Technische und organisatorische Maßnahmen: Art. 32 DSGVO praktisch umsetzen

Grundverständnis

Was sind technische und organisatorische Maßnahmen?

Technische und organisatorische Maßnahmen sind konkrete Vorkehrungen, mit denen eine Organisation Datenschutzanforderungen umsetzt und Risiken für betroffene Personen begrenzt. Technische Maßnahmen wirken unmittelbar auf Systeme, Geräte, Anwendungen oder Daten. Beispiele sind Verschlüsselung, Mehrfaktor-Authentisierung, Datensicherungen und technische Zugriffsbeschränkungen.

Organisatorische Maßnahmen regeln dagegen Abläufe, Zuständigkeiten und menschliches Verhalten. Dazu zählen Berechtigungskonzepte, Freigabeverfahren, Schulungen, Vertretungsregeln, Löschroutinen und Notfallprozesse. In der Praxis greifen beide Bereiche ineinander: Eine technisch mögliche Rechtevergabe schützt nur, wenn Zuständigkeiten definiert, Änderungen beantragt und ausgeschiedene Beschäftigte zeitnah gesperrt werden.

Der Begriff „TOM“ ist daher kein Synonym für eine beliebige IT-Sicherheitsliste. Entscheidend ist der Schutz personenbezogener Daten und der Rechte der betroffenen Menschen. Auch analoge Vorgänge können Maßnahmen erfordern, etwa Sichtschutz am Bürgerbüro, abschließbare Aktenschränke oder eine geregelte Aktenvernichtung.

Rechtlicher Rahmen

Welche Vorschriften verlangen technische und organisatorische Maßnahmen?

Art. 32 Abs. 1 DSGVO bildet die zentrale Vorschrift zur Sicherheit der Verarbeitung. Verantwortliche und Auftragsverarbeiter müssen unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Verarbeitung und ihrer Risiken geeignete Maßnahmen treffen. Das Ergebnis muss ein dem Risiko angemessenes Schutzniveau sein.

Die Pflicht steht nicht isoliert. Art. 5 Abs. 1 lit. f DSGVO fordert Integrität und Vertraulichkeit. Art. 5 Abs. 2 DSGVO verpflichtet den Verantwortlichen, die Einhaltung der Grundsätze nachweisen zu können. Nach Art. 24 DSGVO sind geeignete Maßnahmen umzusetzen und erforderlichenfalls zu überprüfen und zu aktualisieren. Art. 25 DSGVO verlangt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen.

Auch das Verzeichnis von Verarbeitungstätigkeiten enthält nach Art. 30 Abs. 1 lit. g DSGVO, wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Bei einer Auftragsverarbeitung müssen die Maßnahmen des Dienstleisters geprüft und vertraglich abgebildet werden. Damit sind TOM kein einmaliges IT-Projekt, sondern Bestandteil der laufenden datenschutzrechtlichen Steuerung.

Risikobasierter Ansatz

Wie werden geeignete TOM ausgewählt?

Am Anfang steht die Beschreibung der Verarbeitung: Welche Daten werden für welchen Zweck verarbeitet? Welche Personen sind betroffen? Wer greift zu? Welche Systeme, Übertragungswege, Dienstleister und Speicherorte werden genutzt? Erst wenn der tatsächliche Ablauf bekannt ist, lassen sich realistische Gefahren und Schutzmaßnahmen bestimmen.

Die Risikobewertung betrachtet mögliche Folgen für betroffene Personen und deren Eintrittswahrscheinlichkeit. Relevant sind etwa Identitätsdiebstahl, Diskriminierung, finanzielle Nachteile, Rufschädigung, Verlust der Vertraulichkeit oder die Einschränkung von Rechten. Gesundheitsdaten, Sozialdaten, Meldedaten oder umfangreiche Beschäftigtendaten können einen höheren Schutzbedarf auslösen als allgemein zugängliche Kontaktdaten.

Danach werden Maßnahmen ausgewählt, Verantwortlichkeiten festgelegt und verbleibende Risiken bewertet. Die Implementierungskosten dürfen berücksichtigt werden, rechtfertigen aber kein offensichtlich unzureichendes Schutzniveau. Je größer der mögliche Schaden und je wahrscheinlicher sein Eintritt, desto belastbarer müssen die Schutzvorkehrungen sein.

Technische Beispiele

Beispiele für technische Maßnahmen nach Art. 32 DSGVO

Ob eine einzelne Maßnahme erforderlich ist, hängt vom Einsatzfall ab. Verschlüsselung kann beispielsweise sehr wirksam sein, löst aber nicht automatisch das Problem zu weitgehender interner Rechte. Umgekehrt ersetzt ein Berechtigungskonzept keine Datensicherung. Ein angemessenes Schutzkonzept kombiniert mehrere aufeinander abgestimmte Ebenen.

Organisation

Welche organisatorischen Maßnahmen gehören in ein Schutzkonzept?

Organisatorische TOM sorgen dafür, dass technische Funktionen richtig eingesetzt und alltägliche Abläufe beherrscht werden. Dazu gehört zunächst eine klare Zuordnung von Verantwortung: Wer genehmigt Rechte, wer setzt sie um, wer kontrolliert sie und wer reagiert bei Störungen oder Datenschutzverletzungen?

Wesentlich sind ein dokumentiertes Rollen- und Berechtigungskonzept, geregelte Prozesse für Eintritt, Aufgabenwechsel und Austritt, Vertraulichkeitsverpflichtungen sowie zielgruppengerechte Schulungen. Für mobile Arbeit braucht es Vorgaben zu Geräten, privaten Umgebungen, Transport, Bildschirmschutz und sicheren Kommunikationswegen.

Weitere Beispiele sind Besucherregelungen, Schlüssel- und Zutrittsverwaltung, Clean-Desk-Regeln, sichere Postverteilung, Aktenvernichtung, Notfallpläne und Meldewege für Sicherheitsvorfälle. Aufbewahrungs- und Löschregeln verhindern außerdem, dass Datenbestände ohne Zweck anwachsen und dadurch unnötige Risiken erzeugen.

Die beste schriftliche Regelung bleibt wirkungslos, wenn Beschäftigte sie nicht kennen oder praktisch nicht umsetzen können. Maßnahmen müssen deshalb realistisch, verständlich und in die Arbeitsabläufe integriert sein.

Rechenschaftspflicht

Wie sollten technische und organisatorische Maßnahmen dokumentiert werden?

Die Dokumentation sollte erkennen lassen, welche Verarbeitung geschützt wird, welches Risiko zugrunde liegt, welche Maßnahme umgesetzt ist und wer dafür verantwortlich ist. Eine pauschale Aussage wie „Zugriffsschutz vorhanden“ ist zu unbestimmt. Aussagekräftiger sind Angaben zu Kontenarten, Freigabeverfahren, Authentisierung, Rollen, Kontrollen und Sperrprozessen.

Bewährt hat sich eine Verbindung aus allgemeinem Sicherheitskonzept und verarbeitungsspezifischen Ergänzungen. Übergreifende Maßnahmen müssen nicht in jedem VVT-Eintrag vollständig wiederholt werden. Ein nachvollziehbarer Verweis auf aktuelle Konzepte ist möglich, solange Besonderheiten der jeweiligen Verarbeitung zusätzlich erfasst werden.

Die Dokumentation sollte außerdem den Umsetzungsstatus unterscheiden. Eine geplante Maßnahme darf nicht als bereits wirksam dargestellt werden. Offene Punkte benötigen Zuständigkeit, Priorität und Termin. Version, Freigabe und letzter Prüftag helfen, veraltete Unterlagen zu erkennen.

Auftragsverarbeitung

Wie werden TOM eines Dienstleisters geprüft?

Vor der Beauftragung eines Auftragsverarbeiters muss der Verantwortliche hinreichende Garantien dafür erhalten, dass geeignete Maßnahmen bestehen. Eine beigefügte TOM-Anlage darf daher nicht ungelesen übernommen werden. Sie muss zur konkreten Leistung, zu den Datenarten und zum ermittelten Risiko passen.

Zu prüfen sind unter anderem Zugriffsberechtigungen, Verschlüsselung, Datensicherung, Wiederherstellung, Protokollierung, Mandantentrennung, Unterauftragnehmer, Löschung, Sicherheitsvorfälle und Nachweise. Allgemeine Werbeaussagen oder nicht näher erläuterte Zertifikate ersetzen diese Prüfung nicht. Zertifizierungen können Indizien liefern, ihr Geltungsbereich und ihre Aktualität müssen aber passen.

Werden Schutzmaßnahmen später wesentlich geändert, sollte ein Informations- und Prüfprozess bestehen. Der Verantwortliche bleibt auch bei ausgelagerter Technik für die Auswahl und Überwachung des Dienstleisters verantwortlich.

Kontrolle

Warum müssen TOM regelmäßig überprüft werden?

Art. 32 Abs. 1 lit. d DSGVO nennt ausdrücklich ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit. Eine jährliche Papierbestätigung allein reicht nicht immer. Prüfungen sollten sich danach richten, ob die Maßnahme tatsächlich funktioniert.

Geeignete Kontrollen sind beispielsweise Stichproben bei Benutzerrechten, Wiederherstellungstests von Backups, Auswertung sicherheitsrelevanter Protokolle, Patch- und Schwachstellenkontrollen, Notfallübungen oder Tests von Meldewegen. Ergebnisse und Abweichungen sind zu dokumentieren und nachzuverfolgen.

Anlassbezogene Prüfungen sind insbesondere bei neuen Verfahren, Systemwechseln, Sicherheitsvorfällen, organisatorischen Änderungen oder neuen Bedrohungen erforderlich. Auch Erkenntnisse aus Datenschutzverletzungen müssen in die Weiterentwicklung der Maßnahmen einfließen.

Bayerische Kommunen

Besonderheiten in der kommunalen Praxis

Kommunen verarbeiten in unterschiedlichen Fachbereichen teils sehr sensible Daten: Melde- und Sozialdaten, Steuerinformationen, Personalakten, Gesundheitsangaben oder Unterlagen aus Ordnungs- und Jugendangelegenheiten. Ein einziges pauschales TOM-Dokument für die gesamte Verwaltung wird diesen Unterschieden regelmäßig nicht gerecht.

Praktische Maßnahmen betreffen nicht nur das Rechenzentrum. Auch Bürgerbüros, Besprechungsräume, Homeoffice, Drucker, Fachverfahren, E-Mail-Kommunikation und Papierakten gehören in die Betrachtung. Der Bayerische Landesbeauftragte für den Datenschutz hat etwa hervorgehoben, dass öffentliche Stellen auch beim Bürgerkontakt organisatorische Vorkehrungen zur Wahrung der Diskretion treffen müssen.

Der behördliche Datenschutzbeauftragte berät und überwacht nach Art. 39 DSGVO. Die Entscheidung über Mittel, Zuständigkeiten und Umsetzung bleibt jedoch Aufgabe des Verantwortlichen. Datenschutz, Informationssicherheit, IT, Fachbereich und Organisationsverantwortliche sollten deshalb abgestimmt zusammenarbeiten.

Praxisfehler

Typische Fehler bei technischen und organisatorischen Maßnahmen

Häufige Fragen

FAQ zu technischen und organisatorischen Maßnahmen

Ergebnis

Fazit

Technische und organisatorische Maßnahmen sind dann belastbar, wenn sie aus der konkreten Verarbeitung und einer nachvollziehbaren Risikobewertung abgeleitet werden. Technik, Organisation und menschliches Verhalten müssen zusammenwirken.

Eine gute TOM-Dokumentation beschreibt nicht nur abstrakte Ziele, sondern den realen Stand: Maßnahme, Verantwortlichkeit, Umsetzung, Nachweis und Kontrolle. Wer diesen Prozess regelmäßig aktualisiert, erfüllt nicht nur die Rechenschaftspflicht besser, sondern reduziert auch die Wahrscheinlichkeit und die Folgen von Datenschutzverletzungen.

Weiterlesen

Passende interne Verlinkung

Nachweise

Quellen