Was sind technische und organisatorische Maßnahmen (TOM)?

Quelle: iStock.com/Stock photo and footage

Grundlagenwissen zu technischen und organisatorischen Maßnahmen (TOM)

Gemäß der Datenschutzgrundverordnung sind personenbezogene Daten so nach dem aktuellen Stand der Technik zu sichern, dass die Möglichkeit eines Zugriffs durch unbefugte Dritte nicht besteht. Entsprechende Schutzmaßnahmen hat der Verantwortliche herbeizuführen.

Welche technischen und organisatorischen Maßnahmen (TOM) zum Schutz von personenbezogenen Daten umgesetzt wurden, hat der Verantwortliche so dann auch verpflichtend zu dokumentieren. Die dokumentierten TOM dienen somit auch als Beleg über die getroffenen Schutzmaßnahmen.

Zuständig für die Einführung angemessener technischer und organisatorischer Maßnahmen zum Schutz von personenbezogenen Daten ist der Verantwortliche.

Wichtig ist ferner auch, dass die technischen und organisatorischen Maßnahmen nicht lediglich einmalig erstellt werden, sondern kontinuierlich überprüft und ggf. anzupassen sind. Unternehmen sollten nämlich stets ein angemessenes Schutzniveau auf Basis des aktuellen Stands der Technik im Zusammenhang mit personenbezogenen Daten unterhalten.

Falls es einmal zu einer Datenpanne in einem Unternehmen kommt, können die dokumentierten TOM auch entlastend für Unternehmen wirken. Wenn Unternehmen anhand der Dokumentation nämlich nachweisen können, dass die Datenpanne entstanden ist, obwohl ein angemessenes Schutzniveau unterhalten wurde, kann sich dies bei der Frage eines Bußgeldes positiv zu Gunsten des Unternehmens auswirken.

Abgesehen davon dienen die TOM jedoch ganz primär präventiven Zwecken, sie sollen also anhand eines angemessenen Schutzniveaus den Eintritt von Datenschutzverletzungen von vornherein verhindern.

Beispiele für technische und organisatorische Maßnahmen sind beispielsweise eine Passwortrichtlinie, eine Richtlinie für Besucher des Firmengebäudes, geeignete Virenscanner oder auch eine Alarmanlage, die vor unberechtigten Zutritt ihrer Räumlichkeiten schützt. Allein diese Maßnahmen dürften jedoch meist nicht ausreichend sein. Stattdessen ist am besten mit einem Datenschutzbeauftragten Rücksprache über die Einführung und Unterhaltung umfassender geeigneter Maßnahmen zu halten.