Technisch-organisatorische Maßnahmen (TOMs) sind alle konkreten Sicherheitsvorkehrungen – sowohl technischer als auch organisatorischer Natur –, die ein Unternehmen ergreift, um personenbezogene Daten angemessen zu schützen und die Anforderungen der DSGVO (Art. 25 und 32) zu erfüllen. TOMs sind der operative Kern der Datenschutz-Compliance: Sie beschreiben nicht nur das Ziel (Datenschutz), sondern die konkreten Maßnahmen, mit denen dieses Ziel erreicht wird.
TOMs müssen im AVV dokumentiert sein: Jeder Auftragsverarbeiter muss darlegen, welche konkreten Maßnahmen er ergreift, um die Daten des Verantwortlichen zu schützen. TOMs sind keine einmalige Beschreibung, sondern müssen laufend aktualisiert werden, wenn sich Systeme oder Bedrohungslage verändern. Die Angemessenheit der TOMs wird am Stand der Technik und am Risiko der jeweiligen Verarbeitung gemessen.
Die acht Schutzziele und ihre TOMs
Zutrittskontrolle
Physischer Schutz von Rechenzentren und Serverräumen. Schlüsselkarten, Alarmanlagen, Besucherprotokoll, abgeschlossene Serverräume.
Zugangskontrolle
Schutz vor unbefugter Systemnutzung. Starke Passwörter, MFA, automatische Bildschirmsperrung, Passwort-Manager.
Zugriffskontrolle
Berechtigungskonzept für Daten und Systeme. Least Privilege, rollenbasierte Zugriffsrechte, regelmäßige Zugriffsreviews.
Trennungskontrolle
Daten verschiedener Kunden oder Kategorien getrennt verarbeiten. Mandantentrennung, Datenbankschemas, separate Umgebungen.
Übertragungskontrolle
Schutz bei Datenübertragung. TLS-Verschlüsselung, verschlüsselte E-Mail, VPN für interne Verbindungen, sichere APIs.
Eingabekontrolle
Nachvollziehbarkeit von Dateneingaben und -änderungen. Audit-Trails, Logging, Versionsverwaltung, Änderungshistorie.
Auftragskontrolle
Verarbeitung nur nach Weisung. AVV, Mitarbeiterschulungen, dokumentierte Weisungen, Sub-Auftragsverarbeiter-Management.
Verfügbarkeitskontrolle
Schutz vor Datenverlust und Systemausfall. Backups, Redundanz, Disaster Recovery, Notfallpläne.
Praxisbeispiel
Ein Automationsdienstleister erstellt ein vollständiges TOM-Dokument als Anhang zu seinem Standard-AVV. Auszug aus dem TOM-Dokument: Zutrittskontrolle: Serverraum mit Chipkartenzugang, Zutritt protokolliert, nur autorisierte Mitarbeiter. Zugangskontrolle: MFA für alle Admin-Zugänge, Passwort-Policy (min. 12 Zeichen, regelmäßige Erneuerung), automatische Sperrung nach 5 Fehlversuchen. Verschlüsselung: TLS 1.3 für alle Verbindungen, AES-256 für Daten at rest, API-Keys im AWS Secrets Manager. Backups: täglich automatisch, verschlüsselt, 3 Standorte (Hot, Warm, Cold), quartalsweiser Restore-Test. Verfügbarkeit: 99,9 Prozent SLA, Kubernetes mit automatischem Failover, dokumentierter Incident-Response-Prozess. Kunden erhalten das TOM-Dokument und können es für ihre eigene DSGVO-Dokumentation nutzen.
