Technische und organisatorische Maßnahmen gemäß DSGVO

Technisch-organisatorische Maßnahmen (TOM) sind Schutzvorkehrungen, die Unternehmen gemäß DSGVO zum Schutz personenbezogener Daten ergreifen müssen. Dazu zählen sowohl technische Maßnahmen wie Verschlüsselung, Firewalls und Zugriffsbeschränkungen als auch organisatorische Regelungen wie interne Richtlinien, Verantwortlichkeitsregelungen und Mitarbeiterschulungen. Ziel der TOM ist es, ein angemessenes Datenschutzniveau und Datensicherheit zu gewährleisten und DSGVO-konform zu handeln. TOM sind je nach Unternehmensgröße und Risikolage individuell anzupassen und regelmäßig zu überprüfen.

Zu den technischen Maßnahmen im Rahmen der TOM zählen unter anderem Verschlüsselungstechnologien, Firewalls, Zugangsbeschränkungen, Zwei-Faktor-Authentifizierung, regelmäßige Software-Updates und sichere Passwörter. Auch die Sicherung von Netzwerken, automatische Daten-Backups sowie der physische Schutz von Serverräumen und IT-Infrastruktur gehören dazu. Diese Maßnahmen schützen personenbezogene Daten vor unbefugtem Zugriff, Verlust sowie Manipulation.

Organisatorische Maßnahmen umfassen die Einführung und Umsetzung interner Datenschutzrichtlinien, die klare Festlegung von Verantwortlichkeiten, regelmäßige Schulungen für Mitarbeitende sowie die Überwachung und Dokumentation datenschutzrelevanter Prozesse. Auch das Management von Auftragsverarbeitungsverträgen und die Durchführung von Datenschutz-Folgenabschätzungen zählen dazu. Ziel der organisatorischen Maßnahmen ist, die Einhaltung der Datenschutzanforderungen im täglichen Geschäftsbetrieb zu sichern und DSGVO-konforme Abläufe zu gewährleisten.

Zur DSGVO-konformen Umsetzung der TOM sollten Unternehmen zunächst eine Risikoanalyse durchführen, relevante Schutzmaßnahmen definieren und entsprechend der individuellen Gefährdungslage umsetzen. Wichtig ist zudem die klare Dokumentation aller Maßnahmen, regelmäßige Überprüfung der Wirksamkeit sowie die Anpassung an neue technische und gesetzliche Entwicklungen. Die Sensibilisierung und Schulung der Mitarbeiter ist zentral, um das Bewusstsein für Datenschutz und Datensicherheit dauerhaft zu verankern.

Ausdrücklich vorgeschrieben ist, soweit möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen im Verzeichnis von Verarbeitungstätigkeiten: für Verantwortliche nach Art. 30 Abs. 1 lit. g DSGVO, für Auftragsverarbeiter nach Art. 30 Abs. 2 lit. d DSGVO. Das Verzeichnis ist schriftlich oder elektronisch zu führen und der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen (Art. 30 Abs. 3 und 4 DSGVO). Darüber hinaus muss der Verantwortliche nachweisen können, dass seine Maßnahmen dem Risiko angemessen sind und die Verarbeitung der DSGVO entspricht (Art. 5 Abs. 2, Art. 24 Abs. 1 und Art. 32 Abs. 1 DSGVO). Ein Auftragsverarbeiter muss seinem Auftraggeber die dafür erforderlichen Informationen zur Verfügung stellen (Art. 28 Abs. 3 lit. h DSGVO). Eine bestimmte Form schreibt das Gesetz für diesen Nachweis nicht vor. In der Praxis gelingt er aber nur mit einer Dokumentation, die Risikobewertung, gewählte Maßnahmen, Zuständigkeiten und die regelmäßige Überprüfung nach Art. 32 Abs. 1 lit. d DSGVO nachvollziehbar festhält.

Das Verhältnismäßigkeitsprinzip besagt, dass Umfang und Intensität der technisch-organisatorischen Maßnahmen an die Art, den Umfang, die Umstände und die Zwecke der Datenverarbeitung sowie das Risiko für die Rechte der betroffenen Personen angepasst werden müssen. Unternehmen müssen Maßnahmen wählen, die den Schutz der personenbezogenen Daten angemessen und wirtschaftlich vertretbar sicherstellen. Übermäßige oder unzureichende Maßnahmen gilt es zu vermeiden, um eine effiziente und risikoorientierte Datensicherheit zu gewährleisten.

Die Risikoanalyse bewertet mögliche Gefahren und Risiken bei der Verarbeitung personenbezogener Daten. Unternehmen sollten analysieren, welche Daten verarbeitet werden, wie sensibel diese sind und welche potenziellen Bedrohungen existieren. Auf dieser Grundlage werden angemessene technisch-organisatorische Maßnahmen ausgewählt, um die erkannten Risiken zu verringern. Die Risikoanalyse sollte regelmäßig wiederholt werden, insbesondere bei Veränderungen der Verarbeitung oder des Geschäftsbetriebs.

Die Umsetzung der TOMs koordiniert und verantwortet die Unternehmensleitung. Ein Datenschutzbeauftragter berät und überwacht die Einhaltung der DSGVO (Art. 39 Abs. 1 DSGVO). Auch die einzelnen Fachabteilungen sollten in die Umsetzung eingebunden sein, damit die Datensicherheit im gesamten Unternehmen gewährleistet ist. Die Geschäftsführung ist gegenüber den Aufsichtsbehörden rechenschaftspflichtig und muss die ordnungsgemäße Umsetzung der Datenschutzmaßnahmen sicherstellen. Im Unternehmen steuert die Geschäftsführung die Sicherheitsmaßnahmen, während die Fachabteilungen sie operativ umsetzen. Ein Datenschutzbeauftragter berät und prüft unabhängig, sofern eine Benennungspflicht nach Art. 37 DSGVO besteht.

Bei unzureichenden technisch-organisatorischen Maßnahmen eröffnet das Gesetz zwar einen entsprechenden Bußgeldrahmen (Art. 83 Abs. 4 DSGVO). Die Aufsichtsbehörden entscheiden jedoch stets im konkreten Einzelfall und sind gesetzlich an den Grundsatz der Verhältnismäßigkeit gebunden (Art. 83 Abs. 1 und 2 DSGVO). Das primäre Ziel der Dokumentation ist daher nicht die Vermeidung theoretischer Maximalstrafen, sondern der strukturierte Nachweis, dass das Unternehmen seiner Verantwortung gerecht wird und lösungsorientiert ein angemessenes Schutzniveau etabliert hat.

Beispiele für technische Maßnahmen sind Datenverschlüsselung, Firewalls, Zugriffskontrollen, Virenschutzprogramme und sichere WLAN-Netzwerke. Organisatorische Maßnahmen umfassen die Festlegung klarer Zugriffsrechte, Datenschutzschulungen, Notfall- und Löschkonzepte sowie das regelmäßige Auditieren der bestehenden Maßnahmen. Zusammen helfen diese Maßnahmen, die DSGVO-Anforderungen im Unternehmen dauerhaft zu erfüllen und ein hohes Datenschutzniveau sicherzustellen.

Nein, nicht als rechtlich abschließender Nachweis. ISO/IEC 27001 oder SOC 2 sind keine offiziell genehmigten DSGVO-Zertifizierungsverfahren. Sie gelten daher rechtlich nicht als pauschaler Nachweis für hinreichende Garantien im Sinne von Art. 28 Abs. 5 DSGVO. In der Praxis sind diese Zertifikate jedoch ein starkes Indiz für ein angemessenes Schutzniveau gemäß Art. 32 DSGVO. Der EU-Auftraggeber muss die konkreten technisch-organisatorischen Maßnahmen (TOM) dennoch prüfen und vertraglich bindend vereinbaren.

Ja. Gemäß Art. 28 Abs. 3 lit. h DSGVO muss der Auftragsverarbeitungsvertrag zwingend vorsehen, dass der Dienstleister Überprüfungen, ausdrücklich einschließlich Inspektionen (Vor-Ort-Kontrollen), durch den Auftraggeber oder einen von diesem beauftragten Prüfer ermöglicht und daran mitwirkt. Diese gesetzliche Pflicht zur Duldung von Audits gilt unabhängig davon, ob der Dienstleister in der EU oder in einem Drittland wie der Ukraine ansässig ist.

Da für die Ukraine kein EU-Angemessenheitsbeschluss vorliegt, stützen sich Datentransfers in der Regel auf Standardvertragsklauseln (SCC) für Drittländer (Art. 46 Abs. 2 lit. c DSGVO). Ergibt das zwingend durchzuführende Transfer Impact Assessment (TIA) ein Risiko für staatliche Zugriffe auf die Daten, müssen zusätzliche Schutzmaßnahmen (Supplementary Measures) ergriffen werden. Als effektivste technische Garantie verlangen EU-Kunden in solchen Fällen eine starke Ende-zu-Ende-Verschlüsselung oder Pseudonymisierung, bei der die Schlüsselverwaltung ausschließlich in der EU verbleibt. So wird technisch sichergestellt, dass im Drittland kein Zugriff auf Klartextdaten möglich ist.