Technische und organisatorische Maßnahmen (TOM)

Was Artikel 32 verlangt

Artikel 32 DSGVO nennt keinen Katalog, sondern einen Maßstab: Die Maßnahmen müssen dem Risiko angemessen sein. Das ist unbequem, weil es keine Checkliste gibt, an der man sich abarbeiten kann, aber sinnvoll: Eine Netzwerkveranstaltung mit 40 Anmeldungen braucht andere Vorkehrungen als eine Karrieremesse, bei der Lebensläufe hochgeladen werden.

Vier Ziele nennt die Norm ausdrücklich: Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme. Dazu kommt die Fähigkeit, nach einem Zwischenfall wiederherzustellen, und ein Verfahren, das die Maßnahmen regelmäßig überprüft.

Die klassischen Kategorien

In der Praxis gliedern die meisten TOM-Listen nach denselben Blöcken. Zutrittskontrolle regelt, wer den Serverraum betritt. Zugangskontrolle regelt, wer sich anmelden kann. Zugriffskontrolle regelt, wer welche Daten sehen darf. Weitergabekontrolle betrifft Transport und Verschlüsselung. Eingabekontrolle protokolliert, wer was geändert hat. Auftragskontrolle sichert die Weisungsbindung. Verfügbarkeitskontrolle deckt Sicherung und Wiederherstellung ab. Trennungskontrolle sorgt dafür, dass Daten verschiedener Auftraggeber nicht vermischt werden.

Diese Gliederung stammt aus dem alten Bundesdatenschutzgesetz und steht so nicht mehr im Gesetz. Sie hat sich trotzdem gehalten, weil sie handlich ist, und Aufsichtsbehörden akzeptieren sie.

Was bei einer Veranstaltung wirklich zählt

Drei Punkte entscheiden im Eventalltag mehr als jede Verschlüsselungstiefe. Der erste ist die Rollentrennung: Ein Aussteller darf seine eigenen Gesprächspartner sehen, nicht die Teilnehmerliste. Eine Hilfskraft am Einlass braucht den Check-in, nicht den Export. Der zweite ist die Protokollierung. Wenn Sie nach einem Vorfall nicht rekonstruieren können, wer die Liste heruntergeladen hat, können Sie auch nicht melden, was passiert ist.

Der dritte ist der unspektakulärste und wichtigste: kein Export, der nicht sein muss. Jede heruntergeladene Tabelle verlässt Ihre TOM und liegt danach auf einem Laptop, für den keine davon gilt. Das ist auch der Grund, warum eine Löschfrist an Exporten regelmäßig scheitert.

Im Ausstellerkontext

Sobald Sie Kontaktdaten an Aussteller weitergeben, etwa nach dem Leadscanning, endet Ihre technische Kontrolle. Was danach passiert, regelt kein AVV, weil der Aussteller die Daten eigenverantwortlich verarbeitet. Was Sie tun können: die Weitergabe an eine Einwilligung binden, in der Ausstellervereinbarung eine Zweckbindung festhalten und den Umfang klein halten.

Woran man eine leere Liste erkennt

Eine TOM-Anlage, die nur aus Schlagworten besteht, ist wertlos. „Daten werden verschlüsselt übertragen“ sagt nichts; „TLS 1.2 oder höher, HSTS aktiv“ ist prüfbar. Fragen Sie nach drei Dingen, die sich nicht schwammig beantworten lassen: Wo genau stehen die Server, wie lange werden Sicherungskopien vorgehalten, und wie schnell werden Sie bei einem Vorfall informiert. Wie diese Angaben in den Vertrag kommen, steht unter AVV; den Rahmen beschreibt DSGVO im Eventkontext.

Gibt es eine verbindliche TOM-Vorlage?

Nein. Artikel 32 nennt Schutzziele, keine Liste. Die verbreitete Achtergliederung stammt aus dem alten BDSG und ist eine Konvention, keine Vorschrift, aber eine anerkannte.

Wer schreibt die TOM, wir oder der Anbieter?

Beide. Der Anbieter beschreibt seine Maßnahmen als Anlage zum Vertrag. Sie brauchen daneben eigene für das, was bei Ihnen passiert: Wer hat Zugriff, wer darf exportieren, was geschieht mit Ausdrucken.

Reicht ein Passwortschutz auf der Teilnehmerliste?

Für eine Excel-Datei ist das ein sehr dünner Schutz und ersetzt keine Zugriffskontrolle. Der bessere Weg ist, die Liste gar nicht erst zu exportieren.

Wie oft müssen TOM überprüft werden?

Die Norm verlangt eine regelmäßige Überprüfung ohne feste Frist. Üblich ist einmal jährlich und zusätzlich immer dann, wenn sich etwas Wesentliches ändert, etwa ein neues Tool oder ein neuer Dienstleister.