Satz des Entwurfs gegen das, was im Betrieb wirklich eingerichtet ist.

Geben Sie dem Assistenten Unterlagen mit personenbezogenen Daten, verarbeitet sein Anbieter diese mit. Handelt er als Auftragsverarbeiter, braucht es einen Vertrag nach Art. 28 Abs. 3 DSGVO. Ein DSGVO Durchgang auf nisd2.eu ist in Arbeit, mit demselben MCP Server wie der NIS 2 Durchgang.