Zum Hauptinhalt springen

Technische und organisatorische Maßnahmen dokumentieren (Teil 4 der Reihe DSGVO-Dokumentation)

Teil 4 der Video-Reihe "DSGVO-Dokumentation mit preeco": die TOMs nach Art. 32 DSGVO mit Textbausteinen beschreiben, ein vorhandenes Sicherheitskonzept als Datei hinterlegen und sehen, welche Dokumente darauf verweisen.

Letzte Aktualisierung:
Transkript des Videos
In diesem Video beschreiben Sie in preeco | datenschutz Ihre technischen und organisatorischen Maßnahmen. Wie schützen wir die Daten? Ein Prüfer will lesen, was Sie konkret tun. Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, dazu Verschlüsselung und ein Verfahren, das die Maßnahmen regelmäßig prüft. Die Maßnahmen finden Sie unter Technische und organisatorische Maßnahmen. Mit Neu legen Sie ein TOM-Dokument an. Kaltenbach beschreibt seine Maßnahmen in einem Dokument für das ganze Unternehmen. Zum Anlegen genügen die Bezeichnung und die Organisation, für die es gilt. Die Beschreibung folgt danach über Bearbeiten. Kaltenbach hat sein Dokument schon angelegt. Öffnen Sie es und klicken Sie auf Bearbeiten. Der erste Abschnitt betrifft die Vertraulichkeit. Zutrittskontrolle: Der Serverraum in Freiburg ist nur mit Chip zugänglich. Zugangskontrolle: Anmeldung nur mit zweitem Faktor. Das hat die IT schon beim System angegeben. Zugriffs- und Trennungskontrolle regeln, wer welche Daten sieht und dass Zwecke getrennt bleiben. Jede Kategorie füllen Sie mit Textbausteinen. Wählen Sie einen vorhandenen aus. Oder legen Sie über das Plus einen eigenen an. Der neue Baustein landet gleich in der richtigen Kategorie, hier Zutrittskontrolle. Über den Stift ändern Sie einen vorhandenen Baustein. Ergänzen Sie den Text und speichern Sie. Ein Baustein kann in vielen Dokumenten stecken. Ändern Sie ihn, ändert er sich überall, ohne neue Revision. Bei der Integrität geht es um Weitergabe- und Eingabekontrolle: Wie werden Daten übertragen, und wer hat was geändert? Verschlüsselung auf Notebooks und bei der Übertragung, Pseudonyme in Auswertungen. Backups und Restore-Tests: Was die IT beim System eingetragen hat, beschreiben Sie hier als Maßnahme. Und wer prüft die Maßnahmen? Bei Kaltenbach der Datenschutzbeauftragte, einmal im Jahr. Schreiben Sie Maßnahmen so konkret, dass jemand sie prüfen kann. "Zugang ist geschützt" lässt sich nicht prüfen, "Anmeldung nur mit zweitem Faktor" schon. Für die Videoanlage gibt es schon ein Sicherheitskonzept vom Errichter. Liegt ein Konzept schon als Datei vor, wählen Sie Datei hochladen. Beim Sicherheitskonzept der Videoanlage liegt das PDF im Abschnitt Datei. Die Gliederung nach Schutzzielen entfällt dann. Zurück zum TOM-Dokument: Die Vorschau zeigt es so, wie es später heruntergeladen wird. Unter Beziehungen und Verwendungen sehen Sie, welche Dokumente auf diese TOMs verweisen, etwa die Verarbeitungstätigkeiten. Die TOMs sind auch Pflichtbestandteil jedes Vertrags zur Auftragsverarbeitung. Ein TOM-Dokument für das ganze Unternehmen, eigene Dokumente nur dort, wo wirklich andere Maßnahmen gelten, wie bei der Videoanlage. Im nächsten Teil legt Kaltenbach seine erste Verarbeitungstätigkeit an.

Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen (TOMs), und ein Prüfer will lesen, was Sie konkret tun. In diesem Teil beschreibt die Velomanufaktur Kaltenbach ihre TOMs in preeco | datenschutz mit Textbausteinen und hinterlegt ein vorhandenes Sicherheitskonzept als Datei. Dieser Artikel ist Teil 4 der Video-Reihe "DSGVO-Dokumentation mit preeco".

Voraussetzungen

  • Ihr Team verfügt über eine Lizenz für preeco | datenschutz.
  • Organisation und Systeme sind angelegt (Teil 1 und 2 der Reihe). Was die IT dort zu Anmeldung, Backup und Verschlüsselung eingetragen hat, hilft beim Formulieren der Maßnahmen.

TOM-Dokument anlegen

  1. Öffnen Sie Technische und organisatorische Maßnahmen und klicken Sie auf Neu.
  2. Zum Anlegen genügen die Bezeichnung und die Organisation, für die das Dokument gilt. Kaltenbach beschreibt seine Maßnahmen in einem Dokument für das ganze Unternehmen.
  3. Alle weiteren Angaben ergänzen Sie danach über Bearbeiten.

Maßnahmen nach Schutzzielen beschreiben

  1. Das Formular ist nach Schutzzielen gegliedert. Unter Vertraulichkeit stehen Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle und Trennungskontrolle. Kaltenbach trägt dort etwa ein, dass der Serverraum nur mit Chip zugänglich ist und die Anmeldung nur mit zweitem Faktor funktioniert.
  2. Jede Kategorie füllen Sie mit Textbausteinen. Wählen Sie einen vorhandenen aus oder legen Sie über das Plus einen eigenen an. Der neue Baustein landet gleich in der richtigen Kategorie.
  3. Über den Stift ändern Sie einen vorhandenen Baustein. Weil ein Baustein in vielen Dokumenten stecken kann, ändert er sich überall. preeco erstellt dabei keine neuen Revisionen.
  4. Unter Integrität beschreiben Sie Weitergabe- und Eingabekontrolle, darunter Verschlüsselung und Pseudonymisierung.
  5. Unter Verfügbarkeit und Belastbarkeit gehören Backups und Restore-Tests. Was die IT beim System eingetragen hat, beschreiben Sie hier als Maßnahme.
  6. Zum Schluss das Verfahren zur regelmäßigen Überprüfung: Bei Kaltenbach prüft der Datenschutzbeauftragte die Maßnahmen einmal im Jahr.

Schreiben Sie Maßnahmen so konkret, dass jemand sie prüfen kann. "Zugang ist geschützt" lässt sich nicht prüfen, "Anmeldung nur mit zweitem Faktor" schon.

Vorhandenes Konzept als Datei hinterlegen

  1. Liegt ein Sicherheitskonzept schon als Datei vor, wählen Sie unter Neu die Option Datei hochladen.
  2. Die Datei hinterlegen Sie danach über Bearbeiten im Abschnitt Datei. Die Gliederung nach Schutzzielen entfällt dann. Bei Kaltenbach ist das das Sicherheitskonzept des Errichters der Videoanlage in den Stores.

Vorschau und Verwendungen

  • Die Vorschau zeigt das TOM-Dokument so, wie es später heruntergeladen wird.
  • Unter Beziehungen sehen Sie bei Verwendungen, welche Dokumente auf diese TOMs verweisen, etwa die Verarbeitungstätigkeiten.
  • Die TOMs sind auch Pflichtbestandteil jedes Vertrags zur Auftragsverarbeitung (Art. 28 Abs. 3 lit. c DSGVO).

In der Praxis bewährt sich ein TOM-Dokument für das ganze Unternehmen. Eigene Dokumente lohnen sich nur dort, wo wirklich andere Maßnahmen gelten, wie bei der Videoanlage.

Nächster Schritt

Im nächsten Teil legt Kaltenbach seine erste Verarbeitungstätigkeit vollständig an.

Alle Teile der Reihe

← Teil 3: Datenfelder und Datenflüsse · Teil 5: Die erste Verarbeitungstätigkeit →

  1. Auftakt: DSGVO-Dokumentation aufbauen
  2. Teil 1: Organisation, Datenschutzbeauftragter, Kontakte
  3. Teil 2: Systeme erfassen
  4. Teil 3: Datenfelder und Datenflüsse
  5. Teil 4: TOMs nach Art. 32 (dieser Artikel)
  6. Teil 5: Die erste Verarbeitungstätigkeit
  7. Teil 6: Verzeichnis mit KI und Team füllen
  8. Teil 7: Prüfen, freigeben, vorlegen
  9. Teil 8: Informationspflichten nach Art. 13 und 14
  10. Teil 9: Veröffentlichen
  11. Teil 10: Fehlende AV-Verträge erkennen
  12. Teil 11: AV-Vertrag erstellen und unterzeichnen

Änderungen und Irrtümer können vorkommen. Die Angaben in diesem Artikel wurden sorgfältig zusammengestellt, erheben jedoch keinen Anspruch auf Vollständigkeit oder Richtigkeit.

Weitere Kurzanleitungen

Vertrag zur Auftragsverarbeitung erstellen und unterzeichnen (Teil 11 der Reihe DSGVO-Dokumentation) Fehlende Verträge zur Auftragsverarbeitung erkennen (Teil 10 der Reihe DSGVO-Dokumentation) Informationspflichten auf der Website veröffentlichen (Teil 9 der Reihe DSGVO-Dokumentation) Informationspflichten nach Art. 13 und 14 DSGVO erstellen (Teil 8 der Reihe DSGVO-Dokumentation)
Zurück zu den Kurzanleitungen