Technische und organisatorische Maßnahmen
Die Umsetzung technischer und organisatorischer Maßnahmen (TOMs) nach Artikel 32 DSGVO ist für jedes Unternehmen ein zentrales Element der Datensicherheit. Während technische Maßnahmen wie Verschlüsselung, Firewalls, Backups oder Netzwerksicherheit dafür sorgen, dass Systeme und Daten technisch geschützt werden, stellen organisatorische Maßnahmen sicher, dass auch Prozesse, Verantwortlichkeiten und Schulungen im Einklang mit den gesetzlichen Vorgaben stehen. Beide Bereiche ergänzen sich und bilden zusammen das Fundament für ein wirksames Datenschutzkonzept.
Artikel 32 DSGVO verpflichtet Unternehmen ausdrücklich dazu, ein „angemessenes Schutzniveau“ für personenbezogene Daten zu gewährleisten. Dieses Schutzniveau richtet sich nach Faktoren wie Art und Umfang der Datenverarbeitung, dem Risiko für die Betroffenen und den aktuellen technischen Möglichkeiten. Ein KMU muss daher andere Maßnahmen ergreifen als ein international tätiger Konzern – entscheidend ist immer die Angemessenheit der Maßnahmen.
Ein praktisches Beispiel: Während eine Verschlüsselung personenbezogener Daten auf Servern oder mobilen Geräten ein technisches Schutzinstrument ist, gehören klare Zugriffsrichtlinien oder die Benennung eines Datenschutzbeauftragten zu den organisatorischen Maßnahmen. Erst in Kombination entfalten beide Bereiche ihre volle Wirksamkeit.
Unternehmen, die technische und organisatorische Maßnahmen konsequent umsetzen, profitieren gleich mehrfach: Sie reduzieren das Risiko von Datenpannen, erfüllen die gesetzlichen Anforderungen der DSGVO, vermeiden mögliche Bußgelder und stärken gleichzeitig das Vertrauen ihrer Kunden und Geschäftspartner. Ein nachweislich hohes Datenschutzniveau wird dabei nicht nur als rechtliche Pflicht gesehen, sondern zunehmend auch als Wettbewerbsvorteil.
Organisatorische Maßnahmen im Kontext
Organisatorische Maßnahmen sind ein wichtiger Bestandteil der DSGVO und dienen dazu, die Sicherheit der Verarbeitung personenbezogener Daten zu gewährleisten. Dabei handelt es sich um intern entwickelte Richtlinien, Verfahren und Praktiken, die darauf abzielen, den Schutz der Privatsphäre und die Vertraulichkeit personenbezogener Daten sicherzustellen.
Beispiele für organisatorische Maßnahmen:
Organisatorische Maßnahmen und Artikel 32
Die Einhaltung der DSGVO und die Umsetzung organisatorischer Maßnahmen sind aus mehreren Gründen entscheidend. Sie schaffen nicht nur rechtliche Sicherheit, sondern stärken auch das Vertrauen in die Datenverarbeitung eines Unternehmens.
Technische Maßnahmen im Kontext
Neben organisatorischen Maßnahmen spielen auch technische Maßnahmen eine entscheidende Rolle bei der Sicherheit der Verarbeitung personenbezogener Daten. Sie beziehen sich auf die Implementierung von Hardware, Software und technischen Lösungen, um den Schutz personenbezogener Daten zu gewährleisten.
Beispiele für technische Maßnahmen:
Zusammenspiel von Maßnahmen
Die Kombination von technischen und organisatorischen Maßnahmen bildet einen umfassenden Ansatz zum Schutz personenbezogener Daten und zur Erfüllung der Anforderungen von Artikel 32 DSGVO. Beide Arten von Maßnahmen ergänzen sich gegenseitig und tragen dazu bei, ein angemessenes Schutzniveau für die verarbeiteten personenbezogenen Daten sicherzustellen.
Bezug zu Normen & Standards
Damit technische und organisatorische Maßnahmen (TOMs) im Sinne von Artikel 32 DSGVO nicht nur auf dem Papier existieren, ist es entscheidend, sie in ein etabliertes Normen- und Standardwerk einzubetten. Besonders hervorzuheben sind dabei die ISO/IEC 27001 sowie der BSI IT-Grundschutz, die beide international bzw. national anerkannte Rahmenwerke für Informationssicherheit darstellen.
Die ISO/IEC 27001 bildet den internationalen Standard für den Aufbau, Betrieb und die kontinuierliche Verbesserung eines Informationssicherheits-Managementsystems (ISMS). In ihrem Anhang A definiert die Norm zahlreiche konkrete Sicherheitsmaßnahmen, die direkt auf die Anforderungen aus Artikel 32 DSGVO einzahlen.
Dazu gehören unter anderem Kontrollen zur Zugriffssicherheit, Richtlinien für Kryptografie, physische Sicherheitsmaßnahmen und das Management von Sicherheitsvorfällen. Unternehmen, die ein ISMS nach ISO 27001 implementieren, können somit systematisch nachweisen, dass sie ein „angemessenes Schutzniveau“ für personenbezogene Daten gewährleisten.
Auf nationaler Ebene bietet der BSI IT-Grundschutz eine detaillierte Methodik zur Umsetzung von Informationssicherheitsmaßnahmen. Er gliedert sich in Bausteine, die für unterschiedliche Bereiche und Systeme spezifische Anforderungen und Empfehlungen enthalten – von Netzwerksicherheit über Notfallmanagement bis hin zu organisatorischen Prozessen.
Besonders der Baustein ORP.4 „Revision und Audits“ und die Sicherheitsmodule zu Netzwerken und Anwendungen sind praxisrelevante Ergänzungen für Unternehmen, die die DSGVO-Anforderungen erfüllen müssen.
In der Praxis profitieren Unternehmen, die ihre organisatorischen und technischen Maßnahmen an ISO 27001 oder BSI IT-Grundschutz ausrichten, doppelt: Einerseits schaffen sie klare Strukturen für den Nachweis der DSGVO-Konformität, andererseits erhöhen sie das Sicherheitsniveau ihrer gesamten IT-Landschaft. Gerade bei Audits oder Zertifizierungen wird deutlich, dass die Orientierung an anerkannten Standards die Dokumentation vereinfacht und Prüfern wie auch Geschäftspartnern Vertrauen vermittelt.
Verknüpfung mit Verantwortlichkeiten
Damit technische und organisatorische Maßnahmen (TOMs) nach Artikel 32 DSGVO wirksam greifen, müssen sie klaren Verantwortlichkeiten im Unternehmen zugeordnet sein. Nur wenn eindeutig festgelegt ist, wer welche Aufgaben übernimmt, lassen sich Datenschutz- und IT-Sicherheitsprozesse zuverlässig umsetzen und später im Audit auch nachweisen.
Die Geschäftsführung trägt die Gesamtverantwortung für den Schutz personenbezogener Daten. Sie ist verpflichtet, ausreichende Ressourcen bereitzustellen – sei es Budget für Sicherheitslösungen, Zeit für Mitarbeiterschulungen oder personelle Kapazitäten für Audits. Darüber hinaus muss die oberste Leitung sicherstellen, dass Datenschutz und IT-Sicherheit fest in die Unternehmensstrategie integriert werden. Eine aktive Rolle der Geschäftsführung signalisiert zudem allen Beteiligten, dass es sich nicht nur um eine „Pflichtübung“, sondern um ein strategisches Thema handelt.
Der Datenschutzbeauftragte (DSB) ist zentraler Ansprechpartner und überwacht die Einhaltung der DSGVO. Er prüft, ob TOMs angemessen sind, dokumentiert deren Wirksamkeit und ist Bindeglied zur Aufsichtsbehörde. Der DSB benötigt dabei ausreichend Unabhängigkeit, um Missstände klar benennen zu können, sowie das Recht, bei allen Projekten frühzeitig eingebunden zu werden.
Der IT-Sicherheitsbeauftragte verantwortet die technische Umsetzung – etwa bei Verschlüsselung, Netzwerksicherheit oder Notfallmanagement. Gleichzeitig müssen auch die Fachbereiche in die Pflicht genommen werden: Personalabteilung, Vertrieb oder Produktion sind mitverantwortlich, dass Zugriffsrechte korrekt vergeben, Daten sparsam erhoben und Prozesse dokumentiert werden.
Am Ende gilt: Technik alleine reicht nicht. Ein hohes Datenschutzniveau entsteht erst durch die klare Verknüpfung von TOMs mit Verantwortlichkeiten. Nur wenn Zuständigkeiten eindeutig definiert sind, können Prozesse effizient laufen, Risiken reduziert und Nachweise in Audits sauber erbracht werden. Diese Transparenz stärkt nicht nur die Compliance, sondern auch das Vertrauen von Kunden, Mitarbeitenden und Partnern in die Organisation.
Risiken ohne Umsetzung TOMs
Wer die Anforderungen aus Artikel 32 DSGVO ignoriert oder unzureichend umsetzt, setzt sich erheblichen Gefahren aus. Fehlende technische und organisatorische Maßnahmen (TOMs) führen nicht nur zu finanziellen und rechtlichen Konsequenzen, sondern bedrohen auch die Sicherheit sensibler Daten und die Reputation des gesamten Unternehmens.
Ein zentrales Risiko ohne TOMs sind Datenschutzverletzungen. Unverschlüsselte Notebooks, fehlende Zugriffskontrollen oder mangelhafte Passwortpolitik öffnen Angreifern Tür und Tor. Gelangen personenbezogene Daten in falsche Hände, drohen nicht nur meldepflichtige Sicherheitsvorfälle, sondern auch langfristige Schäden für betroffene Personen. Ein solcher Vorfall kann zu hohen Bußgeldern, Schadensersatzforderungen und Vertrauensverlust führen.
Ohne die Umsetzung von TOMs verstößt ein Unternehmen gegen die rechtlichen Pflichten der DSGVO. Die Aufsichtsbehörden können Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes verhängen. Hinzu kommen mögliche Klagen von Kunden oder Partnern, die durch mangelnde Datensicherheit geschädigt wurden. Finanzielle Risiken sind damit nicht nur abstrakt, sondern können die Existenz kleiner und mittlerer Unternehmen unmittelbar bedrohen.
Neben den direkten finanziellen Folgen ist auch der Reputationsverlust ein entscheidender Faktor. Kunden, Geschäftspartner und Mitarbeitende erwarten, dass sensible Daten sicher verarbeitet werden. Kommt es zu einem Vorfall, verbreiten sich die Nachrichten oft schnell über Medien und soziale Netzwerke. Ein beschädigtes Image ist schwer wiederherzustellen und führt oft dazu, dass Aufträge ausbleiben oder Kooperationen beendet werden.
Auch die Betriebskontinuität ist gefährdet, wenn TOMs fehlen. Cyberangriffe wie Ransomware, fehlende Backups oder unzureichendes Notfallmanagement können dazu führen, dass Systeme tagelang stillstehen. Die damit verbundenen Umsatzeinbußen und der organisatorische Aufwand für die Wiederherstellung sind erheblich und übersteigen oft die Kosten, die eine präventive Absicherung erfordert hätte.
Das Ignorieren von TOMs ist ein hohes unternehmerisches Risiko. Unternehmen riskieren nicht nur Bußgelder, sondern auch ihre Glaubwürdigkeit und Wettbewerbsfähigkeit. Ein proaktiver Ansatz, bei dem technische und organisatorische Maßnahmen regelmäßig überprüft und verbessert werden, ist daher unerlässlich, um sowohl rechtliche Anforderungen einzuhalten als auch langfristig Vertrauen und Stabilität zu sichern.
