Technische und organisatorische Maßnahmen risikogerecht festlegen
Technische und organisatorische Maßnahmen – kurz TOMs – konkretisieren, wie personenbezogene Daten während einer Verarbeitung geschützt werden. Für Facility-Management-Verträge sind sie besonders relevant, wenn Dienstleister etwa mit CAFM-, Service-Desk-, Zutritts-, Besucher-, Video- oder anderen Systemen arbeiten, in denen personenbezogene Informationen verarbeitet werden. Art. 32 DSGVO verlangt dabei kein starres Maßnahmenpaket. Das erforderliche Sicherheitsniveau ist vielmehr risikoorientiert und unter Berücksichtigung des Stands der Technik, der Umsetzungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung festzulegen.
Die TOM-Anlage sollte nicht aus einer unveränderten Standardliste bestehen. Sie muss zur konkreten Leistung und zu den tatsächlich genutzten Systemen passen. Ein Dienstleister, der lediglich vereinzelte Nutzerkontaktdaten im Service Desk verarbeitet, benötigt ein anderes Schutzkonzept als ein Betreiber mit administrativem Zugriff auf Zutrittskontrolle, Video- oder Gebäudeplattformen.
Änderungsrechte, Protokollierung, Schutz vor unbefugter Manipulation
Verfügbarkeit
Datensicherung, Wiederherstellung und Ausfallvorsorge
Endgeräte
Vorgaben für Notebooks, mobile Geräte und lokale Speicherung
Fernzugriff
freigegebene Zugangswege, Authentisierung und Protokollierung
Kontrolle
regelmäßige Prüfung und Bewertung der Wirksamkeit
Art. 32 nennt unter anderem Pseudonymisierung und Verschlüsselung, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die rasche Wiederherstellung nach Zwischenfällen sowie Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der Maßnahmen.
TOMs im Vertrag konkret und prüfbar beschreiben
Werden personenbezogene Daten im Auftrag verarbeitet, muss auch der Auftragsverarbeitungsvertrag die Sicherheitsmaßnahmen abbilden. Der Verantwortliche darf nur Auftragsverarbeiter einsetzen, die ausreichende Garantien für geeignete technische und organisatorische Maßnahmen bieten. Die Maßnahmen sollten deshalb so konkret beschrieben oder referenziert werden, dass ihre Angemessenheit beurteilt werden kann. Auch der Europäische Datenschutzausschuss empfiehlt eine hinreichend konkrete Beschreibung und regelmäßige Überprüfung der Sicherheitsmaßnahmen.
Pauschale Formulierungen wie „angemessene IT-Sicherheit nach DSGVO“ reichen für eine belastbare Vertragssteuerung kaum aus. Sinnvoll sind überprüfbare Anforderungen, beispielsweise zur Benutzerverwaltung, zu privilegierten Konten, zur Verschlüsselung, zur Sicherung mobiler Endgeräte oder zur Behandlung von Sicherheitsvorfällen.
Änderungen während der Vertragslaufzeit beherrschen
TOMs dürfen nicht als unveränderlicher Vertragsanhang verstanden werden. Systeme, Bedrohungen, technische Möglichkeiten und Verarbeitungsprozesse entwickeln sich weiter. Werden beispielsweise neue Cloud-Dienste eingeführt, Fernzugriffe erweitert oder zusätzliche Unterauftragnehmer eingesetzt, muss geprüft werden, ob die bestehenden Maßnahmen weiterhin angemessen sind.
Der Vertrag sollte deshalb regeln, wie wesentliche Änderungen angezeigt, bewertet und freigegeben werden. Ebenso sinnvoll sind Nachweis- und Kontrollrechte, deren Intensität sich am jeweiligen Risiko orientiert.
Sicherheit in den FM-Prozess integrieren
Die TOM-Anlage sollte mit anderen Vertragsbestandteilen zusammenpassen. Netzwerkanforderungen regeln die technische Anbindung, der IT-Sicherheitsanforderungskatalog definiert übergeordnete Sicherheitsvorgaben und die AVV beschreibt die datenschutzrechtliche Rollenbeziehung. Die TOMs konkretisieren demgegenüber die tatsächlich umgesetzten Schutzmaßnahmen für die jeweilige Verarbeitung.
Auch Mobilisierung und Vertragsende gehören dazu. Benutzerkonten müssen rechtzeitig eingerichtet und bei Ausscheiden gesperrt, Berechtigungen angepasst und lokale Datenbestände kontrolliert zurückgegeben oder gelöscht werden.
Gute TOMs beantworten damit nachvollziehbar: Welche personenbezogenen Daten werden verarbeitet, welches Risiko besteht, welche Schutzmaßnahmen gelten, wer setzt sie um und wie wird ihre Wirksamkeit überprüft? So wird aus einer formalen Datenschutzanlage ein belastbarer Bestandteil der digitalen FM-Governance.
