DSGVO und IT: Technische und organisatorische Maßnahmen
Artikel 32 DSGVO verlangt „angemessene“ technische und organisatorische Maßnahmen (TOMs). Was das in der IT konkret heißt und wie Sie es nachvollziehbar dokumentieren.
Verantwortliche müssen die Sicherheit der Verarbeitung personenbezogener Daten durch geeignete Maßnahmen gewährleisten. Maßstab sind Stand der Technik, Implementierungskosten, Art und Umfang der Verarbeitung sowie das Risiko für die Betroffenen. Es gibt keine feste Checkliste, aber typische Bausteine.
Typische Maßnahmen
Zutrittskontrolle: Schutz von Räumen und Servern.
Zugangs- und Zugriffskontrolle: Benutzerkonten, Passwortregeln, MFA, Rechtekonzept.
Weitergabekontrolle: Verschlüsselung bei Übertragung und Speicherung.
Verfügbarkeit und Belastbarkeit: Backup, Notfallplan, Ausfallsicherheit.
Trennungsgebot: Daten verschiedener Zwecke oder Mandanten getrennt halten.
Protokollierung: nachvollziehen, wer wann worauf zugegriffen hat.
Wirksamkeitsprüfung: regelmäßige Tests und Überprüfung der Maßnahmen.
Dokumentation
Eine TOM-Liste beschreibt jede Maßnahme knapp und überprüfbar: Was wird getan, wer ist zuständig, wann wurde zuletzt geprüft. Sie ist Bestandteil des Verzeichnisses von Verarbeitungstätigkeiten und Grundlage für Verträge zur Auftragsverarbeitung. Dieser Beitrag ist keine Rechtsberatung; für die rechtliche Bewertung wenden Sie sich an Datenschutzbeauftragte oder Fachanwälte.
Technische und organisatorische Maßnahmen, mit denen Unternehmen personenbezogene Daten schützen, etwa Zugriffskontrolle, Verschlüsselung, Backup und Schulung.
Muss man TOMs dokumentieren?
Ja, die Maßnahmen müssen nachweisbar sein. In der Praxis geschieht das über eine TOM-Liste, die regelmäßig überprüft wird.
Welche IT-Maßnahmen zählen dazu?
Unter anderem MFA, Rechtekonzept, Verschlüsselung, Backups, Protokollierung, Updates und ein Notfallplan.