Projektstrukturplan vs. Netzplan

§ 25 Abs. 2 DSGVO:

Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden.

Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.

TOM sind konkrete Maßnahmen, die Unternehmen ergreifen müssen, um personenbezogene Daten gemäß Art. 32 DSGVO angemessen zu schützen. Sie gliedern sich klassisch in acht Kontrollarten (aus der früheren Anlage zu § 9 BDSG, heute weiterhin gebräuchlich):

Technische Kontrollen:

Zutrittskontrolle – Unbefugten den physischen Zutritt zu Räumen mit Datenverarbeitungsanlagen verwehren (z. B. Chipkarte, Schließsysteme)
Zugangskontrolle – Verhindern, dass Unbefugte die Systeme überhaupt nutzen können (z. B. Passwörter, MFA)
Zugriffskontrolle – Sicherstellen, dass Berechtigte nur auf die Daten zugreifen können, für die sie eine Berechtigung haben (Rechteverwaltung)
Weitergabekontrolle – Daten dürfen bei Übertragung/Transport nicht unbefugt gelesen, verändert oder gelöscht werden (Verschlüsselung)

Organisatorische Kontrollen:

5. Eingabekontrolle – Nachvollziehbarkeit, wer wann welche Daten eingegeben, verändert oder gelöscht hat (Protokollierung)
6. Auftragskontrolle – Auftragsverarbeiter dürfen Daten nur nach den Weisungen des Auftraggebers verarbeiten
7. Verfügbarkeitskontrolle – Schutz vor Datenverlust durch Backups, unterbrechungsfreie Stromversorgung, redundante Systeme
8. Trennungsgebot (Trennungskontrolle) – zu unterschiedlichen Zwecken erhobene Daten müssen getrennt verarbeitet werden

Beispiele:

Technisch:
Verschlüsselung, Firewalls, Zutrittssysteme, Backup-Lösungen
Organisatorisch:
Berechtigungskonzepte, Mitarbeiterschulungen, Verpflichtung auf Vertraulichkeit, Vier-Augen-Prinzip