Technische und organisatorische Maßnahmen

Technische und organisatorische Maßnahmen, kurz TOM, sind die konkreten Vorkehrungen, mit denen ein Betrieb personenbezogene Daten vor Verlust, Missbrauch oder unbefugtem Zugriff schützt. Technische Maßnahmen betreffen dabei die eingesetzten Systeme selbst, etwa Zugriffsbeschränkungen oder Verschlüsselung, während organisatorische Maßnahmen die Abläufe im Betrieb regeln, etwa wer worauf zugreifen darf und wie mit einer möglichen Datenpanne umgegangen wird, wenn sie einmal auftreten sollte, statt erst im akuten Fall improvisierte Regeln aufzustellen.

Für Handwerksbetriebe klingt der Begriff zunächst abstrakt und sperrig, meint aber sehr praktische Dinge: ein abgeschlossenes Büro, in dem Kundenordner nicht offen zugänglich herumliegen, ein Passwortschutz auf dem PC mit der Kundendatenbank, klar geregelte Zugriffsrechte auf sensible Ordner, oder eine feste Regelung, wer neue Mitarbeitende in bestehende Systeme einweist und ihnen die passenden Zugänge einrichtet, statt dass sich jeder selbst nimmt, was gerade praktisch erscheint.

Bezug zur Digitalisierung

Mit der Digitalisierung verschieben sich viele dieser Maßnahmen von der physischen in die digitale Welt: Statt eines abgeschlossenen Aktenschranks sichern nun Zugriffsrechte in der Cloud-Software die Kundendaten, statt eines Ordners im Büro schützt eine verschlüsselte Übertragung Pläne und Fotos auf dem Weg zum Kunden. Wer neue digitale Werkzeuge einführt, sollte sich deshalb bewusst fragen, welche technischen und organisatorischen Maßnahmen dafür notwendig sind, statt Datenschutz erst im Nachhinein mitzudenken, wenn die Software bereits produktiv im Einsatz ist und nachträgliche Anpassungen deutlich aufwendiger sind als eine vorausschauende Planung.

Wird ein externer Dienstleister im Rahmen einer Auftragsverarbeitung eingebunden, muss dieser eigene technische und organisatorische Maßnahmen nachweisen können, meist als Teil des Auftragsverarbeitungsvertrags oder einer beigefügten Anlage, die bei den meisten seriösen Anbietern auf Anfrage verfügbar ist. Ein Blick in diese Angaben zeigt, wie ernsthaft ein Anbieter Datenschutz und IT-Sicherheit tatsächlich umsetzt. Auch eine funktionierende Datensicherung zählt im weiteren Sinne zu den technischen Maßnahmen, da sie Daten vor dauerhaftem Verlust schützt.

Für kleinere Betriebe reicht ein pragmatischer Ansatz: die wichtigsten Maßnahmen für die eigenen Kernsysteme schriftlich festhalten, etwa wer Zugriff hat und wie Daten gesichert werden, statt ein umfassendes, aber im Alltag ungenutztes Regelwerk zu erstellen, das niemand tatsächlich anwendet. Schon wenige klar formulierte Regeln bringen im Alltag mehr als ein umfangreiches, aber unbekanntes Dokument, das in einer Schublade verstaubt.