TOMs für Softwareunternehmen: Datensicherheit nach Art. 32 DSGVO

Kurz beantwortet: Technische und organisatorische Maßnahmen, kurz TOMs, sind die Sicherheitsvorkehrungen, mit denen Sie personenbezogene Daten tatsächlich schützen (Art. 32 DSGVO). Als SaaS-Anbieter brauchen Sie sie zur Erfüllung Ihrer Verantwortlichen- oder Auftragsverarbeiter-Pflichten und als dokumentierte Anlage zur AVV Ihrer Enterprise-Kunden.

Was verlangt Art. 32 DSGVO konkret?

Datenschutz ist nicht nur Vertragswerk, sondern auch Technik. Die technischen und organisatorischen Maßnahmen sind das, womit Sie die Sicherheit personenbezogener Daten tatsächlich gewährleisten. Für Softwareunternehmen sind sie zugleich ein Verkaufsargument: Ohne belastbare TOM-Dokumentation kommt kein Enterprise-Deal durch den Datenschutz-Check.

Nach Art. 32 DSGVO müssen Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Der Maßstab ist ausdrücklich risikobasiert. Berücksichtigt werden der Stand der Technik, die Implementierungskosten sowie Art, Umfang und Zweck der Verarbeitung, ebenso die Eintrittswahrscheinlichkeit und Schwere der Risiken für die Betroffenen. Je sensibler die Daten, desto höher die Anforderungen.

Welche Bausteine nennt das Gesetz?

Art. 32 nennt selbst Beispiele, an denen sich eine gute TOM-Struktur orientiert:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten.
• Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer.
• Wiederherstellbarkeit: die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederherzustellen.
• Regelmäßige Überprüfung und Bewertung der Wirksamkeit der Maßnahmen.

In der Praxis übersetzt sich das in Zugriffskonzepte, Verschlüsselung im Transport und at rest, Protokollierung, Backups, Notfallpläne und die Schulung der Mitarbeiter.

Warum beschleunigen TOMs den Enterprise-Deal?

TOMs sind Pflicht und zugleich Türöffner. Großkunden verlangen deren Beschreibung als Anlage zur Auftragsverarbeitungsvereinbarung und prüfen sie im Vendor Assessment. Eine gepflegte, aktuelle TOM-Dokumentation beantwortet einen Großteil des Sicherheitsfragebogens vorab und macht aus einer typischen Verzögerung einen schnellen Haken auf der Checkliste des Einkaufs. Wie Sie den vollständigen Sicherheitsfragebogen eines Enterprise-Kunden beantworten, zeigt der Beitrag zum Vendor-Assessment aus Anbieter-Sicht.

Wie halten Sie die TOM-Dokumentation aktuell?

Der häufigste Fehler ist die TOM-Beschreibung, die einmal erstellt und dann vergessen wird. Ändern sich Systeme, Dienstleister oder Prozesse, veraltet sie, und im Ernstfall passt die dokumentierte Sicherheit nicht zur gelebten. TOMs gehören deshalb zum laufenden Betrieb, nicht in die Schublade. Als Anlage zu jeder AVV müssen sie außerdem zu deren Pflichtinhalt passen, den der Beitrag zum AVV-Abschluss nach Art. 28 DSGVO einordnet.

Häufige Fragen

Was verlangt Art. 32 DSGVO?

Nach Art. 32 DSGVO müssen Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Der Maßstab ist ausdrücklich risikobasiert und berücksichtigt den Stand der Technik, die Implementierungskosten sowie Art, Umfang und Zweck der Verarbeitung ebenso wie Eintrittswahrscheinlichkeit und Schwere der Risiken.

Welche Bausteine nennt das Gesetz selbst?

Art. 32 DSGVO nennt beispielhaft die Pseudonymisierung und Verschlüsselung, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die Fähigkeit zur raschen Wiederherstellung nach einem Zwischenfall sowie die regelmäßige Überprüfung und Bewertung der Wirksamkeit der Maßnahmen.

Warum beschleunigen TOMs den Enterprise-Deal?

Großkunden verlangen die Beschreibung der TOMs als Anlage zur Auftragsverarbeitungsvereinbarung und prüfen sie im Vendor Assessment. Eine gepflegte, aktuelle TOM-Dokumentation beantwortet einen Großteil des Sicherheitsfragebogens vorab und macht aus einer typischen Verzögerung einen schnellen Haken auf der Checkliste des Einkaufs.

Wie halten Sie die TOM-Dokumentation aktuell?

Der häufigste Fehler ist die einmal erstellte und dann vergessene TOM-Beschreibung. Ändern sich Systeme, Dienstleister oder Prozesse, veraltet sie, und im Ernstfall passt die dokumentierte Sicherheit nicht zur gelebten. TOMs gehören deshalb in den laufenden Betrieb und müssen als Anlage zu jeder AVV zu deren Pflichtinhalt passen.

Sie wollen Ihre TOMs so aufsetzen, dass sie den Kunden-Check bestehen und aktuell bleiben? In einem 30-minütigen Erstgespräch schauen wir auf Ihren Stand. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

→ Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen

→ Erstgespräch anfragen