Compliance-Lexikon · DSGVO
Technisch-organisatorische Massnahmen – Praxis
Technisch-organisatorische Massnahmen wird von Auditoren nicht danach bewertet, ob das Thema bekannt ist, sondern ob eine belastbare, datierte Umsetzung nachweisbar ist. Dieser Artikel zeigt, was konkret vorzubereiten ist.
Was Auditoren konkret prüfen
Der Auditor erwartet keinen theoretischen Idealzustand, sondern einen nachvollziehbaren Prozess mit Verantwortlichkeiten, Fristen und Nachweisen. Sind die technischen und organisatorischen Maßnahmen (TOM) dokumentiert, aktuell und tatsächlich risikoangemessen ausgewählt?
Gap-Check
Sind die technischen und organisatorischen Maßnahmen (TOM) dokumentiert, aktuell und tatsächlich risikoangemessen ausgewählt?
Häufige Fehler in der Praxis
- TOM-Dokument wird einmalig für Vertragspartner erstellt und nie aktualisiert
- Aufgeführte Maßnahmen entsprechen nicht der tatsächlich implementierten technischen Realität
- Keine Verknüpfung zwischen TOM und konkreten Risiken der jeweiligen Verarbeitung
Praxis-Tipp
Ein TOM-Dokument, das Auftragsverarbeitern vorgelegt wird, sollte regelmäßig mit der tatsächlichen technischen Umsetzung abgeglichen werden. Diskrepanzen fallen spätestens bei einem Audit auf.
Angemessenheit statt Maximalschutz
Art. 32 DSGVO verlangt keine maximal möglichen, sondern dem Risiko angemessene Maßnahmen. Faktoren wie Stand der Technik, Implementierungskosten, Art und Umfang der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos fließen in die Auswahl ein.
Evidence-Anforderungen im Audit
Vorzulegen sind in der Regel: Aktuelles TOM-Dokument nach Art. 32 DSGVO, Nachweis regelmäßiger Überprüfung, Verknüpfung zu konkreten identifizierten Risiken. Eine strukturierte Ablage dieser Nachweise erspart im Audit-Fall zeitraubende Nachrecherchen.
Nächster Schritt
Compliance-Stresstest starten
Kostenloser Stresstest auf Basis der BAM-Objekte – unverbindlich, 20 Minuten.
Die strategische Einordnung – warum Technisch-organisatorische Massnahmen über die technische Umsetzung hinaus Bedeutung hat – findet sich auf Ebene 3.