Glossarbegriff
DSGVO Art. 32 TOM
Auch: Technische und organisatorische Massnahmen, GDPR Art. 32 TOMs, Art. 32 DSGVO
Technische und organisatorische Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus bei der Verarbeitung personenbezogener Daten. Pflicht aus Art. 32 DSGVO, einschlägig für jeden Verantwortlichen und Auftragsverarbeiter in der EU.
Art. 32 DSGVO nennt vier Beispiel-Felder: Pseudonymisierung und Verschlüsselung, Vertraulichkeit/Integrität/Verfügbarkeit/Belastbarkeit, Wiederherstellbarkeit, regelmäßige Überprüfung. Der Stand der Technik, Implementierungs-Kosten, Art/Umfang/Umstände/Zwecke der Verarbeitung und Risiken sind explizit als Maßstab genannt.
Strukturierung: TOM werden üblicherweise nach Kategorien dokumentiert (Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe-, Auftrags-, Verfügbarkeits-, Trennungs-Kontrolle plus organisatorische Maßnahmen wie Schulung, Vertraulichkeits-Vereinbarungen, Notfall-Management). Format-Vorlagen liefern Landes-Datenschutz-Behörden und Verbände wie BvD oder GDD.
In der Praxis
Audit-Relevanz: TOM sind Pflicht-Anlage zu Auftragsverarbeitungs-Verträgen nach Art. 28 DSGVO. Aufsicht (Bundes- und Länder-Datenschutz) prüft TOM stichprobenartig, bei Meldungen nach Art. 33 systematisch. Generische TOM-Listen ohne Spezifizierung auf die Verarbeitung sind als Mängel-Beispiel in Aufsichts-Veröffentlichungen häufig.
Verwandte Begriffe
DSFA
Pflichtbewertung nach Art. 35 DSGVO bei voraussichtlich hohem Risiko für Rechte und Freiheiten betroffener Personen. Pflicht u.a. bei systematischer Beurteilung, umfangreicher Verarbeitung besonderer Kategorien und systematischer Überwachung öffentlicher Bereiche.
Schrems II
EuGH-Urteil vom 16. Juli 2020, das den EU-US Privacy Shield für ungueltig erklärte und Standardvertragsklauseln (SCC) nur unter Zusatzgarantien zuliess. Folge: Datenübermittlungen in die USA brauchen Transfer Impact Assessment (TIA) plus zusätzliche Schutzmaßnahmen.
ISO 27001
Internationaler Standard für Informationssicherheits-Management-Systeme. Aktuelle Fassung ISO/IEC 27001:2022. Zertifizierbar durch akkreditierte Stellen. Kernrahmen für ISMS-Aufbau, Risikobehandlung und kontinuierliche Verbesserung.
NIS2
EU-Richtlinie 2022/2555 zur Netz- und Informationssicherheit. Löst NIS1 ab, erweitert den Anwendungsbereich auf rund 30.000 deutsche Unternehmen in 18 Sektoren, führt persönliche Haftung der Geschäftsleitung ein und verlangt zehn Mindestmaßnahmen nach Art. 21.
Decision Memo (Deutsch)
Strukturiertes Dokument, das eine einzelne Entscheidung mit Trigger, Optionen, Kriterien, Stakeholder-Positionen, Evidenz, Risiken und finaler Begründung erfasst. Audit-fähig, versioniert und als Artefakt-of-Record geführt.
Defense in Depth
Sicherheits-Architektur-Prinzip, bei dem mehrere Schutzschichten (Identity, Endpoint, Netzwerk, Daten, Anwendung, physisch) so kombiniert werden, dass das Versagen einer einzelnen Schicht den Schutz nicht auflöst. Steht in NIS2 Art. 21 implizit im Hintergrund.
DLP
Software-Kategorie zur Erkennung und Verhinderung unbefugter Datenabflüsse. Wirkt auf Endpoints, Netzwerk und Cloud. Klassifiziert Inhalte (Regex, Fingerprinting, ML) und setzt Policies durch.
DMARC / DKIM / SPF
Drei Standards, die zusammen E-Mail-Absender authentifizieren und Spoofing erschweren. SPF authentifiziert sendende IP, DKIM signiert Inhalt, DMARC verbindet beide über den From-Header und definiert die Policy.