Datenschutz:TOMs - Versionsgeschichte

Dirk: Dirk verschob die Seite TOMs nach Datenschutz:TOMs

2026-05-02T16:21:58Z

Dirk verschob die Seite TOMs nach Datenschutz:TOMs

← Nächstältere Version	Version vom 2. Mai 2026, 18:21 Uhr
(kein Unterschied)

Dirk: /* Organisatorische Maßnahmen */

2024-08-11T06:58:58Z

Organisatorische Maßnahmen

← Nächstältere Version		Version vom 11. August 2024, 08:58 Uhr
Zeile 30:		Zeile 30:

	* '''Auftragskontrolle:''' Sicherstellung, dass die Verarbeitung personenbezogener Daten im Auftrag nur gemäß den Weisungen des Auftraggebers/der Auftraggeberin erfolgt.		* '''Auftragskontrolle:''' Sicherstellung, dass die Verarbeitung personenbezogener Daten im Auftrag nur gemäß den Weisungen des Auftraggebers/der Auftraggeberin erfolgt.
	* '''Datenschutz-Folgenabschätzung:''' Systematische Bewertung der Risiken und Folgen einer geplanten Verarbeitung für den Schutz personenbezogener Daten (~~Riskoanalyse~~ der Datenverarbeitung).		* '''Datenschutz-Folgenabschätzung:''' Systematische Bewertung der Risiken und Folgen einer geplanten Verarbeitung für den Schutz personenbezogener Daten (Risikoanalyse der Datenverarbeitung).
	* '''Schulung und Sensibilisierung:''' Regelmäßige Schulungen und Sensibilisierung der Mitarbeitenden in Bezug auf Datenschutz und Informationssicherheit.		* '''Schulung und Sensibilisierung:''' Regelmäßige Schulungen und Sensibilisierung der Mitarbeitenden in Bezug auf Datenschutz und Informationssicherheit.
	* '''Trennungsgebot''': Sicherstellung, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden, um Vermischungen zu vermeiden.		* '''Trennungsgebot''': Sicherstellung, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden, um Vermischungen zu vermeiden.

Dirk: /* Technische Maßnahmen */

2024-08-11T06:32:08Z

Technische Maßnahmen

← Nächstältere Version		Version vom 11. August 2024, 08:32 Uhr
Zeile 20:		Zeile 20:
	* '''Protokollierung''': Aufzeichnung von Zugriffen und Änderungen an personenbezogenen Daten, um eine Überwachung und Überprüfung der Datenverarbeitung zu ermöglichen.		* '''Protokollierung''': Aufzeichnung von Zugriffen und Änderungen an personenbezogenen Daten, um eine Überwachung und Überprüfung der Datenverarbeitung zu ermöglichen.
	* '''Pseudonymisierung:''' Verarbeitung personenbezogener Daten in einer Weise, die ihre Zuordnung zu einer spezifischen Person erschwert, es sei denn, es werden zusätzliche Informationen hinzugezogen.		* '''Pseudonymisierung:''' Verarbeitung personenbezogener Daten in einer Weise, die ihre Zuordnung zu einer spezifischen Person erschwert, es sei denn, es werden zusätzliche Informationen hinzugezogen.
	* '''Transportkontrolle''': Sicherstellung, dass personenbezogene Daten während ihrer Übertragung (z.B. über Netzwerke) vor unbefugtem Zugriff geschützt sind.		* '''Transportkontrolle''': Sicherstellung, dass personenbezogene Daten während ihrer Übertragung (z.B. über Netzwerke) vor unbefugtem Zugriff und Manipulation geschützt sind.
	* '''Verfügbarkeitskontrolle:''' Maßnahmen, die gewährleisten, dass personenbezogene Daten stets verfügbar und zugänglich sind, besonders im Falle eines technischen Ausfalls.		* '''Verfügbarkeitskontrolle:''' Maßnahmen, die gewährleisten, dass personenbezogene Daten stets verfügbar und zugänglich sind, besonders im Falle eines technischen Ausfalls.
	* '''Wiederherstellbarkeit''': Verfahren zur Wiederherstellung von Daten nach einem Verlust oder einer Beschädigung, um den normalen Betrieb schnell wiederaufzunehmen.		* '''Wiederherstellbarkeit''': Verfahren zur Wiederherstellung von Daten nach einem Verlust oder einer Beschädigung, um den normalen Betrieb schnell wiederaufzunehmen.
Zeile 33:		Zeile 33:
	* '''Schulung und Sensibilisierung:''' Regelmäßige Schulungen und Sensibilisierung der Mitarbeitenden in Bezug auf Datenschutz und Informationssicherheit.		* '''Schulung und Sensibilisierung:''' Regelmäßige Schulungen und Sensibilisierung der Mitarbeitenden in Bezug auf Datenschutz und Informationssicherheit.
	* '''Trennungsgebot''': Sicherstellung, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden, um Vermischungen zu vermeiden.		* '''Trennungsgebot''': Sicherstellung, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden, um Vermischungen zu vermeiden.
			* '''Zweckbindung:''' Sicherstellung, dass personenbezogene Daten nur für die festgelegten, rechtmäßigen Zwecke erhoben und verarbeitet werden und nicht für andere, unvereinbare Zwecke verwendet werden.
	* '''Vorfallmanagement:''' Prozesse und Maßnahmen zur Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen, die den Schutz personenbezogener Daten beeinträchtigen könnten (betrifft auch Meldepflichten).		* '''Vorfallmanagement:''' Prozesse und Maßnahmen zur Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen, die den Schutz personenbezogener Daten beeinträchtigen könnten (betrifft auch Meldepflichten).
	* '''Weitergabekontrolle:''' Sicherstellung, dass personenbezogene Daten bei ihrer Weitergabe, insbesondere an Dritte, vor unbefugtem Zugriff und Veränderungen geschützt sind und nur an befugte Empfänger weiter gegeben werden.		* '''Weitergabekontrolle:''' Sicherstellung, dass personenbezogene Daten bei ihrer Weitergabe, insbesondere an Dritte, vor unbefugtem Zugriff und Veränderungen geschützt sind und nur an befugte Empfänger weiter gegeben werden.

Dirk: /* Einführung */

2024-08-09T14:50:12Z

Einführung

← Nächstältere Version		Version vom 9. August 2024, 16:50 Uhr
Zeile 7:		Zeile 7:

	=== Einführung ===		=== Einführung ===
	Die ~~Implementierung von~~ technischen und organisatorischen Maßnahmen ~~ist unerlässlich, um~~ den Schutz personenbezogener Daten zu gewährleisten und den Anforderungen der DSGVO und des BDSG gerecht zu werden. ~~Durch eine~~ Kombination aus technischen Sicherheitsvorkehrungen und organisatorischen Maßnahmen können Unternehmen die Sicherheit ihrer Datenverarbeitung verbessern und Risiken effektiv managen. Regelmäßige Schulungen, klare Richtlinien und kontinuierliche Überwachung sind dabei ebenso wichtig wie der Einsatz moderner Technologien zur Absicherung der IT-Infrastruktur.		Die technischen und organisatorischen Maßnahmen stammen aus § 9 BSDG (alte Fassung). Diesen Paragraphen gibt es so nicht mehr. Um den Schutz personenbezogener Daten zu gewährleisten und den Anforderungen der DSGVO und des BDSG gerecht zu werden, sind in Art. 32 DSGVO "Sicherheit der Verarbeitung" nur noch vage Anforderungen definiert, der Begriff "TOM" wird aber weiterhin häufig verwendet. Mit einer Kombination aus technischen Sicherheitsvorkehrungen und organisatorischen Maßnahmen können Unternehmen die Sicherheit ihrer Datenverarbeitung verbessern und Risiken effektiv managen. Regelmäßige Schulungen, klare Richtlinien und eine kontinuierliche Überwachung sind dabei ebenso wichtig wie der Einsatz moderner Technologien zur Absicherung der IT-Infrastruktur.

	=== Definition und Bedeutung ===		=== Definition und Bedeutung ===
	TOMs umfassen alle technischen und organisatorischen ~~Vorkehrungen~~, die erforderlich sind, um personenbezogene Daten vor ~~unbefugtem~~ Zugriff und Missbrauch zu schützen. Sie dienen dazu, die Sicherheit der Verarbeitung zu gewährleisten und ~~den~~ Anforderungen der DSGVO ~~gerecht~~ zu ~~werden~~.		TOMs umfassen alle technischen und organisatorischen Maßnahmen, die erforderlich sind, um personenbezogene Daten vor unberechtigtem Zugriff und Missbrauch zu schützen. Sie dienen dazu, die Sicherheit der Verarbeitung zu gewährleisten und die Anforderungen der DSGVO zu erfüllen.

	Die DSGVO bleibt bei der konkreten Definition ~~der~~ TOMs für den Datenschutz eher vage. ~~Das~~ Bundesdatenschutzgesetz (BDSG). § 9 BDSG (alte Fassung) definierte technisch-organisatorische Maßnahmen und benannte konkret acht Bereiche, ~~diese wurden~~ hier um weitere Anforderungen ~~ergänzt~~, die sich implizit aus der DSGVO ergeben:		Die DSGVO bleibt bei der konkreten Definition von TOMs für den Datenschutz eher vage. Bundesdatenschutzgesetz (BDSG). § 9 BDSG (alte Fassung) definierte technisch-organisatorische Maßnahmen und benannte konkret acht Bereiche, die hier übernommen und um weitere Anforderungen, die sich implizit aus der DSGVO ergeben, ergänzt wurden. Bei diesen TOM handelt es sich jedoch weniger um eine gesetzliche Vorgabe als vielmehr um eine "Best Practice":

	=== Technische Maßnahmen ===		=== Technische Maßnahmen ===

Dirk: /* Organisatorische Maßnahmen */

2024-08-09T12:14:30Z

Organisatorische Maßnahmen

← Nächstältere Version		Version vom 9. August 2024, 14:14 Uhr
Zeile 34:		Zeile 34:
	* '''Trennungsgebot''': Sicherstellung, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden, um Vermischungen zu vermeiden.		* '''Trennungsgebot''': Sicherstellung, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden, um Vermischungen zu vermeiden.
	* '''Vorfallmanagement:''' Prozesse und Maßnahmen zur Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen, die den Schutz personenbezogener Daten beeinträchtigen könnten (betrifft auch Meldepflichten).		* '''Vorfallmanagement:''' Prozesse und Maßnahmen zur Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen, die den Schutz personenbezogener Daten beeinträchtigen könnten (betrifft auch Meldepflichten).
	* '''Weitergabekontrolle:''' Sicherstellung, dass personenbezogene Daten bei ihrer Weitergabe, insbesondere an Dritte, vor unbefugtem Zugriff und Veränderungen geschützt sind und nur an befugte Empfänger weiter gegeben werden ~~können~~.		* '''Weitergabekontrolle:''' Sicherstellung, dass personenbezogene Daten bei ihrer Weitergabe, insbesondere an Dritte, vor unbefugtem Zugriff und Veränderungen geschützt sind und nur an befugte Empfänger weiter gegeben werden.

	=== Mapping mit Sicherheitsmaßnamen der Informationssicherheit ===		=== Mapping mit Sicherheitsmaßnamen der Informationssicherheit ===

Dirk: /* Organisatorische Maßnahmen */

2024-08-09T12:14:18Z

Organisatorische Maßnahmen

← Nächstältere Version		Version vom 9. August 2024, 14:14 Uhr
Zeile 34:		Zeile 34:
	* '''Trennungsgebot''': Sicherstellung, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden, um Vermischungen zu vermeiden.		* '''Trennungsgebot''': Sicherstellung, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden, um Vermischungen zu vermeiden.
	* '''Vorfallmanagement:''' Prozesse und Maßnahmen zur Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen, die den Schutz personenbezogener Daten beeinträchtigen könnten (betrifft auch Meldepflichten).		* '''Vorfallmanagement:''' Prozesse und Maßnahmen zur Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen, die den Schutz personenbezogener Daten beeinträchtigen könnten (betrifft auch Meldepflichten).
	* '''Weitergabekontrolle:''' Sicherstellung, dass personenbezogene Daten bei ihrer Weitergabe, insbesondere an Dritte, vor unbefugtem Zugriff und Veränderungen geschützt sind und nur an befugte ~~Empfäger~~ weiter gegeben werden können.		* '''Weitergabekontrolle:''' Sicherstellung, dass personenbezogene Daten bei ihrer Weitergabe, insbesondere an Dritte, vor unbefugtem Zugriff und Veränderungen geschützt sind und nur an befugte Empfänger weiter gegeben werden können.

	=== Mapping mit Sicherheitsmaßnamen der Informationssicherheit ===		=== Mapping mit Sicherheitsmaßnamen der Informationssicherheit ===

Dirk am 9. August 2024 um 12:12 Uhr

2024-08-09T12:12:19Z

← Nächstältere Version		Version vom 9. August 2024, 14:12 Uhr
Zeile 16:		Zeile 16:
	=== Technische Maßnahmen ===		=== Technische Maßnahmen ===

	* '''Datenverschlüsselung'''Schutz personenbezogener Daten durch Verschlüsselung, um sicherzustellen, dass Unbefugte keinen Zugang zu den Daten erhalten.		* '''Datenverschlüsselung:''' Schutz personenbezogener Daten durch Verschlüsselung, um sicherzustellen, dass Unbefugte keinen Zugang zu den Daten erhalten.
	* '''Eingabekontrolle'''Maßnahmen zur Nachvollziehbarkeit, wer welche Daten wann in ein System eingegeben, geändert oder gelöscht hat.		* '''Eingabekontrolle''': Maßnahmen zur Nachvollziehbarkeit, wer welche Daten wann in ein System eingegeben, geändert oder gelöscht hat.
	* '''Protokollierung'''Aufzeichnung von Zugriffen und Änderungen an personenbezogenen Daten, um eine Überwachung und Überprüfung der Datenverarbeitung zu ermöglichen.		* '''Protokollierung''': Aufzeichnung von Zugriffen und Änderungen an personenbezogenen Daten, um eine Überwachung und Überprüfung der Datenverarbeitung zu ermöglichen.
	* '''Pseudonymisierung'''Verarbeitung personenbezogener Daten in einer Weise, die ihre Zuordnung zu einer spezifischen Person erschwert, es sei denn, es werden zusätzliche Informationen hinzugezogen.		* '''Pseudonymisierung:''' Verarbeitung personenbezogener Daten in einer Weise, die ihre Zuordnung zu einer spezifischen Person erschwert, es sei denn, es werden zusätzliche Informationen hinzugezogen.
	* '''Transportkontrolle'''Sicherstellung, dass personenbezogene Daten während ihrer Übertragung (z.B. über Netzwerke) vor unbefugtem Zugriff geschützt sind.		* '''Transportkontrolle''': Sicherstellung, dass personenbezogene Daten während ihrer Übertragung (z.B. über Netzwerke) vor unbefugtem Zugriff geschützt sind.
	* '''Verfügbarkeitskontrolle'''Maßnahmen, die gewährleisten, dass personenbezogene Daten stets verfügbar und zugänglich sind, besonders im Falle eines technischen Ausfalls.		* '''Verfügbarkeitskontrolle:''' Maßnahmen, die gewährleisten, dass personenbezogene Daten stets verfügbar und zugänglich sind, besonders im Falle eines technischen Ausfalls.
	* '''Wiederherstellbarkeit'''Verfahren zur Wiederherstellung von Daten nach einem Verlust oder einer Beschädigung, um den normalen Betrieb schnell wiederaufzunehmen.		* '''Wiederherstellbarkeit''': Verfahren zur Wiederherstellung von Daten nach einem Verlust oder einer Beschädigung, um den normalen Betrieb schnell wiederaufzunehmen.
	* '''Zugangskontrolle'''Mechanismen, die nur autorisierten Benutzenden den Zugang zu IT-Systemen erlauben, in denen personenbezogene Daten verarbeitet werden.		* '''Zugangskontrolle''': Mechanismen, die nur autorisierten Benutzenden den Zugang zu IT-Systemen erlauben, in denen personenbezogene Daten verarbeitet werden.
	* '''Zugriffskontrolle'''Maßnahmen zur Kontrolle und Beschränkung, welche Benutzenden auf welche Daten zugreifen oder diese ändern dürfen.		* '''Zugriffskontrolle:''' Maßnahmen zur Kontrolle und Beschränkung, welche Benutzenden auf welche Daten zugreifen oder diese ändern dürfen.
	* '''Zutrittskontrolle'''Physische Sicherheitsmaßnahmen, um den Zutritt zu Räumlichkeiten, in denen personenbezogene Daten verarbeitet werden, nur befugten Personen zu gestatten.		* '''Zutrittskontrolle''': Physische Sicherheitsmaßnahmen, um den Zutritt zu Räumlichkeiten, in denen personenbezogene Daten verarbeitet werden, nur befugten Personen zu gestatten.

	=== Organisatorische Maßnahmen ===		=== Organisatorische Maßnahmen ===

	* '''Auftragskontrolle'''Sicherstellung, dass die Verarbeitung personenbezogener Daten im Auftrag nur gemäß den Weisungen des Auftraggebers/der Auftraggeberin erfolgt.		* '''Auftragskontrolle:''' Sicherstellung, dass die Verarbeitung personenbezogener Daten im Auftrag nur gemäß den Weisungen des Auftraggebers/der Auftraggeberin erfolgt.
	* '''Datenschutz-Folgenabschätzung'''Systematische Bewertung der Risiken und Folgen einer geplanten Verarbeitung für den Schutz personenbezogener Daten (Riskoanalyse der Datenverarbeitung).		* '''Datenschutz-Folgenabschätzung:''' Systematische Bewertung der Risiken und Folgen einer geplanten Verarbeitung für den Schutz personenbezogener Daten (Riskoanalyse der Datenverarbeitung).
	* '''Schulung und Sensibilisierung'''Regelmäßige Schulungen und Sensibilisierung der Mitarbeitenden in Bezug auf Datenschutz und Informationssicherheit.		* '''Schulung und Sensibilisierung:''' Regelmäßige Schulungen und Sensibilisierung der Mitarbeitenden in Bezug auf Datenschutz und Informationssicherheit.
	* '''Trennungsgebot'''Sicherstellung, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden, um Vermischungen zu vermeiden.		* '''Trennungsgebot''': Sicherstellung, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden, um Vermischungen zu vermeiden.
	* '''Vorfallmanagement'''Prozesse und Maßnahmen zur Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen, die den Schutz personenbezogener Daten beeinträchtigen könnten (betrifft auch Meldepflichten).		* '''Vorfallmanagement:''' Prozesse und Maßnahmen zur Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen, die den Schutz personenbezogener Daten beeinträchtigen könnten (betrifft auch Meldepflichten).
	* '''Weitergabekontrolle'''Sicherstellung, dass personenbezogene Daten bei ihrer Weitergabe, insbesondere an Dritte, vor unbefugtem Zugriff und Veränderungen geschützt sind und nur an befugte Empfäger weiter gegeben werden können.		* '''Weitergabekontrolle:''' Sicherstellung, dass personenbezogene Daten bei ihrer Weitergabe, insbesondere an Dritte, vor unbefugtem Zugriff und Veränderungen geschützt sind und nur an befugte Empfäger weiter gegeben werden können.

	~~'''Verschlüsselung''':~~
	* '''Datenverschlüsselung''': Schutz personenbezogener Daten durch Verschlüsselung während der Übertragung und Speicherung.
	* '''Ende-zu-Ende-Verschlüsselung''': Besonders wichtig für Kommunikationskanäle wie E-Mail und Messaging-Dienste.
	~~'''Zugriffskontrollen''':~~
	* '''Physische Zugangskontrollen''': Sicherstellung, dass nur autorisierte Personen Zugang zu Serverräumen und IT-Infrastruktur haben.
	* '''Logische Zugangskontrollen''': Implementierung von Passwortschutz, Zwei-Faktor-Authentifizierung und rollenbasierten Zugriffskontrollen.
	~~'''Netzwerksicherheit''':~~
	* '''Firewalls und Intrusion Detection Systems (IDS)''': Schutz des Netzwerks vor unbefugtem Zugriff und Angriffen.
	* '''Virtuelle private Netzwerke (VPNs)''': Sicherstellung einer sicheren Verbindung für Remote-Zugriffe.
	~~'''Backup und Wiederherstellung''':~~
	* '''Regelmäßige Backups''': Erstellung regelmäßiger Backups zur Sicherung der Daten.
	* '''Disaster Recovery-Pläne''': Entwicklung von Plänen zur schnellen Wiederherstellung der Daten im Falle eines Datenverlusts.
	~~'''Antivirus- und Anti-Malware-Software''':~~
	* '''Regelmäßige Aktualisierung''': Sicherstellung, dass alle Systeme regelmäßig auf dem neuesten Stand gehalten werden, um gegen aktuelle Bedrohungen geschützt zu sein.
	* '''Schutz vor Schadsoftware''': Einsatz von Software zur Erkennung und Abwehr von Viren und Malware.

	~~==== Organisatorische Maßnahmen ====~~
	~~'''Datenschutzrichtlinien und -verfahren''':~~
	* '''Erstellung und Implementierung''': Entwicklung klarer Datenschutzrichtlinien und -verfahren, die den gesetzlichen Anforderungen entsprechen.
	* '''Regelmäßige Überprüfung''': Regelmäßige Überprüfung und Aktualisierung der Richtlinien, um sicherzustellen, dass sie den aktuellen Anforderungen und Bedrohungen entsprechen.
	~~'''Schulung und Sensibilisierung der Mitarbeitenden''':~~
	* '''Regelmäßige Trainings''': Durchführung von Schulungen zur Sensibilisierung der Mitarbeitenden für Datenschutz und IT-Sicherheit.
	* '''Awareness-Programme''': Förderung eines Bewusstseins für Datenschutzrisiken und -praktiken im Unternehmen.
	~~'''Vertragsmanagement mit Drittanbietern''':~~
	* '''Vertragsgestaltung''': Sicherstellung, dass Verträge mit Drittanbietern klare Datenschutzbestimmungen und Anforderungen enthalten.
	* '''Überwachung und Kontrolle''': Regelmäßige Überprüfung der Einhaltung der Datenschutzanforderungen durch Drittanbieter.
	~~'''Datenschutz-Folgenabschätzungen (DSFA)''':~~
	* '''Risikobewertung''': Durchführung von Datenschutz-Folgenabschätzungen für Prozesse und Systeme, die potenziell hohe Risiken für die Rechte und Freiheiten der betroffenen Personen darstellen.
	* '''Maßnahmen zur Risikominderung''': Entwicklung und Implementierung von Maßnahmen zur Minimierung identifizierter Risiken.
	~~'''Vorfallmanagement''':~~
	* '''Erstellung eines Notfallplans''': Entwicklung von Plänen und Prozessen zur Bewältigung von Datenschutzvorfällen.

	=== Mapping mit Sicherheitsmaßnamen der Informationssicherheit ===		=== Mapping mit Sicherheitsmaßnamen der Informationssicherheit ===

Dirk: /* Definition und Bedeutung */

2024-08-09T12:09:54Z

Definition und Bedeutung

← Nächstältere Version		Version vom 9. August 2024, 14:09 Uhr
Zeile 7:		Zeile 7:

	=== Einführung ===		=== Einführung ===
	Die Implementierung von technischen und organisatorischen Maßnahmen ist unerlässlich, um den Schutz personenbezogener Daten zu gewährleisten und den Anforderungen der DSGVO gerecht zu werden. Durch eine Kombination aus technischen Sicherheitsvorkehrungen und organisatorischen Maßnahmen können Unternehmen die Sicherheit ihrer Datenverarbeitung verbessern und Risiken effektiv managen. Regelmäßige Schulungen, klare Richtlinien und kontinuierliche Überwachung sind dabei ebenso wichtig wie der Einsatz moderner Technologien zur Absicherung der IT-Infrastruktur.		Die Implementierung von technischen und organisatorischen Maßnahmen ist unerlässlich, um den Schutz personenbezogener Daten zu gewährleisten und den Anforderungen der DSGVO und des BDSG gerecht zu werden. Durch eine Kombination aus technischen Sicherheitsvorkehrungen und organisatorischen Maßnahmen können Unternehmen die Sicherheit ihrer Datenverarbeitung verbessern und Risiken effektiv managen. Regelmäßige Schulungen, klare Richtlinien und kontinuierliche Überwachung sind dabei ebenso wichtig wie der Einsatz moderner Technologien zur Absicherung der IT-Infrastruktur.

	=== Definition und Bedeutung ===		=== Definition und Bedeutung ===
	TOMs umfassen alle technischen und organisatorischen Vorkehrungen, die erforderlich sind, um personenbezogene Daten vor unbefugtem Zugriff und Missbrauch zu schützen. Sie dienen dazu, die Sicherheit der Verarbeitung zu gewährleisten und den Anforderungen der DSGVO gerecht zu werden.		TOMs umfassen alle technischen und organisatorischen Vorkehrungen, die erforderlich sind, um personenbezogene Daten vor unbefugtem Zugriff und Missbrauch zu schützen. Sie dienen dazu, die Sicherheit der Verarbeitung zu gewährleisten und den Anforderungen der DSGVO gerecht zu werden.

	==== ~~Technische~~ Maßnahmen ====		Die DSGVO bleibt bei der konkreten Definition der TOMs für den Datenschutz eher vage. Das Bundesdatenschutzgesetz (BDSG). § 9 BDSG (alte Fassung) definierte technisch-organisatorische Maßnahmen und benannte konkret acht Bereiche, diese wurden hier um weitere Anforderungen ergänzt, die sich implizit aus der DSGVO ergeben:

			=== Technische Maßnahmen ===

			* '''Datenverschlüsselung'''Schutz personenbezogener Daten durch Verschlüsselung, um sicherzustellen, dass Unbefugte keinen Zugang zu den Daten erhalten.
			* '''Eingabekontrolle'''Maßnahmen zur Nachvollziehbarkeit, wer welche Daten wann in ein System eingegeben, geändert oder gelöscht hat.
			* '''Protokollierung'''Aufzeichnung von Zugriffen und Änderungen an personenbezogenen Daten, um eine Überwachung und Überprüfung der Datenverarbeitung zu ermöglichen.
			* '''Pseudonymisierung'''Verarbeitung personenbezogener Daten in einer Weise, die ihre Zuordnung zu einer spezifischen Person erschwert, es sei denn, es werden zusätzliche Informationen hinzugezogen.
			* '''Transportkontrolle'''Sicherstellung, dass personenbezogene Daten während ihrer Übertragung (z.B. über Netzwerke) vor unbefugtem Zugriff geschützt sind.
			* '''Verfügbarkeitskontrolle'''Maßnahmen, die gewährleisten, dass personenbezogene Daten stets verfügbar und zugänglich sind, besonders im Falle eines technischen Ausfalls.
			* '''Wiederherstellbarkeit'''Verfahren zur Wiederherstellung von Daten nach einem Verlust oder einer Beschädigung, um den normalen Betrieb schnell wiederaufzunehmen.
			* '''Zugangskontrolle'''Mechanismen, die nur autorisierten Benutzenden den Zugang zu IT-Systemen erlauben, in denen personenbezogene Daten verarbeitet werden.
			* '''Zugriffskontrolle'''Maßnahmen zur Kontrolle und Beschränkung, welche Benutzenden auf welche Daten zugreifen oder diese ändern dürfen.
			* '''Zutrittskontrolle'''Physische Sicherheitsmaßnahmen, um den Zutritt zu Räumlichkeiten, in denen personenbezogene Daten verarbeitet werden, nur befugten Personen zu gestatten.

			=== Organisatorische Maßnahmen ===

			* '''Auftragskontrolle'''Sicherstellung, dass die Verarbeitung personenbezogener Daten im Auftrag nur gemäß den Weisungen des Auftraggebers/der Auftraggeberin erfolgt.
			* '''Datenschutz-Folgenabschätzung'''Systematische Bewertung der Risiken und Folgen einer geplanten Verarbeitung für den Schutz personenbezogener Daten (Riskoanalyse der Datenverarbeitung).
			* '''Schulung und Sensibilisierung'''Regelmäßige Schulungen und Sensibilisierung der Mitarbeitenden in Bezug auf Datenschutz und Informationssicherheit.
			* '''Trennungsgebot'''Sicherstellung, dass personenbezogene Daten, die zu unterschiedlichen Zwecken erhoben wurden, getrennt verarbeitet werden, um Vermischungen zu vermeiden.
			* '''Vorfallmanagement'''Prozesse und Maßnahmen zur Erkennung, Meldung und Bewältigung von Sicherheitsvorfällen, die den Schutz personenbezogener Daten beeinträchtigen könnten (betrifft auch Meldepflichten).
			* '''Weitergabekontrolle'''Sicherstellung, dass personenbezogene Daten bei ihrer Weitergabe, insbesondere an Dritte, vor unbefugtem Zugriff und Veränderungen geschützt sind und nur an befugte Empfäger weiter gegeben werden können.

	'''Verschlüsselung''':		'''Verschlüsselung''':
	* '''Datenverschlüsselung''': Schutz personenbezogener Daten durch Verschlüsselung während der Übertragung und Speicherung.		* '''Datenverschlüsselung''': Schutz personenbezogener Daten durch Verschlüsselung während der Übertragung und Speicherung.
Zeile 44:		Zeile 67:
	'''Vorfallmanagement''':		'''Vorfallmanagement''':
	* '''Erstellung eines Notfallplans''': Entwicklung von Plänen und Prozessen zur Bewältigung von Datenschutzvorfällen.		* '''Erstellung eines Notfallplans''': Entwicklung von Plänen und Prozessen zur Bewältigung von Datenschutzvorfällen.
	* '''Meldung und Dokumentation''': Sicherstellung der ordnungsgemäßen Meldung von Datenschutzverletzungen an die zuständigen Aufsichtsbehörden und betroffenen Personen.

	=== Mapping mit Sicherheitsmaßnamen der Informationssicherheit ===		=== Mapping mit Sicherheitsmaßnamen der Informationssicherheit ===

Dirk am 7. August 2024 um 12:34 Uhr

2024-08-07T12:34:30Z

← Nächstältere Version		Version vom 7. August 2024, 14:34 Uhr
Zeile 4:		Zeile 4:
	}}		}}
	{{SHORTDESC:Technische und Organisatorische Maßnahmen (TOMs) im Datenschutz}}		{{SHORTDESC:Technische und Organisatorische Maßnahmen (TOMs) im Datenschutz}}

	''Technische und organisatorische Maßnahmen (TOMs) sind ein elementarer Bestandteil, um den Schutz personenbezogener Daten gemäß der Datenschutz-Grundverordnung (DSGVO) sicherzustellen. Diese Maßnahmen helfen, die Vertraulichkeit, Integrität und Verfügbarkeit der Daten zu gewährleisten und Risiken durch Datenverlust, -diebstahl oder -missbrauch zu minimieren. Der folgende Artikel gibt einen Überblick über die wichtigsten Aspekte und Beispiele für TOMs.''		''Technische und organisatorische Maßnahmen (TOMs) sind ein elementarer Bestandteil, um den Schutz personenbezogener Daten gemäß der Datenschutz-Grundverordnung (DSGVO) sicherzustellen. Diese Maßnahmen helfen, die Vertraulichkeit, Integrität und Verfügbarkeit der Daten zu gewährleisten und Risiken durch Datenverlust, -diebstahl oder -missbrauch zu minimieren. Der folgende Artikel gibt einen Überblick über die wichtigsten Aspekte und Beispiele für TOMs.''

Dirk: Die Seite wurde neu angelegt: „{{#seo: |title=Technische und Organisatorische Maßnahmen (TOMs) im Datenschutz |description=Kurzartikel zu technischen und organisatorische Maßnahmen (TOMs) im Datenschutz }} {{SHORTDESC:Technische und Organisatorische Maßnahmen (TOMs) im Datenschutz}} ''Technische und organisatorische Maßnahmen (TOMs) sind ein elementarer Bestandteil, um den Schutz personenbezogener Daten gemäß der Datenschutz-Grundverordnung (DSGVO) sicherzustellen. Diese Maßna…“

2024-08-07T12:28:43Z

Die Seite wurde neu angelegt: „{{#seo: |title=Technische und Organisatorische Maßnahmen (TOMs) im Datenschutz |description=Kurzartikel zu technischen und organisatorische Maßnahmen (TOMs) im Datenschutz }} {{SHORTDESC:Technische und Organisatorische Maßnahmen (TOMs) im Datenschutz}} ''Technische und organisatorische Maßnahmen (TOMs) sind ein elementarer Bestandteil, um den Schutz personenbezogener Daten gemäß der Datenschutz-Grundverordnung (DSGVO) sicherzustellen. Diese Maßna…“

Neue Seite

{{#seo:
|title=Technische und Organisatorische Maßnahmen (TOMs) im Datenschutz
|description=Kurzartikel zu technischen und organisatorische Maßnahmen (TOMs) im Datenschutz
}}
{{SHORTDESC:Technische und Organisatorische Maßnahmen (TOMs) im Datenschutz}}

''Technische und organisatorische Maßnahmen (TOMs) sind ein elementarer Bestandteil, um den Schutz personenbezogener Daten gemäß der Datenschutz-Grundverordnung (DSGVO) sicherzustellen. Diese Maßnahmen helfen, die Vertraulichkeit, Integrität und Verfügbarkeit der Daten zu gewährleisten und Risiken durch Datenverlust, -diebstahl oder -missbrauch zu minimieren. Der folgende Artikel gibt einen Überblick über die wichtigsten Aspekte und Beispiele für TOMs.''

=== Einführung ===
Die Implementierung von technischen und organisatorischen Maßnahmen ist unerlässlich, um den Schutz personenbezogener Daten zu gewährleisten und den Anforderungen der DSGVO gerecht zu werden. Durch eine Kombination aus technischen Sicherheitsvorkehrungen und organisatorischen Maßnahmen können Unternehmen die Sicherheit ihrer Datenverarbeitung verbessern und Risiken effektiv managen. Regelmäßige Schulungen, klare Richtlinien und kontinuierliche Überwachung sind dabei ebenso wichtig wie der Einsatz moderner Technologien zur Absicherung der IT-Infrastruktur.

=== Definition und Bedeutung ===
TOMs umfassen alle technischen und organisatorischen Vorkehrungen, die erforderlich sind, um personenbezogene Daten vor unbefugtem Zugriff und Missbrauch zu schützen. Sie dienen dazu, die Sicherheit der Verarbeitung zu gewährleisten und den Anforderungen der DSGVO gerecht zu werden.

==== Technische Maßnahmen ====
'''Verschlüsselung''':
* '''Datenverschlüsselung''': Schutz personenbezogener Daten durch Verschlüsselung während der Übertragung und Speicherung.
* '''Ende-zu-Ende-Verschlüsselung''': Besonders wichtig für Kommunikationskanäle wie E-Mail und Messaging-Dienste.
'''Zugriffskontrollen''':
* '''Physische Zugangskontrollen''': Sicherstellung, dass nur autorisierte Personen Zugang zu Serverräumen und IT-Infrastruktur haben.
* '''Logische Zugangskontrollen''': Implementierung von Passwortschutz, Zwei-Faktor-Authentifizierung und rollenbasierten Zugriffskontrollen.
'''Netzwerksicherheit''':
* '''Firewalls und Intrusion Detection Systems (IDS)''': Schutz des Netzwerks vor unbefugtem Zugriff und Angriffen.
* '''Virtuelle private Netzwerke (VPNs)''': Sicherstellung einer sicheren Verbindung für Remote-Zugriffe.
'''Backup und Wiederherstellung''':
* '''Regelmäßige Backups''': Erstellung regelmäßiger Backups zur Sicherung der Daten.
* '''Disaster Recovery-Pläne''': Entwicklung von Plänen zur schnellen Wiederherstellung der Daten im Falle eines Datenverlusts.
'''Antivirus- und Anti-Malware-Software''':
* '''Regelmäßige Aktualisierung''': Sicherstellung, dass alle Systeme regelmäßig auf dem neuesten Stand gehalten werden, um gegen aktuelle Bedrohungen geschützt zu sein.
* '''Schutz vor Schadsoftware''': Einsatz von Software zur Erkennung und Abwehr von Viren und Malware.

==== Organisatorische Maßnahmen ====
'''Datenschutzrichtlinien und -verfahren''':
* '''Erstellung und Implementierung''': Entwicklung klarer Datenschutzrichtlinien und -verfahren, die den gesetzlichen Anforderungen entsprechen.
* '''Regelmäßige Überprüfung''': Regelmäßige Überprüfung und Aktualisierung der Richtlinien, um sicherzustellen, dass sie den aktuellen Anforderungen und Bedrohungen entsprechen.
'''Schulung und Sensibilisierung der Mitarbeitenden''':
* '''Regelmäßige Trainings''': Durchführung von Schulungen zur Sensibilisierung der Mitarbeitenden für Datenschutz und IT-Sicherheit.
* '''Awareness-Programme''': Förderung eines Bewusstseins für Datenschutzrisiken und -praktiken im Unternehmen.
'''Vertragsmanagement mit Drittanbietern''':
* '''Vertragsgestaltung''': Sicherstellung, dass Verträge mit Drittanbietern klare Datenschutzbestimmungen und Anforderungen enthalten.
* '''Überwachung und Kontrolle''': Regelmäßige Überprüfung der Einhaltung der Datenschutzanforderungen durch Drittanbieter.
'''Datenschutz-Folgenabschätzungen (DSFA)''':
* '''Risikobewertung''': Durchführung von Datenschutz-Folgenabschätzungen für Prozesse und Systeme, die potenziell hohe Risiken für die Rechte und Freiheiten der betroffenen Personen darstellen.
* '''Maßnahmen zur Risikominderung''': Entwicklung und Implementierung von Maßnahmen zur Minimierung identifizierter Risiken.
'''Vorfallmanagement''':
* '''Erstellung eines Notfallplans''': Entwicklung von Plänen und Prozessen zur Bewältigung von Datenschutzvorfällen.
* '''Meldung und Dokumentation''': Sicherstellung der ordnungsgemäßen Meldung von Datenschutzverletzungen an die zuständigen Aufsichtsbehörden und betroffenen Personen.

=== Mapping mit Sicherheitsmaßnamen der Informationssicherheit ===
Die technische und organisatorische Maßnahmen (TOMs) im Datenschutz lassen sich direkt auf allgemeine Sicherheitsmaßnahmen der Informationssicherheit abbilden. Beide Bereiche verfolgen das Ziel, Daten vor unbefugtem Zugriff, Verlust und Missbrauch zu schützen. Die folgenden beiden Artikel erläutert, wie TOMs mit spezifischen Sicherheitsmaßnahmen der Informationssicherheit im BSI IT-Grundschutz und in der ISO/IEC 27001 mappen und welche Gemeinsamkeiten und Unterschiede bestehen.

[[TOMs im Grundschutz]]

[[TOMs in der ISO27001]]

[[Kategorie:Kurzartikel]]
[[Kategorie:Datenschutz]]
__KEIN_INHALTSVERZEICHNIS__