Wissen

Technische und Organisatorische Maßnahmen

Technical and organizational measures (TOMs)

TOM für Datenschutz

Technische und organisatorische Maßnahmen (TOM) sind Richtlinien, die personenbezogene Daten, die verarbeitet, erhoben oder genutzt werden, folgen müssen um die Sicherheits- und Schutzanforderungen der DSGVO zu erfüllen. 

‍Was ist das überhaupt?

Technische und organisatorische Maßnahmen (TOM) sind Richtlinien, die personenbezogene Daten, die verarbeitet, erhoben oder genutzt werden, folgen müssen um die Sicherheits- und Schutzanforderungen der DSGVO zu erfüllen. TOM sind in verschiedenen Themengebieten vorhanden, zum Beispiel physisch (Alarmanlagen in Gebäuden), digital (Hard- und Software) oder verfahrenstechnisch (Vier-Augen-Prinzip). 

Im Datenschutz sind TOM vor allem im digitalen Umfeld anwesend. Dazu gehören Benutzerkontos, Passwörter, Daten-Backups, Firewalls, Virenscanner und biometrische Benutzeridentifikation. 

Wieso muss ich das dokumentieren? Wieso brauche ich das?

Im Falle einer meldepflichtigen Datenpanne oder Datenschutzverstoß können TOM belegen, dass geeignete Maßnahmen zum Schutz der Daten getroffen wurden. Wichtig ist dabei, dass das Unternehmen die TOM frühzeitig dokumentiert bevor die Behörde diese verlangt. Diese Dokumentation erfolgt sobald die personenbezogenen Daten im Verarbeitungsprozess stehen. Der Prozess beginnt, wenn Daten wie zum Beispiel E-Mail-Adressen von Newslettern oder generelle Kundendaten gesammelt werden.

Direkt nach dem Anfang des Sammelns und Dokumentierens der Daten muss man sicherstellen, dass die TOM angemessen für die zutreffende Industrie bereitgestellt werden. Ein gutes Beispiel hierfür wäre eine Arztpraxis, die Patientendaten wie Versicherungsnummer und Krankenakten sammelt, mehr Schutz in der IT-Infrastruktur erfordert, als ein Handwerker, der seine Kundendaten auf einer Plattform wie Excel festhält. Beide Situationen haben  verschiedene Erwartungen an den Datenschutz, die unterschiedlich in den TOMs angepasst werden sollten. 

Worauf muss ich bei der Erstellung achten?

Bei der Erstellung von technischen und organisatorischen Maßnahmen ist es wichtig auf die unterschiedlichen Kategorien zu achten. So wird zwischen technischen Maßnahmen und organisatorischen Maßnahmen unterschieden. Zu ersterem zählen physische Schutzmaßnahmen, die der Sicherheit der Datenverarbeitung dienen, wie zum Beispiel Fenster- und Türsicherungen sowie Alarmanlagen. Hingegen beinhalten organisatorische Maßnahmen Handlungsanweisungen und Vorgehens- bzw. Verfahrensweisen für Mitarbeiter (sowie die Umsetzung dieser), wie zum Beispiel Richtlinien für die Besucheranmeldung oder das Vier-Augen-Prinzip. Wichtig ist auch, dass beide Arten von Maßnahmen in den verschiedenen Kontrollkategorien wiederzufinden sind,  welche einzeln dokumentiert werden müssen.

Diese Kontrollkategorien lassen sich in Zugriffskontrolle, Zutrittskontrolle, Zugangskontrolle, Trennungsgebot, Eingabekontrolle, Weitergabekontrolle und Verfügbarkeitskontrolle unterteilen. 

Nach Art. 32 Abs.1 DSGVO muss verschiedenstes berücksichtigt werden bei der Einführung von technischen und organisatorischen Maßnahmen wie z.B. der aktuelle Stand der Technik, Implementierungskosten sowie die Art, der Umfang, die Umstände und die Zwecke der Verarbeitung von personenbezogenen Daten. Hierbei ist es wichtig, dass die zweckmäßige Datenverarbeitung gesichert ist, weswegen die Datenverarbeitungssysteme stark belastbar sein müssen und es Verfahren zur Wiederherstellung personenbezogener Daten nach einem Datenverlust gibt. Die Daten müssen immer verschlüsselt und pseudonymisiert verarbeitet werden. 

Auch die verschiedenen Eintrittswahrscheinlichkeiten und die Schwere des Risikos für die Rechte und Freiheiten der Betroffenen müssen bei der Einrichtung der technischen und organisatorischen Maßnahmen beachtet werden.


Über den Autor

Weitere Artikel

sprach-ki-blog-deu

Der Schutz der Privatsphäre in der Technologie der künstlichen Spracherkennung - ein Überblick

Erfahre mehr über die Komplexität des Datenschutzes in der Sprach-KI-Technologie. Stelle die Privatsphäre der Nutzer sicher, während du dich durch die rechtlichen Rahmenbedingungen navigierst und Cyber-Risiken im aufkeimenden Bereich der sprachgesteuerten KI abmilderst. Erforsche ethische Überlegungen, Datenschutzbedenken und die Einhaltung gesetzlicher Vorschriften und entdecke, wie heyData Unternehmen mit umfassenden Datenmanagementlösungen unterstützt. Mit den innovativen Lösungen von heyData kannst du in der Voice-First-Welt die Nase vorn haben und gleichzeitig den Datenschutz und eine verantwortungsvolle KI-Entwicklung fördern.

Mehr erfahren
der-eu-data-act

Das EU-Data Act verstehen: Wichtige Richtlinien für Unternehmen

Der EU-„Data Act“, der im Februar 2022 eingeführt wurde, regelt den Zugang zu und die Nutzung von Daten innerhalb der EU und ergänzt die DSGVO und das Gesetz über digitale Märkte. Es sorgt für fairen Datenzugang, fördert Innovationen und steigert den wirtschaftlichen Wert. Das Gesetz gilt für Dateninhaber (Gerätehersteller, Dienstanbieter), Datennutzer (Unternehmen, Forscher) und Datenvermittler (Datenaustauschplattformen). Zu den wichtigsten Verpflichtungen gehören fairer Datenaustausch, Datenportabilität, B2G-Datenaustausch, Interoperabilität, vertragliche Fairness und Datensicherheit. Die Nichteinhaltung kann zu Bußgeldern, Strafen, Betriebseinschränkungen, Reputationsschäden und verstärkter Kontrolle führen.

Mehr erfahren
Ist deine DNA sicher?

Ist deine DNA sicher? Risiken von Gentests und wie du deine Daten schützen kannst

Erfahre mehr über die Folgen der Datenschutzverletzung bei Gentests, wie sie sich kürzlich bei 23andMe ereignet hat, und verstehe die dringende Notwendigkeit, genetische Informationen zu schützen. Entdecke die Risiken, die mit solchen Datenschutzverletzungen einhergehen, und gewinne Einblicke in effektive Lösungen zum Schutz der DNA-Privatsphäre in einer Zeit, in der technologische Fortschritte die rechtlichen Rahmenbedingungen überholen. Erkunde bewährte Verfahren, regulatorische Überlegungen und Expertenlösungen wie heyData, die darauf ausgelegt sind, deine Datenschutzmaßnahmen zu stärken und dich in die Lage zu versetzen, dich sicher in der komplexen Landschaft der Gentests zurechtzufinden.

Mehr erfahren

Lerne jetzt unverbindlich unser Team kennen!

Kontakt aufnehmen