TOM-Checkliste
Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko der Verarbeitung angemessen sind — und ein Verfahren, das ihre Wirksamkeit regelmäßig überprüft. Diese Checkliste geht die Schutzziele der Norm durch, von Verschlüsselung über Vertraulichkeit bis zur Wiederherstellbarkeit, und zeigt Ihnen, wo die größten Lücken liegen. Sie ersetzt keine Risikobewertung, gibt aber eine belastbare Struktur für Ihre eigene TOM-Dokumentation.
Ohne Anmeldung · läuft in Ihrem Browser · keine Eingabe wird übertragen
Art. 32 Abs. 1 lit. a DSGVO — ausdrücklich als Beispielmaßnahme benannt.
Art. 32 Abs. 1 lit. b DSGVO — Zutritt, Zugang, Zugriff und Trennung.
Art. 32 Abs. 1 lit. b DSGVO — Schutz vor unbefugter Veränderung und Nachvollziehbarkeit.
Art. 32 Abs. 1 lit. b DSGVO — Systeme müssen Störungen und Angriffe auf Dauer aushalten.
Art. 32 Abs. 1 lit. c DSGVO — Verfügbarkeit und Zugang müssen nach einem Zwischenfall rasch wiederhergestellt werden.
Art. 32 Abs. 1 lit. d DSGVO — verlangt ein Verfahren, nicht eine einmalige Bestandsaufnahme.
Pflichten, die neben Art. 32 stehen und ohne die die technischen Maßnahmen nicht tragen.
Kein Konformitätsnachweis
Art. 32 Abs. 1 DSGVO verlangt kein Maximum an Maßnahmen, sondern ein dem Risiko angemessenes Schutzniveau — abzuwägen sind Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos. 100 % auf dieser Liste können bei Gesundheits- oder Beschäftigtendaten zu wenig sein, während für ein reines Kontaktformular deutlich weniger genügt. Die Prozentzahl beschreibt nur, wie viel dieser Liste Sie abgehakt haben.
Lücken nach Schutzziel
Sortiert nach Anzahl der offenen Punkte — oben liegt der größte Handlungsbedarf.
Nächste Schritte
Die offenen Punkte in der Reihenfolge von Art. 32 Abs. 1 DSGVO.
- Pseudonymisierung und Verschlüsselung: Transportverschlüsselung
- Pseudonymisierung und Verschlüsselung: Verschlüsselung ruhender Daten
- Pseudonymisierung und Verschlüsselung: Festplattenverschlüsselung der Endgeräte
- Pseudonymisierung und Verschlüsselung: Geregelte Schlüsselverwaltung
- Pseudonymisierung und Verschlüsselung: Pseudonymisierung in Test- und Auswertungsumgebungen
- Vertraulichkeit: Zutrittskontrolle
- Vertraulichkeit: Zugangskontrolle über persönliche Konten
- Vertraulichkeit: Mehr-Faktor-Authentifizierung
- Vertraulichkeit: Passwortrichtlinie und Passwortmanager
- Vertraulichkeit: Zugriffskontrolle nach Berechtigungskonzept
… und 26 weitere offene Maßnahmen in dieser Liste
Und dann dokumentieren
TOM wirken nur, wenn sie belegbar sind: allgemein zu beschreiben im Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 1 lit. g DSGVO, ausführlich in einer eigenen TOM-Dokumentation für die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO und als Anlage in jedem Auftragsverarbeitungsvertrag, weil Art. 28 Abs. 3 lit. c DSGVO den Auftragsverarbeiter auf alle Maßnahmen nach Art. 32 verpflichtet. Eine Liste, die nicht regelmäßig überprüft wird, veraltet und ist dann selbst ein Mangel.
Art. 32 Abs. 1 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter gleichermaßen, geeignete technische und organisatorische Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Maßgeblich sind dabei der Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen. Die Norm nennt als Beispiele Pseudonymisierung und Verschlüsselung (lit. a), die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen (lit. b), die Fähigkeit zur raschen Wiederherstellung nach einem Zwischenfall (lit. c) und ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit (lit. d). Nach Art. 32 Abs. 2 ist bei der Bewertung insbesondere den Risiken durch Vernichtung, Verlust, Veränderung oder unbefugte Offenlegung von und unbefugten Zugang zu personenbezogenen Daten Rechnung zu tragen; Verstöße gegen Art. 32 können nach Art. 83 Abs. 4 lit. a DSGVO mit bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden.
Nur zur Orientierung — keine Rechtsberatung. Die Liste ist ein branchenübergreifender Vorschlag, kein gesetzlicher Pflichtkatalog: Art. 32 DSGVO verlangt Maßnahmen, die dem konkreten Risiko Ihrer Verarbeitung angemessen sind, sodass je nach Fall einzelne Punkte entbehrlich und andere zusätzlich erforderlich sind. Der angezeigte Erfüllungsgrad ist deshalb ausdrücklich kein Konformitätsnachweis und ersetzt weder eine Risikobewertung noch die Prüfung im Einzelfall. Ihre Eingaben bleiben im Browser und werden weder gespeichert noch übertragen.
Häufige Fragen
- Was sind technische und organisatorische Maßnahmen?
- Technische Maßnahmen setzen am System, am Gerät oder am Gebäude an — Verschlüsselung, Zutrittssicherung, Protokollierung, Backups. Organisatorische Maßnahmen setzen am Menschen und am Prozess an — Berechtigungskonzepte, Schulungen, Verpflichtungen auf Vertraulichkeit, Notfall- und Löschkonzepte. Art. 32 Abs. 1 DSGVO verlangt beides zusammen und nennt als Beispiele Pseudonymisierung und Verschlüsselung, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die rasche Wiederherstellbarkeit nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.
- Gibt es eine gesetzliche Pflichtliste an Maßnahmen?
- Nein. Art. 32 Abs. 1 DSGVO zählt seine Beispiele ausdrücklich nur „unter anderem gegebenenfalls" auf. Maßgeblich ist ein dem Risiko angemessenes Schutzniveau unter Berücksichtigung von Stand der Technik, Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung und der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos. Eine Arztpraxis mit Gesundheitsdaten braucht deshalb andere Maßnahmen als ein Handwerksbetrieb mit reinen Kundenstammdaten — und keine Prozentzahl auf einer Checkliste kann diese Abwägung ersetzen.
- Wo müssen die TOM dokumentiert werden?
- An zwei Stellen. Im Verzeichnis der Verarbeitungstätigkeiten ist nach Art. 30 Abs. 1 lit. g DSGVO — wenn möglich — eine allgemeine Beschreibung der Maßnahmen nach Art. 32 Abs. 1 aufzunehmen. Daneben verlangt die Rechenschaftspflicht aus Art. 5 Abs. 2 in Verbindung mit Art. 24 Abs. 1 DSGVO, dass Sie die getroffenen Maßnahmen und ihre Auswahl nachweisen können; dafür ist eine eigene, ausführlichere TOM-Dokumentation üblich, auf die das Verzeichnis verweist. Undokumentierte Maßnahmen sind gegenüber der Aufsichtsbehörde faktisch nicht vorhanden.
- Warum sind TOM Anlage eines Auftragsverarbeitungsvertrags?
- Weil der Verantwortliche nach Art. 28 Abs. 1 DSGVO nur mit Auftragsverarbeitern arbeiten darf, die hinreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten, und der Vertrag den Auftragsverarbeiter nach Art. 28 Abs. 3 lit. c DSGVO auf alle Maßnahmen nach Art. 32 verpflichten muss. In der Praxis wird das umgesetzt, indem die TOM des Auftragsverarbeiters als Anlage Vertragsbestandteil werden — nur so ist überhaupt prüfbar, worauf er sich verpflichtet hat. Ändert der Dienstleister seine Maßnahmen wesentlich, ist die Anlage entsprechend zu aktualisieren.
- Wie oft müssen TOM überprüft werden?
- Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen, nennt aber keinen festen Turnus. In der Praxis hat sich eine jährliche Überprüfung plus anlassbezogene Prüfung bei neuen Systemen, wesentlichen Prozessänderungen oder nach Sicherheitsvorfällen etabliert. Eine einmal erstellte und dann nie wieder angefasste TOM-Liste ist kein Nachweis, sondern selbst ein Mangel — weil sie die Systeme beschreibt, die Sie einmal hatten, nicht die, die Sie betreiben.
- Was bedeutet „Stand der Technik"?
- Ein bewegliches Ziel: gemeint ist das, was sich in der Praxis als wirksam bewährt hat und am Markt verfügbar ist — mehr als die allgemein anerkannten Regeln der Technik, weniger als der Stand von Wissenschaft und Forschung. Orientierung bieten der BSI IT-Grundschutz, ISO/IEC 27001 samt Maßnahmenkatalog in Anhang A sowie die Handreichung des TeleTrusT-Verbands zum Stand der Technik. Weil sich dieser Maßstab verschiebt, kann eine Maßnahme, die heute angemessen ist, in zwei Jahren nicht mehr genügen — etwa veraltete TLS-Versionen oder Verschlüsselungsverfahren, die als gebrochen gelten.