Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO

Stand: 30.06.2026

Diese technischen und organisatorischen Maßnahmen beschreiben das aktuelle Sicherheitsniveau für die Verarbeitung personenbezogener Daten. Sie dienen dem Schutz der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sowie der Nachvollziehbarkeit von Verarbeitungsvorgängen.

1. Zutrittskontrolle

Maßnahmen zur Verhinderung des physischen Zugriffs unbefugter Personen auf Datenverarbeitungsanlagen:

Serverbetrieb in externen Rechenzentren mit angemessenem Sicherheitsniveau nach dem Stand der Technik, einschließlich physischer Zugangskontrollen und technischer Schutzmaßnahmen.
Physische Zugangskontrollen an Rechenzentrumsstandorten (z. B. Ausweis-/Schlüssel-/Badge-Verfahren).
Videoüberwachung sicherheitsrelevanter Bereiche der Serverinfrastruktur.

2. Zugangskontrolle

Maßnahmen zur Verhinderung der Nutzung von Datenverarbeitungssystemen durch Unbefugte:

Individuelle Benutzerkonten mit sicheren Passwortanforderungen.
Zwei-Faktor-Authentifizierung (2FA) für administrative Zugänge (verpflichtend).
Zwei-Faktor-Authentifizierung (2FA) wird auch für Kundenzugänge angeboten und empfohlen (u. a. per TOTP-Authenticator-App, Passkey/WebAuthn sowie Backup-Codes). Dies entspricht dem Stand der Technik gemäß Art. 32 Abs. 1 lit. d DSGVO; die Aktivierung liegt in der Verantwortung des Kunden.
Automatische Sperrmechanismen nach wiederholt fehlgeschlagenen Anmeldeversuchen.
Regelmäßige Prüfung und Aktualisierung von Berechtigungen.
Remote-Administration ausschließlich über abgesicherte Zugangswege (z. B. VPN).
Rollen- und rechtebasiertes Berechtigungskonzept nach Need-to-know-Prinzip.
Zugriff auf Produktivdaten mit administrativen Rechten nur für ausdrücklich autorisierte Personen.
Supportzugriffe auf Produktivdaten nur anlassbezogen auf Weisung des Kunden (insbesondere per Ticket/Freigabe), zeitlich begrenzt und nachvollziehbar protokolliert.
Protokollierung von Zugriffen auf personenbezogene Daten.
Verschlüsselung ruhender Daten nach dem Stand der Technik.

3. Weitergabekontrolle

Maßnahmen zur Absicherung von Datenübertragungen und zur Verhinderung unbefugter Kenntnisnahme, Kopie, Veränderung oder Entfernung:

Transportverschlüsselung bei Datenübertragungen über öffentliche Netze (SSL/TLS, insbesondere HTTPS).
Dokumentation regelmäßiger Datenübermittlungen und definierter Übermittlungswege.
Sichere Vernichtung ausgedienter Datenträger nach anerkannten Verfahren.

4. Eingabekontrolle

Maßnahmen zur Nachvollziehbarkeit von Eingabe, Änderung und Löschung personenbezogener Daten:

Protokollierung relevanter Verarbeitungsvorgänge.
Nachvollziehbare Änderungsverläufe und Versionierungen in geeigneten Systembereichen.
Audit-Logs (sicherheits- und verarbeitungsrelevante Protokolle) werden mit einer Aufbewahrungsfrist von maximal 12 Monaten geführt und anschließend automatisiert gelöscht.
Ausnahme: Im begründeten Verdachts- oder Vorfallsfall (z. B. Sicherheitsvorfall, Missbrauchs-/Betrugsverdacht, laufendes Verfahren) können einzelne Protokolle zur Aufklärung, Beweissicherung und Rechtsverteidigung über diese Frist hinaus aufbewahrt werden, solange und soweit dies hierfür erforderlich ist.
Einwilligungsnachweise (Protokollierung erteilter und widerrufener Einwilligungen) werden zur Erfüllung der Nachweispflicht nach Art. 7 Abs. 1 DSGVO für die Dauer der Rechenschaftspflicht, in der Regel bis zu 3 Jahre nach Widerruf bzw. Vertragsende, aufbewahrt.
Technische Betriebsmetriken (z. B. Dienstmetriken, Traffic- und Bandbreitendaten) werden für betriebs- und sicherheitsrelevante Zwecke in der Regel nach spätestens 30 bzw. 90 Tagen gelöscht.
Änderungen oder Löschungen von Audit-Logs sind auf besonders berechtigte administrative Rollen beschränkt und werden selbst nachvollziehbar protokolliert.
Eindeutige Benutzerkennungen; keine Nutzung von Sammelkonten für produktive Datenverarbeitungen.

5. Auftragskontrolle

Maßnahmen zur Sicherstellung der Verarbeitung ausschließlich nach dokumentierten Weisungen:

Abschluss von Auftragsverarbeitungsverträgen mit Unterauftragsverarbeitern, sofern erforderlich.
Strukturierte Auswahl und risikoorientierte Bewertung eingesetzter Dienstleister vor deren erstmaligem Einsatz.
Regelmäßige, risikobasierte Überprüfung der Einhaltung vertraglicher und datenschutzrechtlicher Vorgaben.
Überprüfungen berücksichtigen mindestens Art und Umfang der Verarbeitung, technische und organisatorische Sicherheitsmaßnahmen sowie etwaige Vorfälle oder Auffälligkeiten.
Weisungsgebundene Verarbeitung personenbezogener Daten innerhalb definierter Prozesse.

6. Verfügbarkeitskontrolle

Maßnahmen zum Schutz gegen zufällige Zerstörung oder Verlust personenbezogener Daten:

Differenzierte, gestaffelte Datensicherungsstrategie: regelmäßige (in der Regel tägliche) Sicherungen mit gestaffelter Aufbewahrung je nach Leistung und Schutzbedarf. Die konkrete Sicherungsfrequenz und Aufbewahrungsdauer wird providerseitig (z. B. Proxmox Backup Server) verwaltet und kann je nach gebuchter Leistung variieren.
Die Datensicherung durch den Anbieter ersetzt nicht die kundenseitige Eigenverantwortung für Backups wichtiger Daten; der Kunde wird zur Anlage eigener Sicherungen angehalten (siehe AGB und AVV). Für einen vom Anbieter zu vertretenden Datenverlust bleibt die Verantwortung des Anbieters nach Art. 32 DSGVO und Hauptvertrag unberührt.
Unterbrechungsfreie Stromversorgung (USV) für kritische Systeme.
Brandschutz- und Klimatisierungskonzepte in servernahen Infrastrukturbereichen.
Disaster-Recovery-Konzept mit definierten Wiederanlaufverfahren.
Regelmäßige Wiederherstellungstests zur Überprüfung der Backup-Nutzbarkeit.
Nach Kündigung oder automatischer Beendigung einer gebuchten Leistung aufgrund Nichtzahlung werden die zugehörigen Daten automatisiert gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

7. Trennungsgebot

Maßnahmen zur getrennten Verarbeitung von Daten zu unterschiedlichen Zwecken:

Logische Trennung von Datenbeständen (z. B. mandantenfähige Strukturen).
Trennung von Entwicklungs-, Test- und Produktionsumgebungen.
Berechtigungskonzept zur Vermeidung unzulässiger Zweckvermischung.

8. Organisatorische Maßnahmen

Begleitende organisatorische Schutzmaßnahmen:

Regelmäßige Datenschutz- und Sicherheitsunterweisungen der Mitarbeitenden.
Vertraulichkeitsverpflichtung bzw. Verpflichtung auf Datengeheimnis.
Wiederkehrende interne Überprüfung von Sicherheitsmaßnahmen und Prozessen.

9. Aktualität

Diese Maßnahmen werden regelmäßig bewertet und bei Bedarf an technische, organisatorische und rechtliche Entwicklungen angepasst. Maßgeblich sind insbesondere:

neue Bedrohungslagen,
Änderungen der Systemlandschaft,
geänderte rechtliche Anforderungen,
Erkenntnisse aus Audits, Vorfällen und Wiederherstellungstests.