Technischer Datenschutz · Art. 32 DSGVO
Technische und organisatorische Maßnahmen, die beschrieben, umgesetzt und überprüfbar sind
Eine TOM-Beschreibung ist erst belastbar, wenn sie mit der Wirklichkeit abgeglichen ist. Wir prüfen, was in Ihren Systemen tatsächlich eingerichtet ist, beschreiben es nachvollziehbar und setzen fehlende Maßnahmen um – abgestimmt mit Ihrem Datenschutzbeauftragten.
Gesetzliche Anforderung
Was Art. 32 DSGVO verlangt
Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dabei sind unter anderem der Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und das Risiko für die betroffenen Personen zu berücksichtigen.
Eine feste Maßnahmenliste gibt das Gesetz nicht vor. Welche Maßnahmen angemessen sind, ist eine Abwägung, die Ihr Unternehmen mit Ihrem Datenschutzbeauftragten trifft. Wir liefern dafür die technische Sicht: was vorhanden ist, was fehlt und was eine Maßnahme kostet.
Einordnung
Vom Gesetz zur Einstellung im System
- Unsere LeistungIst-Aufnahme, Beschreibung, Maßnahmenplan, technische Umsetzung, Wirksamkeitsprüfung
- Fachliche EmpfehlungStandard-Datenschutzmodell (DSK), BSI IT-Grundschutz mit Baustein CON.2 Datenschutz
- Gesetzliche AnforderungArt. 32 DSGVO, ergänzt durch Art. 25 (Technikgestaltung, Voreinstellungen)
Fachliche Empfehlung
Sieben Gewährleistungsziele als Gliederung
Das Standard-Datenschutzmodell (SDM, Version 3.1) der Datenschutzkonferenz systematisiert technische und organisatorische Maßnahmen anhand von sieben Gewährleistungszielen und nennt dazu generische Maßnahmen. Wir nutzen diese Gliederung, damit Ihre Dokumentation für Datenschutzbeauftragte und Aufsicht vertraut lesbar ist. Die Beispiele folgen den generischen Maßnahmen des SDM, sind aber keine abschließende Liste.
Datenminimierung
Es werden nur erforderliche Daten verarbeitet.
- Pflichtfelder und Voreinstellungen reduzieren
- Löschregeln umsetzen (siehe Aufbewahrung und Löschung)
Verfügbarkeit
Daten sind zugänglich, wenn sie gebraucht werden.
- Datensicherung mit getesteter Wiederherstellung
- Notfall- und Wiederanlaufpläne
Integrität
Daten bleiben unversehrt, vollständig und aktuell.
- Schreibrechte begrenzen, Änderungen protokollieren
- Schutz vor Schadsoftware und unbefugter Veränderung
Vertraulichkeit
Nur Befugte erhalten Zugriff.
- Berechtigungskonzept (siehe Zugriffskonzepte)
- Verschlüsselung, Anmeldung mit mehreren Faktoren
Nichtverkettung
Daten werden nur für den festgelegten Zweck verarbeitet.
- Getrennte Datenhaltung und Rollen je Zweck, Schnittstellen nur nach Bedarf
- Pseudonymisierung in Auswertungen und Tests
Transparenz
Verarbeitung ist für Beteiligte nachvollziehbar.
- Dokumentation von Verarbeitungen, Systemen und Datenflüssen (siehe IT-Bestandsaufnahme)
- Protokollierung von Zugriffen und Änderungen nach einem festgelegten Konzept
Intervenierbarkeit
Betroffenenrechte lassen sich technisch umsetzen.
- Daten finden, berichtigen, einschränken und löschen können
- Auskunft aus den beteiligten Systemen zusammenstellen
Eine TOM-Beschreibung ist nur so gut wie die Einstellung im System, die sie belegt.
Beispiel: TOM-Abgleich
Was die Beschreibung sagt – und was die Systeme zeigen
Neun Maßnahmen der Beispielorganisation, gegliedert nach den sieben Gewährleistungszielen. Für jede Maßnahme steht neben dem Wortlaut der TOM-Beschreibung, was in den Systemen tatsächlich eingerichtet ist. Führen Sie Wirksamkeitsprüfungen durch: Ungeprüfte Angaben werden geklärt, und die Übersicht berechnet, welche Datenkategorien von einer Lücke betroffen sind.
Wirksamkeitsprüfungen Art. 32 Abs. 1 lit. d DSGVO: regelmäßig überprüfen, bewerten, evaluieren
Von 7 beschriebenen Maßnahmen: 1 belegt, 4 nicht belegt, 2 mit Abweichung. Außerdem: 1 wirkt ohne Beschreibung, 1 nicht vorhanden.
Maßnahme · Vertraulichkeit, Integrität · SDM D1.3
Anmeldung mit mehreren Faktoren
Abweichung
In der TOM-Beschreibung
„Die Anmeldung an Cloud-Diensten erfordert einen zweiten Faktor.“
Ist in den Systemen
- E-Mail-Postfächer eingerichtetRichtlinie im Cloud-Dienst aktiv.
- Dateiablage eingerichtetGleiche Anmeldung wie die Postfächer.
- Kundenverwaltung (CRM) fehltEigene Anmeldung beim CRM-Anbieter, nur mit Kennwort.
- Lohnabrechnung ungeprüftAnmeldung beim Lohnportal des Dienstleisters nicht dokumentiert.
Betroffene Datenkategorien
- Kontaktdaten
- Beschäftigtendaten
- Bankverbindung
- GesundheitsdatenArt. 9
- Anfragen und Korrespondenz
Fiktives, vereinfachtes Beispiel: Die Maßnahmen sind typische Beispiele nach den generischen Maßnahmen des Standard-Datenschutzmodells, keine vollständige TOM-Liste und nicht der Referenzmaßnahmen-Katalog. „Nicht vorhanden“ ist kein Urteil über die Angemessenheit – welche Maßnahmen dem Risiko angemessen sind, bewertet Ihr Unternehmen mit Ihrem Datenschutzbeauftragten. ENTDECKE.digital bietet keine Rechtsberatung an.
TOM-Abgleich als Text
Von 7 beschriebenen Maßnahmen: 1 belegt, 4 nicht belegt, 2 mit Abweichung. Außerdem: 1 wirkt ohne Beschreibung, 1 nicht vorhanden.
- Datensicherung mit getesteter Wiederherstellung (Verfügbarkeit): nicht belegt. Beschreibung: „Alle Daten werden regelmäßig gesichert und können wiederhergestellt werden.“ Ist: Dateiablage eingerichtet (Wiederherstellungstest dokumentiert.); Finanzbuchhaltung ungeprüft (Sicherung läuft, Wiederherstellung nie getestet.); E-Mail-Postfächer ungeprüft (Postfachsicherung eingerichtet, Wiederherstellung nie getestet.).
- Updates und Schutz vor Schadsoftware (Integrität, Verfügbarkeit): belegt. Beschreibung: „Systeme werden zeitnah aktualisiert; ein Schutz vor Schadsoftware ist aktiv.“ Ist: Notebooks der Mitarbeitenden eingerichtet (Geräteverwaltung meldet Updatestand und aktiven Schutz.); Finanzbuchhaltung eingerichtet (Wartungsprotokoll des IT-Dienstleisters liegt vor.).
- Anmeldung mit mehreren Faktoren (Vertraulichkeit, Integrität): Abweichung. Beschreibung: „Die Anmeldung an Cloud-Diensten erfordert einen zweiten Faktor.“ Ist: E-Mail-Postfächer eingerichtet (Richtlinie im Cloud-Dienst aktiv.); Dateiablage eingerichtet (Gleiche Anmeldung wie die Postfächer.); Kundenverwaltung (CRM) fehlt (Eigene Anmeldung beim CRM-Anbieter, nur mit Kennwort.); Lohnabrechnung ungeprüft (Anmeldung beim Lohnportal des Dienstleisters nicht dokumentiert.).
- Verschlüsselung der Notebooks (Vertraulichkeit): nicht belegt. Beschreibung: „Alle Notebooks sind verschlüsselt.“ Ist: Notebooks der Mitarbeitenden ungeprüft (Bei der Einrichtung vorgesehen, Status nie abgefragt.).
- Berechtigungen nach Erforderlichkeit, regelmäßig überprüft (Vertraulichkeit, Nichtverkettung): nicht belegt. Beschreibung: „Zugriffsrechte werden nach dem Erforderlichkeitsprinzip vergeben und jährlich überprüft.“ Ist: Dateiablage ungeprüft (Keine Aufzeichnung über eine Überprüfung.); Lohnabrechnung ungeprüft (Keine Aufzeichnung über eine Überprüfung.).
- Protokollierung von Zugriffen und Änderungen (Transparenz): nicht beschrieben. Nicht beschrieben. Ist: Finanzbuchhaltung eingerichtet (Die Fachanwendung protokolliert Buchungen und Änderungen.); Dateiablage eingerichtet (Überwachungsprotokoll des Cloud-Dienstes ist aktiv.).
- Alle Daten zu einer Person finden, berichtigen und löschen können (Intervenierbarkeit): nicht belegt. Beschreibung: „Auskunfts- und Löschersuchen werden über die Kundenverwaltung bearbeitet.“ Ist: Kundenverwaltung (CRM) eingerichtet (Suche und Löschung je Kontakt vorhanden.); E-Mail-Postfächer ungeprüft (Im Ablauf nicht vorgesehen.); Dateiablage ungeprüft (Im Ablauf nicht vorgesehen.); Website-Kontaktformular ungeprüft (Im Ablauf nicht vorgesehen.).
- Löschregeln technisch umgesetzt (Datenminimierung): Abweichung. Beschreibung: „Personenbezogene Daten werden nach Ablauf der festgelegten Fristen gelöscht.“ Ist: E-Mail-Postfächer fehlt (Löschung nur manuell – siehe Löschsimulation.); Dateiablage fehlt (Löschung nur manuell – siehe Löschsimulation.); Kundenverwaltung (CRM) fehlt (Löschung nur manuell – siehe Löschsimulation.); Website-Kontaktformular fehlt (Der Formulardienst löscht im Beispiel gar nicht.).
- Pseudonymisierte Auswertungen (Nichtverkettung, Datenminimierung): nicht vorhanden. Nicht beschrieben. Ist: Kundenverwaltung (CRM) fehlt (Auswertungen laufen über Exporte mit vollständigen Kontaktdaten.).
- Wirksamkeitsprüfungen: Wiederherstellung testen – Ergebnis: Datensicherung mit getesteter Wiederherstellung, E-Mail-Postfächer: eingerichtet (Testweise Wiederherstellung eines Postfachs erfolgreich.); Datensicherung mit getesteter Wiederherstellung, Finanzbuchhaltung: fehlt (Wiederherstellung scheitert: Die Datenbank der Fachanwendung ist nicht in der Sicherung enthalten.).
- Wirksamkeitsprüfungen: Verschlüsselungsstatus abrufen – Ergebnis: Verschlüsselung der Notebooks, Notebooks der Mitarbeitenden: fehlt (Nicht alle Geräte melden eine aktive Verschlüsselung.).
- Wirksamkeitsprüfungen: Anmeldeeinstellungen je Dienst prüfen – Ergebnis: Anmeldung mit mehreren Faktoren, Lohnabrechnung: eingerichtet (Das Lohnportal erzwingt einen zweiten Faktor.).
- Wirksamkeitsprüfungen: Berechtigungen gegen das Konzept abgleichen – Ergebnis: Berechtigungen nach Erforderlichkeit, regelmäßig überprüft, Dateiablage: fehlt (Vertrieb hat Leserecht am Bewerbungsordner.); Berechtigungen nach Erforderlichkeit, regelmäßig überprüft, Lohnabrechnung: fehlt (Buchhaltung hat seit einer Vertretung Zugriff auf das Lohnportal.).
- Wirksamkeitsprüfungen: Probeauskunft zusammenstellen – Ergebnis: Alle Daten zu einer Person finden, berichtigen und löschen können, E-Mail-Postfächer: eingerichtet (Postfachsuche über alle Postfächer möglich.); Alle Daten zu einer Person finden, berichtigen und löschen können, Dateiablage: eingerichtet (Volltextsuche findet Dokumente zur Person.); Alle Daten zu einer Person finden, berichtigen und löschen können, Website-Kontaktformular: fehlt (Beim Formulardienst gespeicherte Eingaben sind nicht durchsuchbar.).
Risiken und Grenzen
Wo Beschreibung und Wirklichkeit typischerweise auseinanderlaufen
Abweichungen entstehen selten aus Nachlässigkeit, sondern weil sich Systeme ändern und die Beschreibung bleibt. Im Beispiel oben sind solche Muster nachgestellt.
Absicht statt Zustand
„Alle Notebooks sind verschlüsselt“ beschreibt, was bei der Einrichtung vorgesehen war. Ob es für jedes Gerät heute noch gilt, zeigt erst ein Bericht aus der Geräteverwaltung.
Ausnahmen mit eigener Anmeldung
Eine Regel für „alle Cloud-Dienste“ kann nur die Dienste hinter der zentralen Anmeldung erfassen. Fachanwendungen mit eigenem Kennwort bleiben außen vor.
Sicherung ohne Wiederherstellung
Dass eine Sicherung läuft, sagt nichts darüber, ob sie vollständig ist. Fehlende Datenbanken oder Postfächer fallen erst beim Zurückspielen auf.
Kopien außerhalb der Betrachtung
Maßnahmen werden je System beschrieben, Daten liegen aber auch in Sicherungen, synchronisierten Ordnern und Exporten. Welche Kopien es gibt, zeigt die Verarbeitungsübersicht.
Wirksam, aber nicht beschrieben
Protokollierung oder Gerätehärtung können eingerichtet sein, ohne in der Beschreibung aufzutauchen. Das schwächt die Nachweisführung, obwohl der Schutz besteht.
Was der Abgleich nicht leistet
Ein technischer Abgleich zeigt, ob eine Maßnahme eingerichtet ist und wirkt. Ob das Schutzniveau dem Risiko angemessen ist, bleibt eine Bewertung Ihres Unternehmens mit dem Datenschutzbeauftragten.
Vorgehen
Von der Liste zur wirksamen Maßnahme
Ist-Aufnahme
Vorhandene TOM-Beschreibungen sichten und mit den tatsächlichen Einstellungen in Ihren Systemen abgleichen.
Abgleich je Gewährleistungsziel
Lücken und Widersprüche sichtbar machen – auch dort, wo Dokumentation und Wirklichkeit auseinanderlaufen.
Maßnahmenvorschläge
Technische Optionen mit Aufwand, Wirkung und Abhängigkeiten beschreiben.
Bewertung und Priorisierung
Ihr Unternehmen entscheidet mit dem Datenschutzbeauftragten, welche Maßnahmen angemessen sind und in welcher Reihenfolge sie umgesetzt werden.
Umsetzung
Wir richten die beschlossenen Maßnahmen ein und aktualisieren die Beschreibung.
Wirksamkeit prüfen
Regelmäßige Überprüfung nach Art. 32 Abs. 1 lit. d DSGVO – zum Beispiel Wiederherstellungstests, Berichte zur Geräteverschlüsselung oder Berechtigungsprüfungen. Das Standard-Datenschutzmodell beschreibt das als wiederkehrenden Prozess, nicht als einmalige Einrichtung.
Zusammenarbeit
Technische Sicht und rechtliche Bewertung bleiben getrennt
Wir beschreiben Maßnahmen so konkret, dass Ihr Datenschutzbeauftragter sie beurteilen kann – die Datenschutzkonferenz empfiehlt, die Beschreibung im Verzeichnis so konkret zu halten, dass eine erste Prüfung möglich ist (Kurzpapier Nr. 1).
Ob das erreichte Schutzniveau dem Risiko angemessen ist, ist eine Bewertung, die wir vorbereiten, aber nicht treffen. Sie liegt bei Ihrem Unternehmen und Ihrem Datenschutzbeauftragten. Wie die Rollen im technischen Datenschutz insgesamt verteilt sind, zeigt die Übersicht Technischer Datenschutz.
Häufige Fragen
Wie oft müssen TOM überprüft werden?
Ein festes Intervall nennt die DSGVO nicht. Art. 32 Abs. 1 lit. d verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit. Das Standard-Datenschutzmodell beschreibt dafür einen wiederkehrenden Prozess. Sinnvoll ist eine Prüfung auch bei jeder größeren Änderung an Systemen oder Dienstleistern. Den Rhythmus legen Sie mit Ihrem Datenschutzbeauftragten fest.
Was ist der Unterschied zwischen „nicht belegt“ und „fehlt“?
„Nicht belegt“ heißt: Die Maßnahme ist beschrieben, aber niemand hat geprüft, ob sie eingerichtet ist. „Fehlt“ heißt: Eine Prüfung oder Einstellung zeigt, dass sie in einem System nicht wirkt. Beides gehört in den Maßnahmenplan – das Erste mit einer Prüfung, das Zweite mit einer Umsetzung.
Gibt es eine TOM-Liste, die für alle passt?
Nein. Art. 32 DSGVO nennt Ziele und Beispiele, aber keine feste Liste. Welche Maßnahmen angemessen sind, hängt vom Risiko der jeweiligen Verarbeitung ab. Gliederungen wie das Standard-Datenschutzmodell helfen, nichts zu übersehen.
Müssen wir nach BSI IT-Grundschutz arbeiten?
Die DSGVO schreibt keine bestimmte Methode vor. IT-Grundschutz des BSI und das Standard-Datenschutzmodell sind anerkannte fachliche Grundlagen. Der IT-Grundschutz zielt vorrangig auf Informationssicherheit, das Standard-Datenschutzmodell auf den Schutz der betroffenen Personen. Welche Grundlage Sie nutzen, entscheiden Sie mit Ihrem Datenschutzbeauftragten.
Prüfen Sie auch die TOM unserer Dienstleister?
Wir können technisch abgleichen, ob die beschriebenen Maßnahmen eines Dienstleisters zu Ihren Anforderungen passen, und Rückfragen formulieren. Die rechtliche Prüfung der Verträge übernimmt Ihre Rechtsberatung.
Wie hängen TOM und Microsoft 365 zusammen?
Viele Maßnahmen – Anmeldung, Freigaben, Verschlüsselung, Aufbewahrung – werden in Microsoft 365 konfiguriert. Grundregeln dazu finden Sie unter Microsoft 365 Sicherheit und Governance.
Verwandte Themen
Dieselbe Organisation, andere Blickwinkel
IT-Bestandsaufnahme
Welche Verarbeitungen in welchen Systemen laufen – die Grundlage, auf die sich jede TOM-Beschreibung bezieht.
Berechtigungs- und Zugriffskonzepte
Die Berechtigungsmatrix zeigt, welche Abweichungen die Prüfung „Berechtigungen gegen das Konzept abgleichen“ findet.
Aufbewahrung und Löschung
Die Löschsimulation zeigt, warum „Daten werden nach Fristablauf gelöscht“ im Beispiel nicht belegt ist.
Risikoanalyse und DSFA
Welche Maßnahmen angemessen sind, folgt aus dem Risiko – hier beginnt die Bewertung.
Ihre TOM mit der Wirklichkeit abgleichen?
Wir sehen uns Beschreibung und Systeme gemeinsam an – gern mit Ihrem Datenschutzbeauftragten. Telefon 07131-618726-0.