In unserer Welt nimmt die Menge der erzeugten Daten ständig zu. Bei jeder Interaktion, ob online oder offline, entstehen Daten, die sowohl wertvoll als auch personenbezogen sein können.
Vor diesem Hintergrund stellt sich die Frage: Wie können Unternehmen und Selbstständige sicherstellen, dass diese Daten angemessen geschützt werden?
Die Antwort liegt in den technisch-organisatorischen Maßnahmen, den sogenannten TOMs.
Die technisch-organisatorischen Maßnahmen sind Teil des Datenschutzes und sorgen dafür, dass personenbezogene Daten und sensible Unternehmensinformationen vor unberechtigtem Zugriff geschützt, nicht manipuliert und nicht verloren gehen können.
Die korrekte Implementierung von TOMs ist nicht nur eine gesetzliche Anforderung, sondern auch ein Zeichen von Professionalität und Verantwortungsbewusstsein gegenüber deinen Kunden, Partnern und deinen Mitarbeitenden. Richtig umgesetzt können TOMs dazu beitragen, das Risiko von Datenschutzverletzungen zu minimieren und gleichzeitig das Vertrauen in das Unternehmen zu stärken.
In diesem Artikel zeige ich dir, was TOMs sind, was der Unterschied zwischen technischen und organisatorischen Maßnahmen ist und gebe einige passende Beispiele.
Dieser Artikel vereinfacht Datenschutzthemen für Soloselbstständige und Kleinstunternehmen. Er gibt einen Einblick, ohne alles abzudecken. Du möchtest keine Artikel mehr verpassen? Melde dich für den Newsletter an.
Was sind technisch-organisatorische Maßnahmen (TOMs)?
Ein zentrales Element des Datenschutzes sind die technisch-organisatorischen Maßnahmen, oft kurz TOMs genannt. Sie dienen dem Schutz von Informationen. Dabei kann es sich um personenbezogene Daten oder um sensible Unternehmensdaten handeln.
TOMs sind nicht nur technische Werkzeuge oder Softwarelösungen, sondern auch organisatorische Prozesse und Richtlinien, die in deinem Unternehmen umgesetzt werden.
Bei der Auswahl und Implementierung von TOMs sind der Stand der Technik, die Kosten der Umsetzung sowie Art, Umfang und Zweck der Datenverarbeitung zu berücksichtigen.
Sie sollen sicherstellen, dass Daten vor unberechtigtem oder unrechtmäßigem Zugriff, Verarbeitung und Verlust geschützt sind.
Ziel ist es, ein angemessenes Schutzniveau unter Berücksichtigung der Risiken für die Rechte und Freiheiten natürlicher Personen zu gewährleisten.
Was ist der Unterschied zwischen technischen und organisatorischen Maßnahmen?
Technische Maßnahmen beziehen sich auf den physischen und softwarebasierten Schutz von Daten.
Dazu gehören etwa Passwortschutz, Hardware-Firewalls, regelmäßige manuelle Updates, VPN (Virtual Private Network), Backups und Multi-Faktor-Authentifizierung.
Die technischen Maßnahmen sollen die Daten vor unberechtigtem Zugriff, Manipulation oder Verlust schützen und die Integrität und Vertraulichkeit der Daten sicherstellen.
Organisatorische Maßnahmen hingegen konzentrieren sich auf interne Prozesse, Zugriffs- und Zugangskontrollen, Richtlinien und Schulungen.
Dazu gehören die Sensibilisierung der Mitarbeiter (und dir selbst!), ein Notfallmanagement und die Erstellung von Richtlinien.
Diese organisatorischen Maßnahmen zielen darauf ab, das Bewusstsein für Datenschutz und IT-Sicherheit im Unternehmen zu stärken und sicherzustellen, dass alle in deinem Business entsprechend geschult sind und die Datenschutzbestimmungen einhalten.
Zusammengefasst sind technische Maßnahmen die „Werkzeuge“ und Systeme, die Daten schützen, während organisatorische Maßnahmen die „Regeln“ und Prozesse sind, die sicherstellen, dass diese Werkzeuge effektiv und korrekt eingesetzt werden.
Beide Arten von Maßnahmen sind für einen umfassenden Datenschutz unerlässlich.
Technische Maßnahmen im Datenschutz
Technische Maßnahmen sind unerlässlich, um die Integrität und Vertraulichkeit personenbezogener Daten zu gewährleisten.
Sie stellen die erste Verteidigungslinie gegen potenzielle Bedrohungen und Angriffe von außen dar.
Beispiele für technische Maßnahmen sind
- Verschlüsselung: Nur eine Person mit dem richtigen Schlüssel kann die Daten lesen. Die Verschlüsselung wird häufig verwendet, um Daten bei der Übertragung und Speicherung zu schützen.
- Firewalls: Sie dienen dem Schutz von Netzwerken vor unerwünschten Zugriffen von außen und können sowohl hardware- als auch softwarebasiert sein.
- Sichtschutz: Bildschirme werden dabei mit einer Folie abgedeckt. Sie verhindert, dass andere Personen – besonders in der Öffentlichkeit – Einblick auf deinen Bildschirm haben.
- Multi-Faktor-Authentifizierung: Multi-Faktor-Authentifizierung kombiniert mehrere Authentifizierungsmethoden, um den Zugriff auf ein Konto oder System zu bestätigen. Sie bietet erhöhten Schutz vor Phishing und Passwortdiebstahl, indem sie mindestens zwei verschiedene Faktoren wie Passwort, Smartphone oder Fingerabdruck erfordert.
- Regelmäßige Updates: Halte deine Software und Systeme immer auf dem neuesten Stand, um bekannte Sicherheitslücken zu schließen.
- Datensicherung: Führe regelmäßige Backups durch, um Datenverlust durch technische Probleme oder Sicherheitsvorfälle zu vermeiden.
- Virenschutz und Malware-Erkennung: Diese Tools scannen und überwachen Systeme auf schädliche Aktivitäten und helfen, Bedrohungen in Echtzeit zu erkennen und zu neutralisieren.
Durch die Implementierung dieser technischen Maßnahmen kannst du deine Daten effektiver vor einer Vielzahl von Bedrohungen schützen und gleichzeitig deinen datenschutzrechtlichen Verpflichtungen nachkommen.
Wichtig ist, dass diese Maßnahmen regelmäßig überprüft und aktualisiert werden, um mit der sich ständig verändernden Bedrohungslandschaft Schritt zu halten.
Organisatorische Maßnahmen im Datenschutz
Organisatorische Maßnahmen sind ein wesentlicher Bestandteil der technisch-organisatorischen Maßnahmen (TOMs) und zielen darauf ab, den Datenschutz durch interne Prozesse, Richtlinien und Verfahren zu gewährleisten.
Beispiele für organisatorische Maßnahmen
- Zugriffskontrollen und Berechtigungsvorgaben: Stelle sicher, dass nur berechtigte Personen auf bestimmte Daten oder Systeme zugreifen können.
- Richtlinien: Erstelle Richtlinien für die Verwendung von Tools, Geräten und was du und deine Mitarbeitenden bei der Verarbeitung personenbezogener Daten beachten müssen.
- Notfallmanagement: Überlege dir, was du brauchst, wenn der Ernstfall eintritt und dein Laptop kaputtgeht, deine Daten gelöscht wurden oder du Opfer eines Hackerangriffs geworden bist. Sei vorbereitet, damit du schnell und effektiv reagieren kannst.
- Schulungen zu Datenschutz und IT-Sicherheit: Regelmäßige Schulungen helfen, das Bewusstsein für Datenschutzfragen zu schärfen und sicherzustellen, dass du und alle Mitarbeitenden auf dem aktuellen Stand sind.
Durch die Umsetzung und Einhaltung dieser organisatorischen Maßnahmen kannst du nicht nur deinen datenschutzrechtlichen Verpflichtungen nachkommen, sondern auch das Vertrauen deiner Kunden, Partner und Mitarbeitenden in deine Datenschutzpraxis stärken.
Nicht vergessen: Dokumentieren
Wenn die technisch-organisatorischen Maßnahmen definiert und umgesetzt sind, darf die Dokumentation nicht fehlen.
Dies kann innerhalb des Verzeichnisses der Verarbeitungstätigkeiten erfolgen oder als separates Dokument.
Wichtig dabei ist, dass du für deine individuellen Datenverarbeitungen die passenden Maßnahmen definierst, dokumentierst und umsetzt.
FAQ – TOMs
Wo finde ich weitere Beispiele für TOMs?
Beispiele findest du bei den Landesaufsichtsbehörden. Das Bayrische Landesamt für Datenschutz hat etwa eine Checkliste (PDF) erstellt.
