Kurz gesagt: TOM sind die praktischen Schutzvorkehrungen, mit denen ein Unternehmen personenbezogene Daten sichert: technisch wie Passwort, Verschlüsselung und Schließanlage, organisatorisch wie Dienstanweisung, Schulung und Berechtigungskonzept. Art. 32 DSGVO verlangt ein Schutzniveau, das dem Risiko angemessen ist.
Du schützt jeden Tag Gebäude, Werte und Menschen. Mit Daten ist es ähnlich: Sie müssen vor Diebstahl, Verlust und neugierigen Blicken geschützt werden. Die Maßnahmen dafür nennt die DSGVO technische und organisatorische Maßnahmen, kurz TOM. Für die Prüfung musst du wissen, was dahinter steckt und wie man die klassischen Kontrollarten auseinanderhält. Im Dienst bist du oft selbst derjenige, der diese Maßnahmen umsetzt oder unterläuft.
Was im Gesetz steht
Art. 32 DSGVO verpflichtet den Verantwortlichen und den Auftragsverarbeiter, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dabei dürfen sie den Stand der Technik, die Kosten, die Art der Daten und die Eintrittswahrscheinlichkeit und Schwere des Risikos berücksichtigen. Eine Firma mit Videoarchiv und Kundendaten aus hundert Objekten braucht also mehr Schutz als ein Kiosk mit einer Kundenkartei.
Als Beispiele nennt Art. 32 Abs. 1 DSGVO:
- Pseudonymisierung und Verschlüsselung personenbezogener Daten
- die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen
- die Fähigkeit, die Daten nach einem Zwischenfall rasch wiederherzustellen
- ein Verfahren, mit dem die Wirksamkeit der Maßnahmen regelmäßig überprüft wird
Art. 32 Abs. 4 DSGVO ergänzt einen Punkt, der dich direkt betrifft: Wer Zugang zu personenbezogenen Daten hat, darf sie nur auf Anweisung des Verantwortlichen verarbeiten. Daneben verlangt Art. 25 DSGVO Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Eine neue Kamera soll also von Haus aus zum Beispiel ohne Ton und ohne Fernzugriff aus dem Internet laufen.
Die Schutzziele
- Vertraulichkeit: Nur Befugte können die Daten sehen.
- Integrität: Die Daten sind vollständig und unverfälscht.
- Verfügbarkeit: Die Daten sind da, wenn man sie braucht.
- Belastbarkeit: Die Systeme halten auch Störungen und Lastspitzen aus.
Technisch oder organisatorisch?
Technische Maßnahmen wirken durch Technik: Passwortschutz, automatische Bildschirmsperre, Verschlüsselung, Firewall, Datensicherung, elektronische Zutrittskontrolle, abschließbarer Serverschrank. Organisatorische Maßnahmen wirken durch Regeln und Abläufe: Dienstanweisung, Schulung, Verpflichtung auf Vertraulichkeit, Berechtigungskonzept, Vier-Augen-Prinzip, Besucherregelung, Löschkonzept.
Beides gehört zusammen. Die beste Schließanlage nützt nichts, wenn der Generalschlüssel an einem Haken neben der Tür hängt.
Die klassischen Kontrollarten
Das alte BDSG zählte die Maßnahmen in einer Anlage einzeln auf. Diese acht Begriffe sind heute nicht mehr Gesetzestext, werden in Schulungen, Verträgen und Prüfungen aber weiter verwendet.
| Kontrolle | Worum es geht | Beispiel |
|---|---|---|
| Zutrittskontrolle | Unbefugte kommen nicht in die Räume mit Datenverarbeitung | Leitstelle nur mit Chipkarte, Serverraum verschlossen |
| Zugangskontrolle | Unbefugte können die Systeme nicht benutzen | persönliches Passwort, Bildschirmsperre |
| Zugriffskontrolle | Berechtigte sehen nur die Daten, die sie brauchen | Pförtner sieht das Livebild, aber nicht das Archiv |
| Weitergabekontrolle | Daten werden beim Übertragen oder Transport nicht abgefangen | verschlüsselter Datenträger für die Polizei |
| Eingabekontrolle | Man kann nachvollziehen, wer was eingegeben oder geändert hat | Protokoll im digitalen Wachbuch |
| Auftragskontrolle | Dienstleister verarbeiten Daten nur nach Weisung | Vertrag zur Auftragsverarbeitung |
| Verfügbarkeitskontrolle | Schutz vor Verlust und Zerstörung | Datensicherung, unterbrechungsfreie Stromversorgung |
| Trennungsgebot | Daten für verschiedene Zwecke bleiben getrennt | Besucherdaten von Kunde A und Kunde B getrennt |
Merkhilfe für die drei ähnlichen Begriffe: Zutritt betrifft den Raum, Zugang das Gerät, Zugriff die Daten.
Dein Anteil am Arbeitsplatz
Viele TOM stehen und fallen mit dem Verhalten der Wachperson. Dazu gehören:
- Bildschirm sperren, wenn du die Loge verlässt, auch nur kurz
- Monitore der Videoanlage so ausrichten, dass Besucher sie nicht sehen
- Passwörter nicht weitergeben und nicht auf Zettel an den Monitor kleben
- Besucherlisten, Schlüsselbuch und Wachbuch nicht offen auf dem Tresen liegen lassen
- keine privaten USB-Sticks an Dienstrechner anschließen
- Unterlagen mit Personendaten in den Aktenvernichter, nicht ins Altpapier
Mehr zur Pflicht, Daten nicht unbefugt zu nutzen, findest du unter Datengeheimnis und Vertraulichkeit.
Ein Fall aus dem Dienst
Du übernimmst die Nachtschicht am Empfang eines Bürogebäudes. Der Kollege der Tagschicht hat das Passwort für die Zutrittskartenverwaltung auf einen Klebezettel unter der Tastatur geschrieben, weil es sich so oft ändert. Der Monitor mit den Kamerabildern zeigt zur Lobby, und die Besucherliste des Tages liegt aufgeschlagen auf dem Tresen.
Hier versagen gleich drei Maßnahmen: Zugangskontrolle, Vertraulichkeit der Kamerabilder und Vertraulichkeit der Besucherdaten. Du drehst den Monitor weg, legst die Liste in die verschließbare Schublade und meldest den Zettel deiner Einsatzleitung, damit das Passwort geändert wird. Den Zettel selbst vernichtest du. Ein bekannt gewordenes Passwort ist kein Geheimnis mehr. Kommt dabei heraus, dass Unbefugte tatsächlich Zugriff hatten, kann sogar eine meldepflichtige Datenpanne vorliegen.
Typische Prüfungsfallen
- Zutritt, Zugang, Zugriff: Raum, Gerät, Daten. Die Begriffe werden gern vertauscht.
- TOM müssen angemessen sein, nicht maximal. Art. 32 DSGVO verlangt ein dem Risiko entsprechendes Schutzniveau.
- Eine Dienstanweisung oder Schulung ist eine organisatorische Maßnahme, keine technische.
- Verschlüsselung und Pseudonymisierung nennt Art. 32 DSGVO ausdrücklich.
- Datensicherung schützt die Verfügbarkeit, nicht die Vertraulichkeit.
Teste dich: Übungsfragen zu diesem Thema
Wie in der IHK-Prüfung können eine oder zwei Antworten richtig sein. Kreuze an und prüfe dann.
Welche Maßnahme gehört zur Zugangskontrolle im klassischen Sinn?
Welche der folgenden Maßnahmen sind organisatorische Maßnahmen?
Welches Schutzniveau verlangt Art. 32 DSGVO?
Was gehört nach Art. 32 Abs. 1 DSGVO ausdrücklich zu den Beispielen für geeignete Maßnahmen?
Du verlässt kurz die Pförtnerloge, um einem Lieferanten das Tor zu öffnen. Am Rechner ist die Besucherverwaltung geöffnet. Was ist richtig?
Wofür steht die Eingabekontrolle?
Mehr Fragen aus diesem Sachgebiet gibt es in der Prüfungssimulation und gesammelt auf der Seite Prüfungsfragen Datenschutzrecht.
Art. 32 DSGVO im Wortlaut (gesetze-im-internet.de) · Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.