„Technische und organisatorische Maßnahmen“, kurz TOMs, klingt nach IT-Abteilung und Sicherheitszertifikat. Tatsächlich betrifft Art. 32 DSGVO jedes Unternehmen, vom Handwerksbetrieb bis zum Mittelständler. Die Vorschrift verlangt, die Sicherheit personenbezogener Daten durch Maßnahmen zu gewährleisten, die dem Risiko angemessen sind. Nicht jedes Unternehmen braucht deshalb ein Hochsicherheitsrechenzentrum, wohl aber ein durchdachtes Sicherheitskonzept.
Der risikobasierte Ansatz
Art. 32 Abs. 1 DSGVO nennt als Kriterien den Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere des Risikos für die Betroffenen. Eine Arztpraxis mit Gesundheitsdaten muss also höhere Anforderungen erfüllen als ein Blumenladen mit einer Kundenkartei. Ausdrücklich genannt werden unter anderem Pseudonymisierung und Verschlüsselung, die Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellbarkeit nach einem Zwischenfall sowie ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen.
Technische Maßnahmen: Die Basics
- individuelle Benutzerkonten, starke Passwörter und Zwei-Faktor-Authentifizierung für E-Mail und Fernzugriffe,
- ein Berechtigungskonzept, nach dem jeder nur die Daten sieht, die er für seine Arbeit benötigt,
- regelmäßige Updates von Betriebssystemen, Programmen und Firewalls,
- Verschlüsselung von Laptops, Smartphones und mobilen Datenträgern, die Website nur über HTTPS,
- regelmäßige Backups, getrennt vom Produktivsystem, mit getesteter Wiederherstellung,
- Virenschutz und Filter für E-Mail-Anhänge.
Organisatorische Maßnahmen
- Verpflichtung aller Beschäftigten auf Vertraulichkeit,
- Schulung und Sensibilisierung, insbesondere zu Phishing-E-Mails,
- klare Regeln für Homeoffice, private Geräte und die Weitergabe von Daten,
- Zutrittskontrolle zu Büro- und Serverräumen,
- Clean-Desk-Regel und datenschutzgerechte Aktenvernichtung,
- ein Notfallplan für Datenpannen und IT-Ausfälle.
Gerade für mobiles Arbeiten lohnt ein Blick in unsere Homeoffice-Checkliste. Und für den Ernstfall sollte jeder wissen, wie eine Datenpanne binnen 72 Stunden gemeldet wird.
Dokumentation: Das TOM-Konzept
Die Maßnahmen sollten schriftlich dokumentiert werden. Das TOM-Dokument dient mehreren Zwecken: Es ist Teil der Rechenschaftspflicht, wird im Verzeichnis von Verarbeitungstätigkeiten referenziert und ist Anlage zu Auftragsverarbeitungsverträgen, wenn Sie selbst als Dienstleister tätig sind. Gliedern Sie es nach Schutzzielen und beschreiben Sie konkret, was umgesetzt ist. Das Dokument soll die gelebte Praxis abbilden, keine Wunschliste.
Regelmäßig überprüfen
Der Stand der Technik entwickelt sich weiter. Was vor drei Jahren ausreichend war, kann heute veraltet sein. Planen Sie mindestens eine jährliche Überprüfung ein und passen Sie die Maßnahmen bei neuen Systemen oder Vorfällen an. Dass unzureichende Sicherheitsmaßnahmen zu empfindlichen Bußgeldern führen können, zeigt etwa das Verfahren gegen einen Telekommunikationsanbieter, über das wir im Beitrag zum Urteil des LG Bonn berichtet haben.
Viele wirksame Maßnahmen wie Zwei-Faktor-Authentifizierung, Updates, Backups und Schulungen lassen sich mit überschaubarem Aufwand umsetzen. Wenn Sie Ihre TOMs dokumentieren oder überprüfen lassen möchten, helfen wir Ihnen. Kontakt oder Online-Termin.
Share this content:
Schreibe einen Kommentar