TOM nach Art. 32 DSGVO: Sicherheitsmaßnahmen nachvollziehbar dokumentieren

Technische und organisatorische Maßnahmen nach Art 32 DSGVO sind kein einmalig abgelegtes IT-Dokument. Unternehmen müssen nachvollziehbar zeigen können, welche Risiken sie für ihre konkreten Verarbeitungen erkannt haben, welche Schutzmaßnahmen dagegen wirken und wann deren Wirksamkeit zuletzt überprüft wurde. Eine Liste mit „Firewall, Backup und Passwortregeln“ reicht dafür meist nicht aus.

Dieser Beitrag zeigt, wie Verantwortliche und Auftragsverarbeiter Sicherheitsmaßnahmen so dokumentieren, dass die Verbindung zwischen Verarbeitung, Risiko, Maßnahme, Zuständigkeit und Nachweis erkennbar bleibt. Im Mittelpunkt steht nicht ein abstrakter Sicherheitskatalog, sondern die Frage, ob die gewählten Maßnahmen für den konkreten Betrieb angemessen sind und sich in der Praxis überprüfen lassen.

Art 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Bei der Auswahl sind insbesondere der Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung zu berücksichtigen. Hinzu kommen Eintrittswahrscheinlichkeit und Schwere möglicher Risiken für die Rechte und Freiheiten natürlicher Personen. Die Norm schreibt deshalb keine für jedes Unternehmen identische Maßnahmenliste vor.

Art 32 Abs 1 DSGVO nennt unter anderem Pseudonymisierung und Verschlüsselung, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie die Fähigkeit zur raschen Wiederherstellung der Verfügbarkeit. Außerdem muss die Wirksamkeit der Maßnahmen regelmäßig überprüft, bewertet und evaluiert werden. Genau diese Verbindung aus Auswahl und laufender Kontrolle muss der Nachweis abbilden.

Für die Rechenschaftspflicht ist Art 5 Abs 2 DSGVO wichtig. Der Verantwortliche muss nicht nur datenschutzkonform handeln, sondern die Einhaltung auch nachweisen können. Art 24 DSGVO verlangt, geeignete Maßnahmen umzusetzen und erforderlichenfalls zu überprüfen und zu aktualisieren. Eine Dokumentation ist daher kein Selbstzweck. Sie macht sichtbar, wie das Unternehmen seine Verantwortung wahrnimmt.

Ein Sicherheitsnachweis beginnt nicht beim verwendeten Produkt, sondern bei der Verarbeitung. Fragen Sie zunächst, welche Daten verarbeitet werden, wer darauf zugreifen kann, wohin sie übermittelt werden und welche Folgen ein Verlust, eine Veränderung oder eine unbefugte Offenlegung hätte. Gesundheitsdaten, Zugangsdaten, Personalakten oder umfangreiche Kundendaten können einen anderen Schutzbedarf haben als eine einfache öffentliche Kontaktliste.

Das Risiko lässt sich nicht durch die Bezeichnung „Standardprozess“ erledigen. Relevant sind etwa die Zahl der betroffenen Personen, die Dauer eines möglichen Zugriffs, die Abhängigkeit von einem einzelnen System, die Möglichkeit einer Wiederherstellung und die Fähigkeit, einen Vorfall rasch zu erkennen. Bei einer Verarbeitung mit hohem Schutzbedarf müssen Maßnahmen und Nachweise entsprechend belastbarer sein.

Dokumentieren Sie auch Annahmen und Restrisiken. Wenn ein Unternehmen eine Maßnahme aus wirtschaftlichen oder technischen Gründen nicht sofort vollständig umsetzt, sollte erkennbar sein, welche Alternative gewählt wurde, warum sie vorläufig angemessen erscheint und bis wann die Situation erneut bewertet wird. So wird aus einer bloßen Behauptung eine nachvollziehbare Entscheidung.

Ein brauchbarer Nachweis muss nicht in einem einzigen Dokument stehen. In der Praxis können Verzeichnis von Verarbeitungstätigkeiten, Richtlinien, Berechtigungskonzepte, Dienstleisterunterlagen, Testprotokolle und Schulungsnachweise miteinander verknüpft sein. Entscheidend ist, dass eine prüfende Person den Zusammenhang ohne lange Suche nachvollziehen kann.

Für jede wichtige Verarbeitung sollten zumindest Zweck und Datenkategorien, betroffene Personengruppen, Systeme und Dienstleister, Zugriffsrollen, Schutzbedarf, wesentliche Risiken, zugeordnete Maßnahmen, verantwortliche Personen und vorhandene Nachweise auffindbar sein. Ergänzen Sie den Status der Umsetzung, bekannte Ausnahmen, das Datum der letzten Prüfung und den nächsten Kontrolltermin.

Die Maßnahmen selbst sollten konkret genug beschrieben werden. „Zugriffsschutz vorhanden“ sagt wenig aus. Aussagekräftiger ist etwa: Welche Rolle darf auf welche Daten zugreifen, wie wird der Zugriff vergeben und entzogen, wie werden privilegierte Zugriffe protokolliert und wann wird die Berechtigung überprüft? Die konkrete technische Umsetzung kann in einer Anlage dokumentiert werden, wenn der Hauptnachweis darauf eindeutig verweist.

Art 32 DSGVO verlangt nicht nur die Auswahl geeigneter Maßnahmen. Unternehmen müssen auch die Wirksamkeit regelmäßig überprüfen, bewerten und evaluieren. Das Prüfintervall hängt von Risiko und Veränderungsgeschwindigkeit ab. Ein unverändertes System mit geringem Risiko braucht einen anderen Prüfplan als eine cloudbasierte Verarbeitung mit vielen externen Zugriffen und häufigen Releases.

Ein Testprotokoll sollte die geprüfte Maßnahme, den Umfang, die Methode, das Datum, die verantwortliche Person, das Ergebnis und festgestellte Abweichungen nennen. Beispiele sind ein Wiederherstellungstest aus dem Backup, eine Prüfung von Benutzerrechten, ein kontrollierter Phishing-Test, ein Patch- und Schwachstellenbericht, eine Kontrolle der Verschlüsselung oder eine Übung für die Meldung eines Sicherheitsvorfalls.

Ein negatives Ergebnis ist kein Beweis für fehlende Compliance, wenn das Unternehmen damit sachlich umgeht. Wichtig ist, dass Abweichungen bewertet, priorisiert und mit einer verantwortlichen Person sowie einem realistischen Termin versehen werden. Nach der Korrektur sollte eine Nachprüfung zeigen, ob das Problem tatsächlich behoben wurde. Die Dokumentation muss nicht jede technische Einzelheit enthalten, aber sie darf die entscheidenden Ergebnisse nicht verschleiern.

Der Verantwortliche bleibt für die Auswahl und Überprüfung geeigneter Maßnahmen verantwortlich. Wird eine Verarbeitung durch einen Auftragsverarbeiter durchgeführt, muss der Vertrag nach Art 28 Abs 3 lit c DSGVO auch die Verpflichtung zu geeigneten technischen und organisatorischen Maßnahmen abbilden. Der Verantwortliche sollte sich daher nicht mit der pauschalen Aussage begnügen, der Anbieter sei „zertifiziert“ oder habe ein Sicherheitslogo.

Prüfen Sie, welche Nachweise der Dienstleister tatsächlich bereitstellt, welche Verarbeitung in welchem Rechenzentrum stattfindet, wie Unterauftragsverarbeiter eingebunden werden und wie Vorfälle gemeldet werden. Art 28 Abs 3 lit h DSGVO sieht Informationen zum Nachweis der Pflichten und die Ermöglichung von Überprüfungen vor. Diese Rechte müssen im Alltag auch praktikabel sein.

Für interne Zuständigkeiten helfen klare Rollen. Eine IT-Abteilung kann technische Kontrollen durchführen. Die Datenschutzkoordination kann die Risikobewertung und Dokumentationslogik begleiten. Die Geschäftsführung muss wesentliche Restrisiken und Prioritäten entscheiden. Zuständigkeit bedeutet nicht, dass eine Person alle Aufgaben allein erledigt. Sie muss aber feststehen, wer die Entscheidung vorbereitet, freigibt, prüft und nachhält. Ergänzend hilft die Übersicht zur Auftragsverarbeitung und zu Dienstleistern.

Ein TOM-Nachweis veraltet oft nicht an einem bestimmten Datum, sondern durch Veränderungen. Ein neues CRM, ein anderer Cloud-Anbieter, ein zusätzlicher Homeoffice-Zugriff, eine neue Schnittstelle oder eine geänderte Aufbewahrung kann die Risikobewertung verändern. Legen Sie deshalb einen einfachen Änderungsprozess fest: Wer meldet die Änderung, wer bewertet sie, welche Dokumente werden angepasst und wann wird die Maßnahme geprüft?

Sicherheitsvorfälle zeigen, ob die beschriebenen Maßnahmen in der Praxis funktionieren. Nach einem Vorfall sollten Sie nicht nur die unmittelbare Ursache behandeln. Fragen Sie auch, ob die Risikobewertung richtig war, ob Warnungen ausgelöst haben, ob Zuständigkeiten funktioniert haben und ob der Wiederanlauf möglich war. Die Übersicht zu Datenpannen und Meldepflichten ordnet die weiteren Schritte bei einer Verletzung des Schutzes personenbezogener Daten ein.

Bei der Überarbeitung sollten frühere Entscheidungen auffindbar bleiben. Version, Änderungsgrund, Freigabe und Wirksamkeit der Änderung gehören in eine nachvollziehbare Historie. So kann das Unternehmen erklären, wie es aus einem Testergebnis oder Vorfall gelernt hat, ohne den gesamten Nachweis jedes Mal unstrukturiert neu zu schreiben.

Ein häufiger Fehler ist die reine Produktliste. Namen von Software, Firewalls oder Cloud-Diensten zeigen noch nicht, ob das jeweilige Risiko angemessen reduziert wird. Ebenso wenig genügt eine allgemeine Richtlinie, wenn niemand ihre Einhaltung kontrolliert. Der Nachweis sollte deshalb immer eine konkrete Verarbeitung und einen nachvollziehbaren Kontrollweg erkennen lassen.

Problematisch sind auch nicht gepflegte Berechtigungslisten, ungeprüfte Backups und Testprotokolle ohne Ergebnis. Ein Backup, dessen Wiederherstellung nie ausprobiert wurde, belegt die Fähigkeit zur Wiederherstellung nur eingeschränkt. Eine Schulungsrichtlinie ohne Teilnahme- oder Aktualisierungsnachweis zeigt nicht, ob sie im Betrieb angekommen ist.

Vermeiden Sie außerdem starre Versprechen. Art 32 DSGVO verlangt Angemessenheit und regelmäßige Überprüfung, nicht die Behauptung, dass jedes Risiko ausgeschlossen sei. Formulieren Sie ehrlich, welche Maßnahme welches Risiko reduziert, welche Grenzen bestehen und wie das Restrisiko behandelt wird. Das ist fachlich belastbarer und erleichtert spätere Entscheidungen.

Für einen ersten belastbaren Aufbau reicht oft ein überschaubares Arbeitsraster. Wählen Sie die wichtigsten Verarbeitungen aus, beschreiben Sie deren Schutzbedarf und ordnen Sie die vorhandenen Maßnahmen zu. Kennzeichnen Sie Lücken nicht als erledigt, sondern vergeben Sie eine zuständige Person und einen nächsten Termin. Danach prüfen Sie, ob die Nachweise für einen unabhängigen Leser verständlich sind.

Beginnen Sie mit den Verarbeitungen, bei denen ein Sicherheitsvorfall besonders schwerwiegende Folgen haben könnte oder die von vielen Personen und Dienstleistern abhängen. Prüfen Sie anschließend, ob die internen Richtlinien, Verträge und technischen Kontrollen dasselbe Bild ergeben. Widersprüche zwischen Dokumenten sind oft wertvoller als eine weitere allgemeine Sicherheitsbeschreibung, weil sie auf konkrete Handlungsfelder hinweisen.

Für die laufende Pflege eignet sich ein jährlicher Grundcheck allein nicht immer. Ergänzen Sie anlassbezogene Prüfungen bei neuen Systemen, Dienstleistern, Sicherheitsvorfällen und erheblichen Änderungen der Verarbeitung. Die Seite zu Datenschutz-Governance und Compliance zeigt, wie sich diese Aufgaben in die organisatorische Verantwortung einordnen lassen. Für die Rollenverteilung bietet der Rollen-Check eine erste Strukturierung.