DSGVO · Art. 24
DSGVO-024-VERANTWORTLICHKEIT
Zentrale TOM-Dokumentation erstellen und in Governance-Prozess integrieren
Anforderung
Der Verantwortliche muss geeignete technische und organisatorische Massnahmen (TOM) umsetzen, um die Einhaltung der DSGVO zu gewaehrleisten und nachweisen zu koennen – unter Beruecksichtigung von Art, Umfang, Umstaenden und Zwecken der Verarbeitung sowie der Risiken.
Fundstelle
DSGVO Art. 24 Abs. 1-2
Gap-Check
Existiert eine dokumentierte TOM-Uebersicht, die regelmaessig (z. B. jaehrlich oder bei Aenderungen) ueberprueft und an neue Risiken angepasst wird?
Wenn ja
Anforderung erfuellt – TOM-Review-Zyklus beibehalten.
Teilweise
TOM teilweise vorhanden (z. B. aus Auftragsverarbeitungsvertraegen), aber kein zentrales, aktuelles Dokument.
Wenn nein
Kritische Luecke: Ohne dokumentierte TOM kann Rechenschaftspflicht (Art. 5 Abs. 2) nicht erfuellt werden.
Maßnahme
- Bestehende technische und organisatorische Massnahmen inventarisieren (Zugriffskontrolle, Verschluesselung, Schulungen, etc.)
- TOM-Dokument je Verarbeitungstaetigkeit oder zentral fuer das Unternehmen erstellen
- TOM in Auftragsverarbeitungsvertraege (Art. 28) referenzieren
- Jaehrlichen Review-Zyklus mit Verantwortlichkeit (z. B. Datenschutzbeauftragter) festlegen
Aufwand
mittel
Schätzung
4 bis 8 Personentage (Kann auf bestehender ISO-27001-Dokumentation aufbauen (Cross-Framework-Vorteil))
Zeithorizont
mittelfristig
Hilfsmittel
TOM-Vorlage, AVV-Mustertext
Vertiefung
DSGVO Survival Kit, Kap. 6 – Technische und organisatorische Massnahmen
Risiko
Fehlende TOM-Dokumentation erschwert Nachweis bei Audits und im Schadensfall (Beweislastumkehr zu Lasten des Verantwortlichen).
Eintritt
3 von 5
Auswirkung
4 von 5
Bußgeldrahmen
20.000.000 EUR oder 4% weltweiter Jahresumsatz
DSGVO Art. 83 Abs. 5
Control und Nachweis
Control
TOM-Dokument erstellen, in AVV referenzieren, jaehrlich reviewen
Art
organisatorisch
Dringlichkeit
mittel
Nachweis
TOM-Dokumentation
Vorlage
TOM-Uebersicht nach Art. 32
Verknüpfungen
Querverweise
NIS-2 Art. 20, ISO 27001 A.5.1
ISO 27001:2022
A.5.1, A.5.2 (vollstaendig)
Diesen Bezeichner zitieren
Stabilitätszusage
BAM-IDs sind stabil und werden nicht wiederverwendet. Regulierungskürzel, Nummer und Slug sind Lesehilfen, keine Aussage über den aktuellen Inhalt. Die vollständigen Zusagen stehen in docs/IDENTIFIERS.md.
Maschinenlesbar: index.json