Anlage TOM technische und organisatorische Maßnahmen
Vertrag: EA-2026-0294
Datum 10.11.2026 Version. 1.0
Einleitung
Der Auftragnehmer sowie weitere von ggf. beauftragte Subunternehmen haben die technischen und organisatorischen Datenschutzmaßnahmen nach Art. 32 DSGVO nachzuweisen. Die vorstehende Anlage ist vom Auftragnehmer und ggf. Subunternehmer entsprechend den jeweiligen tatsächlichen Verhältnissen, die den gesetzlichen Datenschutzbestimmungen sowie im Übrigen den Anforderungen dieser Vereinbarung gerecht werden müssen, auszufüllen und kann bei Änderungen entsprechend fortgeschrieben werden. Ein Verweis auf vorhandene Unternehmenskonzepte ist möglich, soweit die dort beschriebenen Maßnahmen diesem Dokument beigefügt werden.
Die Anlage kann durch eigene Konzepte des Auftragnehmers und ggf. Subunternehmers ersetzt werden, soweit diese den inhaltlichen Anforderungen dieser Anlage entsprechen.
Vertraulichkeit & Integrität
Zutrittssicherheit
Ein unbefugter Zutritt zu Grundstücken, Gebäuden, Räumen ist zu verhindern.
| Beispiele | |
|---|---|
| Schlüssel / Schlüsselvergabe / Türsicherung (elektrische Türöffner usw.) / Werkschutz, Pförtner / Zutrittskontrollsystem (Ausweisleser, Magnetkarte, Chipkarte) / Alarmanlage, Videoüberwachung | |
| Maßnahmen des Auftragnehmers | |
Zugangssicherheit
Das Eindringen Unbefugter in Datenverarbeitungssysteme ist zu verhindern.
| Beispiele | |
|---|---|
| Kennwortverfahren, automatische Sperrmechanismen / Berechtigungskonzepte / Anmeldeverfahren und Zugangsregelungen / Verschlüsselung von Netzwerken | |
| Maßnahmen des Auftragnehmers | |
Zugriffssicherheit
Unerlaubter Zugriff auf Datensätze außerhalb eingeräumter Berechtigungen ist zu verhindern.
| Beispiele | |
|---|---|
| Berechtigungskonzept und Berechtigungskontrollen / Protokollierung von Zugriffen / Passwortschutz, Bildschirmsperre / Verschlüsselung oder Pseudonymisierung | |
| Maßnahmen des Auftragnehmers | |
Trennung von Daten
Zu unterschiedlichen Zwecken erhoben Daten müssen getrennt verarbeitet werden können.
| Beispiele | |
|---|---|
| Sandboxing, Mandantenfähigkeit / Trennung Test- und Produktivsystem / Berechtigungskonzeption | |
| Maßnahmen des Auftragnehmers | |
Sicherheit bei der Datenweitergabe
Datenverlust oder unbefugte Kenntnisnahme bei der Weitergabe digitaler personenbezogener Daten verhindern.
| Beispiele | |
|---|---|
| SSL-Verschlüsselung, VPN / Transportsicherung / Dokumentation der Weitergabe / dokumentierter Prozessablauf / elektronische Signatur | |
| Maßnahmen des Auftragnehmers | |
Schutz vor unbefugter Veränderung von Daten
Veränderung von Daten verhindern und Nachvollziehbarkeit bzw. Dokumentation der Datenverwaltung und -pflege gewährleisten.
| Beispiele | |
|---|---|
| Protokollierung und Auswertung von Zugriffen und Veränderungen von Daten / Berechtigungskonzept / Logfiles / Zugriffsmanagement | |
| Maßnahmen des Auftragnehmers | |
Verfügbarkeit & Belastbarkeit
Verfügbarkeitssicherheit
Die zufällige Zerstörung oder Verlust personenbezogener Daten verhindern und Wiederherstellung sicherstellen.
| Beispiele | |
|---|---|
| Datensicherung, Backup-Verfahren / Spiegeln von Festplatten / Unterbrechungsfreie Stromversorgung / räumlich getrennte Aufbewahrung, Tresoraufbewahrung / Virenschutz / Firewall / Notfallplan / Wiederherstellbarkeit von Daten | |
| Maßnahmen des Auftragnehmers | |
Überprüfungsverfahren
Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der vorhandenen Datenschutzmaßnahmen sowie zur Einhaltung datenschutzrechtlicher Grundsätze.
| Beispiele | |
|---|---|
| Incident-Management / Datenschutz-Management / datenschutzfreundliche Gestaltung und Einsatz der Technik sowie Systemeinstellungen / Prüfung von Unterauftragnehmern zum Datenschutz / ISMS | |
| Maßnahmen des Auftragnehmers | |
| Incident Management | |