TOM nach Art. 32 DSGVO: Vorlage, Checkliste und Beispiele

Art. 32 DSGVO verpflichtet den Verantwortlichen und den Auftragsverarbeiter gleichermaßen, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. „Technisch“ meint alles, was in Systemen umgesetzt ist – Verschlüsselung, Zugangsschutz, Protokollierung, Backups. „Organisatorisch“ meint Regeln und Abläufe – Zuständigkeiten, Richtlinien, Schulungen, Verträge, Prüfprozesse. Erst beides zusammen ergibt ein Sicherheitskonzept: Die beste Verschlüsselung hilft wenig, wenn niemand Berechtigungen entzieht, wenn jemand das Unternehmen verlässt.

Welche Maßnahmen „geeignet“ sind, legt die DSGVO bewusst nicht fest. Art. 32 Abs. 1 nennt die Kriterien: den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos für die betroffenen Personen. Abs. 2 ergänzt, worauf es bei der Risikobewertung ankommt: Vernichtung, Verlust, Veränderung, unbefugte Offenlegung oder unbefugter Zugang – ob unbeabsichtigt oder unrechtmäßig. Ein Handwerksbetrieb mit einer Kundenkartei braucht deshalb andere TOM als eine Klinik mit Gesundheitsdaten.

Konkreter wird Art. 32 Abs. 1 mit vier Punkten, die die Maßnahmen „gegebenenfalls unter anderem“ einschließen: (a) Pseudonymisierung und Verschlüsselung, (b) die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer sicherzustellen, (c) die Fähigkeit, Verfügbarkeit und Zugang zu den Daten nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen, und (d) ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit. Abs. 4 fügt eine organisatorische Pflicht hinzu: Personen, die Zugang zu personenbezogenen Daten haben, dürfen diese nur auf Anweisung des Verantwortlichen verarbeiten. Diese Punkte sind die natürliche Gliederung jeder TOM-Dokumentation – auch unserer Vorlage.

Dokumentiert werden die TOM an mehreren Stellen. Im Verzeichnis von Verarbeitungstätigkeiten steht „wenn möglich“ eine allgemeine Beschreibung (Art. 30 Abs. 1 lit. g für Verantwortliche, Abs. 2 lit. d für Auftragsverarbeiter). Im Auftragsverarbeitungsvertrag verpflichtet sich der Dienstleister, alle nach Art. 32 erforderlichen Maßnahmen zu ergreifen (Art. 28 Abs. 3 lit. c) – in der Praxis als „Anlage TOM“. Und weil der Verantwortliche nach Art. 5 Abs. 2 und Art. 24 Abs. 1 nachweisen können muss, dass er die DSGVO einhält, braucht es zu den Maßnahmen auch Belege. Art. 24 Abs. 1 sagt zudem ausdrücklich, dass die Maßnahmen erforderlichenfalls überprüft und aktualisiert werden.

Eng verwandt ist Art. 25 DSGVO: Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen. Während Art. 32 die Sicherheit der Verarbeitung betrifft, verlangt Art. 25, dass schon bei der Gestaltung der Verarbeitung Datenschutzgrundsätze wie Datenminimierung umgesetzt werden und Voreinstellungen nur die erforderlichen Daten verarbeiten. Viele TOM-Anlagen nehmen beides auf. Wer eine Datenschutz-Folgenabschätzung durchführt, beschreibt dort ebenfalls die geplanten Abhilfemaßnahmen und Sicherheitsvorkehrungen (Art. 35 Abs. 7 lit. d) – die TOM-Dokumentation ist dafür die Grundlage.

Verstöße gegen Art. 32 fallen unter Art. 83 Abs. 4 lit. a DSGVO: Bußgelder bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Praktisch wichtiger ist oft etwas anderes: Nach einer Datenpanne fragt die Aufsichtsbehörde, welche Maßnahmen bestanden. Wer dann eine aktuelle, belegte TOM-Dokumentation vorlegen kann, steht deutlich besser da als jemand mit einer fünf Jahre alten Liste aus Absichtserklärungen.