Was ist Technische und organisatorische Maßnahmen?
Zuletzt aktualisiert am · Aidan Faes
Kurz gesagt
Technische und organisatorische Maßnahmen sind die konkreten Vorkehrungen, mit denen ein Anbieter Daten schützt, etwa Verschlüsselung, Zugriffsbeschränkungen, Protokollierung, Sicherungskopien und Regeln für den eigenen Support. Sie gehören üblicherweise als Anlage zum Auftragsverarbeitungsvertrag und beschreiben, was der Anbieter tatsächlich tut. Die gebräuchliche Abkürzung lautet TOM.
Der Reiz dieser Anlage liegt darin, dass sie sehr konkret wird, wenn sie gut geschrieben ist. Statt allgemeiner Zusicherungen steht dort, ob Daten im Ruhezustand verschlüsselt werden, wer beim Anbieter auf Kundendaten zugreifen kann, wie dieser Zugriff protokolliert wird und wie lange Protokolle aufbewahrt werden. Für KI-Werkzeuge kommen Punkte hinzu, die es früher nicht gab, etwa ob Eingaben zum Training verwendet werden und wie lange Gesprächsverläufe gespeichert bleiben.
Im Betrieb ist die Anlage Ihre Prüfliste gegenüber der eigenen Realität. Wenn dort steht, dass Zugriffe über eine zentrale Anmeldung laufen, Sie diese aber nicht eingerichtet haben, klafft eine Lücke auf Ihrer Seite. Umgekehrt können Sie Maßnahmen des Anbieters in Ihr eigenes Verzeichnis der Verarbeitungstätigkeiten übernehmen, statt sie neu zu formulieren.
Der klassische Fehler ist, die Anlage ungelesen zu übernehmen, weil sie technisch klingt. Viele Dokumente sind Textbausteine, die auf jedes Produkt passen und deshalb auf keines. Ein Hinweis darauf ist, wenn KI-spezifische Punkte fehlen: keine Aussage zur Trainingsnutzung, keine zur Speicherdauer von Eingaben, keine zu den Modellaufrufen. Fragen Sie diese drei Punkte gezielt nach.
Sie brauchen die Anlage immer dann, wenn Sie einen Auftragsverarbeitungsvertrag schließen, also praktisch bei jedem Werkzeug mit Personenbezug. Der Umfang der Prüfung darf sich am Schutzbedarf orientieren: Für einen Assistenten mit Kundenkorrespondenz sehen Sie genauer hin als für ein Werkzeug, das nur öffentliche Texte verarbeitet.
KI-spezifische Punkte, die in der Anlage stehen sollten
- Werden Eingaben zum Training von Modellen verwendet, und lässt sich das abschalten?
- Wie lange werden Eingaben, Antworten und Gesprächsverläufe gespeichert?
- Wer beim Anbieter kann Inhalte einsehen, und wird das protokolliert?
- Wie werden Modellaufrufe abgesichert, und in welcher Region finden sie statt?
- Was passiert mit Ihren Daten und Auswertungen am Vertragsende?
Welche Begriffe hängen damit zusammen?
- Auftragsverarbeitungsvertrag: Der Vertrag nach Art. 28 DSGVO, der regelt, wie ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet.
- ISO 27001: Eine Norm für Informationssicherheits-Managementsysteme. Sie sagt etwas über Prozesse, nicht über einzelne Produkte.
- Berechtigungskonzept: Die Regel, wer welche Inhalte sehen darf. Bei Firmensuche entscheidet sie darüber, ob eine Einführung überhaupt zulässig ist.
Wo wird Technische und organisatorische Maßnahmen in der Auswahl konkret?
Begriffe helfen erst, wenn sie an einer Entscheidung hängen. Technische und organisatorische Maßnahmen spielt vor allem in KI-Assistenten & LLM-Plattformen eine Rolle. Dort sehen Sie, wie die geprüften Lösungen mit dem Punkt umgehen, jeweils mit Quelle und Stand-Datum.
Weiter im Glossar
Häufige Fragen
Wer schreibt diese Anlage, der Anbieter oder wir?
Der Anbieter beschreibt seine eigenen Maßnahmen, weil nur er sie kennt. Ihre Aufgabe ist es, die Beschreibung gegen Ihren Schutzbedarf zu halten und Lücken zu benennen. Für Ihre eigene Umgebung, etwa Rechte und Anmeldung, sind Sie zuständig.
Wie oft sollten wir die Anlage prüfen?
Einmal bei Vertragsschluss und danach bei größeren Produktänderungen oder mindestens jährlich. KI-Produkte ändern sich schnell, und neue Funktionen bringen neue Datenflüsse mit. Ein Kalendereintrag genügt, um daraus keine Dauerbaustelle zu machen.