TOM (technische und organisatorische Maßnahmen)
TOM sind die technischen und organisatorischen Maßnahmen, mit denen ein Unternehmen personenbezogene Daten nach Art. 32 DSGVO schützt. Technisch sind das etwa Verschlüsselung und Backups, organisatorisch Zugriffsregeln, Schulungen und Verfahrensanweisungen.
Ausführliche Erklärung
Art. 32 DSGVO verlangt ein Schutzniveau, das dem Risiko angemessen ist. Maßstab sind der Stand der Technik, die Kosten, die Art der Daten und die Folgen für Betroffene. Eine Arztpraxis braucht strengere TOM als ein Handwerksbetrieb mit Kundenadressen.
Das Gesetz nennt Beispiele: Pseudonymisierung und Verschlüsselung, die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellung nach einem Zwischenfall und ein Verfahren, das die Wirksamkeit der Maßnahmen regelmäßig überprüft.
Die TOM werden schriftlich dokumentiert. Im AV-Vertrag nach Art. 28 DSGVO verpflichtet sich der Dienstleister auf die Maßnahmen nach Art. 32. In der Praxis stehen die TOM als Anlage im Vertrag.
Typische Lücken in KMU: Backups ohne Wiederherstellungstest, gemeinsam genutzte Admin-Konten, fehlende MFA und eine TOM-Liste, die seit Jahren niemand angepasst hat.
Visgenix: schließt mit Kunden AV-Verträge nach Art. 28 DSGVO. Die Maßnahmen im Betrieb sind konkret benannt: AES-256-Backup-Verschlüsselung, TLS 1.3, immutable Backups, MFA, Conditional Access und Audit-Trail. Die Server stehen in Frankfurt am Main.
IT-Sicherheit
Sicherheitslage einordnen lassen
Im kostenlosen Erstgespräch von 30 Minuten besprechen wir, welche Schutzmaßnahmen in Ihrem Betrieb fehlen und in welcher Reihenfolge sie sinnvoll sind. Rechtliche Fragen gehören zusätzlich zu einer Rechtsberatung.