Kurz-Fakten

  • Rechtsgrundlage ist Art. 32 DSGVO, nicht die alte Anlage zu § 9 BDSG
  • Der Maßstab ist risikobasiert: Stand der Technik, Kosten, Eintrittswahrscheinlichkeit, Schwere
  • Verschlüsselung und Pseudonymisierung werden ausdrücklich genannt, sind aber nicht zwingend
  • Die Wirksamkeit muss regelmäßig überprüft und die Überprüfung dokumentiert werden

Bedeutung in der Praxis

Eine TOM-Anlage, die nur aus Überschriften besteht, ist wertlos und fällt bei jeder ernsthaften Prüfung auf. „Zugangskontrolle: vorhanden“ beantwortet nichts. Brauchbar wird es erst mit Angaben, die sich nachprüfen lassen: welches Verschlüsselungsverfahren, welche Anmeldeverfahren für Verwaltungszugänge, wer hat physischen Zutritt, wie wird er protokolliert.

Für KI-Dienste ist eine Angabe besonders aufschlussreich und fehlt fast immer: Was passiert mit den Daten im Arbeitsspeicher während der Verarbeitung, und wer könnte in diesem Moment darauf zugreifen?

Verwandte Begriffe