TOM: Datenschutz technisch und organisatorisch umsetzen

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO sind kein Selbstzweck. Sie entscheiden im Alltag darüber, ob personenbezogene Daten in deiner Behörde oder deinem Unternehmen tatsächlich geschützt sind und ob du das gegenüber Aufsichtsbehörden und Prüfern belegen kannst. In Vergabeprojekten mit IT-Bezug sind TOM inzwischen ein Kernpunkt der Leistungsbeschreibung und der Eignungsprüfung.

Was TOM im Sinne der DSGVO konkret bedeuten

Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Übersetzt in die Praxis heißt das:

• Du musst die Risiken für die Rechte und Freiheiten der Betroffenen kennen.
• Du musst passende Maßnahmen auswählen und umsetzen.
• Du musst die Umsetzung nachweisen können.
• Du musst die Maßnahmen regelmäßig überprüfen und bei Bedarf anpassen.

Typische TOM-Bausteine sind:

• Zugriffs- und Berechtigungskonzepte
• Pseudonymisierung und Verschlüsselung
• Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit
• Wiederherstellungsverfahren nach Vorfällen
• Verfahren zur regelmäßigen Überprüfung und Bewertung der Maßnahmen
• Lösch- und Aufbewahrungskonzepte
• Protokollierung und Monitoring

Gerade bei IT-Vergaben ist wichtig, dass du diese Punkte nicht nur intern regelst, sondern auch vertraglich gegenüber Dienstleistern absicherst, etwa in Auftragsverarbeitungsverträgen nach Art. 28 DSGVO oder in EVB-IT-Verträgen.

Passende Seminare und Termine findest du bei uns auf cmt.de.

Zugriffs- und Berechtigungskonzepte: Wer darf was, wann und warum?

Ohne klares Berechtigungskonzept helfen dir die besten Sicherheitsprodukte nicht. Ziel ist, dass jede Person nur auf die Daten zugreifen kann, die sie für ihre Aufgabe wirklich braucht.

Praktische Grundsätze:

• Need-to-know: Rollen und Aufgaben definieren, dann Zugriffe strikt auf das Notwendige beschränken.
• Rollen statt Einzelrechte: Rollenbasierte Zugriffsmodelle (RBAC) erleichtern Verwaltung und Nachweisbarkeit.
• Trennung von Funktionen: Kritische Funktionen auf mehrere Personen verteilen, zum Beispiel Vier-Augen-Prinzip bei Freigaben.
• Zeitliche Begrenzung: Temporäre Rechte nur für den Zeitraum der Aufgabe vergeben und anschließend wieder entziehen.
• Regelmäßige Rezertifizierung: In festen Abständen prüfen, ob Berechtigungen noch passen, etwa jährlich oder anlassbezogen nach Stellenwechsel.

Für die Dokumentation solltest du mindestens festhalten:

• Welche Rollen es gibt und welche Rechte zugeordnet sind.
• Wer für die Vergabe und Prüfung von Berechtigungen zuständig ist.
• Wie der Prozess bei Eintritt, Positionswechsel und Austritt aussieht.
• Wie du die regelmäßige Überprüfung organisierst und protokollierst.

In Vergabeverfahren ist es sinnvoll, vom Bieter ein Rollen- und Berechtigungskonzept zu verlangen und Mindestanforderungen klar zu formulieren, etwa zur Trennung von Administratoren und Fachanwendern.

Verschlüsselung: Pflichtbaustein, kein Luxus

Verschlüsselung ist in der DSGVO ausdrücklich genannt und bei vielen Verarbeitungstätigkeiten Stand der Technik. Dabei geht es um drei Ebenen:

1. Verschlüsselung bei der Übertragung

• Einsatz von TLS bei Webanwendungen und E-Mail-Transport.
• Absicherung von Fernzugriffen per VPN.
• Sichere Protokolle für Schnittstellen, etwa HTTPS oder SFTP.

2. Verschlüsselung bei der Speicherung

• Festplattenverschlüsselung auf mobilen Geräten und Notebooks.
• Verschlüsselung sensibler Datenbanken oder spezieller Datenbankfelder.
• Verschlüsselung von Backups, inklusive der Offsite-Sicherungen.

3. Ende-zu-Ende-Verschlüsselung, wo erforderlich

• Besonders schutzbedürftige Daten, etwa Gesundheitsdaten oder Sozialdaten, können eine Ende-zu-Ende-Verschlüsselung erfordern, zum Beispiel im Austausch mit externen Stellen.

Wichtig für die Nachweisbarkeit:

• Verschlüsselungskonzepte und eingesetzte Verfahren dokumentieren.
• Schlüsselmanagement regeln: Wer erstellt, verwaltet und erneuert Schlüssel, wie erfolgt die Sicherung.
• Verfahren zur Wiederherstellung bei Schlüsselverlust definieren.

In Ausschreibungen solltest du Verschlüsselungsanforderungen präzise beschreiben, zum Beispiel Mindeststandards für Protokolle, Algorithmen und Schlüssellängen, ohne konkrete Produkte vorzugeben.

Löschkonzepte: Weg mit Daten, wenn der Zweck entfällt

Das Recht auf Löschung und die Pflicht zur Speicherbegrenzung sind Kernpunkte der DSGVO. In der Praxis stolpern viele daran, dass es zwar Löschvorschriften gibt, aber kein funktionierendes Löschkonzept.

Ein belastbares Löschkonzept umfasst mindestens:

• Datenarten: Welche Kategorien personenbezogener Daten werden verarbeitet.
• Zwecke: Wofür werden diese Daten jeweils genutzt.
• Rechtsgrundlagen: Auf welcher Grundlage erfolgt die Verarbeitung.
• Aufbewahrungsfristen: Welche gesetzlichen oder fachlichen Vorgaben gelten.
• Löschzeitpunkte und -regeln: Ab wann ist was zu löschen oder zu anonymisieren.
• Verantwortlichkeiten: Wer entscheidet, wer führt Löschungen technisch durch.
• Technische Umsetzung: Wie werden Daten in Fachverfahren, Fileshares, E-Mails, Backups und Protokollen gelöscht oder anonymisiert.

Typische Stolpersteine sind:

• Daten in Backups: Vollständige Löschung ist oft nicht sofort möglich. Hier ist ein Konzept erforderlich, etwa Löschung durch Überschreiben im Rahmen des Backup-Lebenszyklus und strenge Zugriffsbeschränkung.
• Schatten-IT: Exporte in Excel, lokale Ablagen, private Cloud-Dienste. Hier brauchst du klare Vorgaben und Kontrollen.
• Fachverfahren ohne Löschfunktion: In Vergaben solltest du sicherstellen, dass Löschfunktionen oder zumindest Anonymisierungsfunktionen vorhanden sind.

Für die Dokumentation reichen Tabellen oft aus. Ein Beispiel:

Datenkategorie	Zweck	Rechtsgrundlage	Aufbewahrung / Löschung	Verantwortlich
Bewerbungsunterlagen	Durchführung Bewerbungsverfahren	Art. 6 Abs. 1 lit. b DSGVO	6 Monate nach Abschluss, dann Löschung, sofern keine Klage	Personalabteilung
Protokolldaten Fachverfahren	Nachvollziehbarkeit, Sicherheit	Art. 6 Abs. 1 lit. e DSGVO	12 Monate, dann Aggregation oder Anonymisierung	IT-Betrieb, Fachbereich

Solche Tabellen helfen dir intern und können im Prüfungsfall gegenüber Aufsichtsbehörden vorgelegt werden.

Protokollierung und Monitoring: Nachvollziehbarkeit schaffen

Protokollierung ist für mehrere Ziele wichtig:

• Nachweisbarkeit von Zugriffen und Änderungen.
• Erkennung von Sicherheitsvorfällen.
• Unterstützung bei internen Ermittlungen und bei Meldungen nach Art. 33 DSGVO.

Wichtige Punkte bei der Gestaltung von Logging und Monitoring:

• Umfang: Was wird protokolliert, etwa Anmeldungen, fehlgeschlagene Anmeldeversuche, Berechtigungsänderungen, Datenexporte, administrative Eingriffe.
• Protokolltiefe: Personenbezug nur, soweit erforderlich. Wo möglich, Pseudonyme oder Rollen statt Klarnamen nutzen, soweit das Ziel erreicht wird.
• Aufbewahrungsdauer: So kurz wie möglich, so lang wie nötig. Typisch sind 6 bis 24 Monate, je nach Risiko und Rechtsgrundlagen.
• Schutz der Protokolldaten: Protokolle selbst sind schützenswerte Daten. Sie müssen vor unbefugtem Zugriff und Manipulation geschützt werden, zum Beispiel durch zentrale Logserver, Härtung, restriktive Berechtigungen und Integritätsprüfungen.
• Auswertung: Es reicht nicht, nur zu protokollieren. Du brauchst Prozesse, wie Auffälligkeiten erkannt und bearbeitet werden.

Behalte auch das Beschäftigtendatenschutzrecht im Blick. Umfassende Mitarbeiterüberwachung ist unzulässig. Betriebsrat oder Personalrat sind häufig zu beteiligen. Transparenz gegenüber Beschäftigten ist Pflicht, etwa durch klare Regelungen in Dienstvereinbarungen oder Richtlinien.

Nachweisbarkeit: Dokumentation, die Prüfern standhält

Art. 5 Abs. 2 DSGVO verlangt Rechenschaftspflicht. Du musst nachweisen können, dass du die Datenschutzgrundsätze einhältst. Für TOM heißt das konkret:

• Es gibt ein zentrales TOM-Dokument oder mehrere abgestimmte Dokumente, die Maßnahmen beschreiben.
• Die Dokumentation ist aktuell und spiegelt die tatsächliche Praxis wider.
• Verantwortlichkeiten sind klar zugeordnet.
• Es existieren Nachweise zur Umsetzung, etwa Protokolle, Freigabedokumente, Schulungsnachweise.

Praktisch bewährt hat sich eine Struktur in drei Ebenen:

1. Leitlinie oder Richtlinie

• Grundsätzliche Sicherheits- und Datenschutzvorgaben.
• Rollen und Verantwortlichkeiten.
• Bezug auf gesetzliche Grundlagen.

2. Konzepte

• Zugriffs- und Berechtigungskonzept.
• Verschlüsselungskonzept.
• Lösch- und Aufbewahrungskonzept.
• Backup- und Wiederherstellungskonzept.
• Protokollierungs- und Monitoringkonzept.

3. Verfahren und Nachweise

• Prozessbeschreibungen, Arbeitsanweisungen.
• Formulare und Checklisten, etwa für Berechtigungsanträge.
• Nachweise über Prüfungen, Tests, Schulungen, Audits.

In IT-Vergaben solltest du regeln, welche Nachweise der Auftragnehmer zu TOM erbringen muss, zum Beispiel Zertifizierungen, Sicherheitskonzepte oder Prüfberichte. Achte darauf, dass du Einsichts- und Prüfungsrechte im Vertrag verankerst, ohne dir unverhältnismäßig weitgehende Zugriffe auf die Systeme des Auftragnehmers zu sichern.

Checkliste: TOM praxisnah umsetzen

Die folgende Checkliste kannst du als grobe Richtschnur nutzen, um den Stand deiner TOM zu prüfen:

• Risikoanalyse vorhanden

• Gibt es eine Bewertung der Risiken für die Datenverarbeitung, etwa im Rahmen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, wo erforderlich

• Werden technische und organisatorische Maßnahmen aus dieser Analyse abgeleitet

• Zugriffs- und Berechtigungskonzept

• Rollenmodell definiert und dokumentiert

• Prozesse für Vergabe, Änderung und Entzug von Rechten festgelegt

• Regelmäßige Überprüfung von Berechtigungen organisiert und nachweisbar

• Verschlüsselung

• Übertragungswege mit TLS oder vergleichbaren Verfahren abgesichert

• Mobile Geräte und Speichermedien verschlüsselt

• Backups verschlüsselt, Schlüsselmanagement geregelt

• Lösch- und Aufbewahrungskonzept

• Datenkategorien, Zwecke, Rechtsgrundlagen und Fristen dokumentiert

• Löschprozesse technisch in Fachverfahren umgesetzt

• Umgang mit Backups und Protokolldaten geregelt

• Protokollierung und Monitoring

• Umfang und Tiefe der Protokollierung dokumentiert

• Schutz der Protokolle sichergestellt

• Verfahren zur Auswertung und Behandlung von Auffälligkeiten definiert

• Nachweisbarkeit

• Zentrales TOM-Dokument oder TOM-Übersicht vorhanden

• Zuständigkeiten klar geregelt

• Schulungen und Sensibilisierungen dokumentiert

• Regelmäßige Überprüfungen oder Audits geplant und dokumentiert

Fazit: TOM als laufende Aufgabe verstehen

TOM sind kein einmaliges Projekt, sondern eine Daueraufgabe. Technik, Bedrohungslage und rechtliche Anforderungen entwickeln sich weiter. Du solltest TOM deshalb als Regelkreis organisieren:

• Planen: Risiken bewerten, Maßnahmen festlegen.
• Umsetzen: Technische und organisatorische Maßnahmen einführen.
• Prüfen: Wirkung der Maßnahmen regelmäßig bewerten.
• Anpassen: Maßnahmen verbessern oder ergänzen.

Wenn du diese Struktur verinnerlichst, wird aus der abstrakten Vorgabe des Art. 32 DSGVO ein handhabbares Instrument. Du reduzierst Risiken, bist gegenüber Aufsichtsbehörden auskunftsfähig und kannst in Vergaben klar benennen, was du von Dienstleistern erwartest.