Wer in der Schweiz Personendaten bearbeitet, kommt an TOMs nicht vorbei. Bei den technischen und organisatorischen Massnahmen zeigt sich schnell, ob Datenschutz im Unternehmen nur auf dem Papier existiert oder im Alltag tatsächlich funktioniert. Genau hier trennt sich formale Compliance von einer praxistauglichen, auditfesten Umsetzung.
Was TOMs im Datenschutz der Schweiz konkret bedeuten
TOMs sind technische und organisatorische Massnahmen zum Schutz von Personendaten. Gemeint sind also nicht nur IT-Sicherheitsvorkehrungen wie Verschlüsselung oder Zugriffsschutz, sondern ebenso betriebliche Regeln, Verantwortlichkeiten, Prozesse und Kontrollen. Für Schweizer Unternehmen heisst das: Datenschutz ist keine isolierte Rechtsfrage, sondern eine Führungs- und Betriebsaufgabe.
Das revidierte Datenschutzgesetz verlangt kein starres Set an Massnahmen für alle. Entscheidend ist, dass die Massnahmen zur Art der bearbeiteten Daten, zum Risiko für die betroffenen Personen und zur konkreten Unternehmensrealität passen. Ein Treuhandbüro hat andere Anforderungen als ein Medtech-Unternehmen, eine Garage andere als eine Sozialberatung.
Gerade für KMU ist das relevant. Viele Organisationen suchen nach einer Liste zum Abhaken. In der Praxis reicht das selten. Wer TOMs nur allgemein beschreibt, kann im Audit oder bei Kundenrückfragen oft nicht erklären, wie die Massnahmen tatsächlich umgesetzt, geprüft und aktuell gehalten werden.
Welche TOMs angemessen sind: der risikobasierte Ansatz
Das Gesetz nennt keine Massnahmenliste. Art. 8 DSG verlangt eine «dem Risiko angemessene Datensicherheit», und die Datenschutzverordnung präzisiert in Art. 1 bis 3 DSV, woran sich diese Angemessenheit bemisst: am Zweck, an Art und Umfang der Bearbeitung, an der Eintretenswahrscheinlichkeit und Schwere eines Schadens für die betroffenen Personen sowie am Stand der Technik und den Implementierungskosten. Schutzziele sind dabei Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit. Angemessen sind TOMs also dann, wenn sie zu den bearbeiteten Personendaten, den konkreten Risiken und den tatsächlichen Arbeitsabläufen passen, nicht wenn sie einer Vorlage entsprechen.
Eine praxistaugliche Beurteilung beginnt mit drei Fragen: Welche Personendaten bearbeiten wir? Wo liegen sie und wer kann darauf zugreifen? Was würde passieren, wenn sie unbefugt offengelegt, verändert oder nicht mehr verfügbar wären? Aus den Antworten ergibt sich, welche Schutzmassnahmen Priorität haben. Bei allgemeinen Kontaktdaten sieht angemessener Schutz anders aus als bei Bewerbungsunterlagen, Lohninformationen, Mandantenakten oder Gesundheitsdaten. Je sensibler die Daten, je grösser das Volumen und je schwerer ein möglicher Schaden wiegt, desto höher liegen die Anforderungen.
Ein Beispiel aus dem Treuhandbüro: Die Personalverantwortliche benötigt Zugriff auf Bewerbungen und Lohndaten. Eine Mandatsleitung braucht Einsicht in die Dossiers ihrer Mandanten, aber nicht in die Personaldossiers der Kolleginnen. Die Buchhaltung braucht Rechnungsdaten, jedoch nicht die Gesprächsnotizen aus der Beratung. Solche Unterschiede gehören in Rollen und Berechtigungen abgebildet, statt Zugriffe einzeln und spontan zu vergeben. Dabei zählen nicht nur Cyberrisiken: Private E-Mail-Konten, offene Papierakten im Sitzungszimmer oder ein IT-Dienstleister mit mehr Rechten als nötig sind organisatorische Lücken, die genauso häufig zu Vorfällen führen.
Oft unterschätzt wird die Verfügbarkeit. Kann das Unternehmen nach einem Systemausfall weiterarbeiten? Gibt es Backups, deren Wiederherstellung tatsächlich getestet wurde? Ein Backup, das sich im Ernstfall nicht einspielen lässt, ist keine wirksame Massnahme. Eine Checkliste ist als Startpunkt nützlich, ersetzt aber diese Prüfung der eigenen Situation nicht. Sonst steht eine Verschlüsselungspflicht im Konzept, während Dateien im Alltag über unkontrollierte Freigabelinks geteilt werden.
Warum TOMs in der Schweiz oft unterschätzt werden
In vielen Unternehmen startet Datenschutz mit einer Datenschutzerklärung oder einem selbst erstellten Verzeichnis der Bearbeitungstätigkeiten. Beides ist wichtig, aber ohne TOMs bleibt die Dokumentation unvollständig. Denn sobald Personendaten bearbeitet werden, stellt sich die operative Frage: Wie werden diese Daten konkret geschützt?
Hier entstehen die typischen Schwachstellen. Mitarbeitende haben zu breite Zugriffsrechte. Austritte werden nicht sauber nachgeführt. Auftragsbearbeiter werden eingesetzt, ohne Sicherheitsanforderungen vertraglich und praktisch zu prüfen. Besonders heikel wird es, wenn sensible Daten betroffen sind, etwa im HR, Gesundheitsbereich oder bei Sozialdiensten.
TOMs sind deshalb nicht bloss ein juristischer Anhang. Sie sind der Nachweis, dass ein Unternehmen Datenschutz und Informationssicherheit in seine Prozesse übersetzt hat. Das reduziert nicht nur regulatorische Risiken, sondern stärkt auch die eigene Position gegenüber Geschäftspartnern, Ausschreibungen und Due-Diligence-Prüfungen.
Welche TOMs für Schweizer Unternehmen typisch sind
Wer nach TOMs im Datenschutz der Schweiz sucht, meint meist eine Mischung aus organisatorischen, technischen und physischen Schutzmassnahmen. Dazu gehören etwa Rollen- und Berechtigungskonzepte, Passwortregeln, Mehrfaktor-Authentifizierung, Backups, Protokollierung, Schulungen, Löschprozesse, Zutrittskontrollen und klare Weisungen für den Umgang mit Personendaten.
Wichtig ist dabei nicht die Länge der Liste, sondern die Passgenauigkeit. Ein kleines KMU mit einer überschaubaren Systemlandschaft braucht keine Sicherheitsarchitektur wie ein Konzern. Umgekehrt reicht bei einem Unternehmen mit Cloud-Tools, Homeoffice, mehreren Standorten und externen Dienstleistern keine Minimaldokumentation.
Ein typischer Fehler ist die Vermischung von Wunschbild und Realität. In Dokumenten steht dann etwa, Zugriffe würden regelmässig überprüft oder Daten würden fristgerecht gelöscht. Auf Nachfrage zeigt sich jedoch, dass weder ein definierter Prozess noch eine wiederkehrende Kontrolle existiert. Genau deshalb sollten TOMs immer so beschrieben werden, dass sie nachvollziehbar, überprüfbar und intern steuerbar bleiben.
So gehen Unternehmen TOMs pragmatisch an
Der sinnvollste Einstieg ist nicht die Frage, welche Vorlage man verwenden soll. Die bessere Frage lautet: Wo im Unternehmen werden welche Personendaten bearbeitet, wer hat Zugriff darauf und welche Risiken ergeben sich daraus? Erst auf dieser Grundlage lassen sich geeignete Massnahmen ableiten.
In der Praxis bewährt sich ein Vorgehen in vier Schritten. Zuerst werden die relevanten Bearbeitungstätigkeiten erfasst. Danach werden Systeme, Datenkategorien, Rollen und externe Dienstleister pro Prozess betrachtet. Im dritten Schritt folgt die Risikoeinschätzung: Was wäre die Auswirkung bei unbefugtem Zugriff, Verlust, Fehlversand oder Manipulation? Erst dann werden die passenden TOMs festgelegt, dokumentiert und Verantwortlichkeiten zugewiesen.
Dieser Ablauf wirkt unspektakulär, spart aber viel Aufwand. Unternehmen vermeiden damit generische Massnahmenkataloge, die niemand im Betrieb lebt. Stattdessen entstehen umsetzbare Vorgaben, die zu Organisation, Budget und Risikoprofil passen.
Technische Massnahmen sind nur die halbe Miete
Viele Verantwortliche denken bei TOMs zuerst an Firewalls, Antivirus oder Verschlüsselung. Das ist verständlich, greift aber zu kurz. Datenschutzprobleme entstehen im Alltag oft nicht wegen fehlender High-End-Technologie, sondern wegen schwacher Abläufe.
Ein klassisches Beispiel ist das Offboarding von Mitarbeitenden. Wenn Benutzerkonten aktiv bleiben, Freigaben nicht entzogen oder Geräte nicht zurückgeführt werden, hilft die beste Infrastruktur wenig. Ähnlich ist es bei gemeinsam genutzten Postfächern, unklaren Stellvertretungen oder improvisierten Datenablagen in Teams und File-Servern.
Organisatorische Massnahmen sind daher mindestens so wichtig wie technische. Dazu zählen klare Zuständigkeiten, definierte Freigabewege, wiederkehrende Schulungen, Weisungen für den Umgang mit Betroffenenanfragen und Kontrollen bei besonders risikobehafteten Prozessen. Gute TOMs beschreiben beides - Technik und Organisation - als zusammenhängendes System.
Dokumentation: der unterschätzte Teil der TOMs
Viele Unternehmen setzen einzelne Massnahmen durchaus um, können sie aber nicht strukturiert nachweisen. Genau hier wird die Dokumentation zentral. TOMs sollten nicht in verstreuten Word-Dateien, E-Mails und IT-Notizen versickern. Sie müssen an dem Ort gepflegt werden, an dem auch Bearbeitungstätigkeiten, Auftragsbearbeitungen, Risiken und Verantwortlichkeiten geführt werden.
Eine saubere Dokumentation beantwortet drei Fragen: Welche Massnahme gilt, für welchen Prozess oder welches System gilt sie, und wer ist für Umsetzung und Überprüfung zuständig? Wenn diese drei Punkte fehlen, wird aus einer guten Absicht schnell ein blinder Fleck. Statt «Zugriffsschutz vorhanden» gehört festgehalten, dass Zugriffsrechte rollenbasiert vergeben, bei Austritten deaktiviert und periodisch kontrolliert werden. Statt «Backups werden erstellt» sollte dokumentiert sein, welche Systeme in welchem Rhythmus gesichert werden, wer die Wiederherstellung testet und wo die Ergebnisse festgehalten sind. Wie ein solches Dokument konkret aufgebaut wird, zeigt der Beitrag dazu, wie Sie TOMs dokumentieren.
Besonders bei Audits, Kundenfragebögen oder Vorfällen zeigt sich der Unterschied. Wer TOMs strukturiert dokumentiert, kann rasch belegen, dass Massnahmen definiert, eingeführt und überprüft wurden. Wer das nicht kann, gerät selbst dann in Erklärungsnot, wenn im Alltag vieles vernünftig läuft.
Wo es in KMU besonders häufig hakt
Schweizer KMU haben selten zu wenig Willen, aber oft zu wenig Zeit, klare Zuständigkeiten und einen praktikablen Rahmen. Datenschutz landet dann nebenbei bei HR, IT oder der Geschäftsleitung. Das führt dazu, dass TOMs zwar bekannt sind, aber nicht systematisch geführt werden.
Besonders häufig hakt es bei Schnittstellen. HR verlässt sich auf IT, IT auf Fachbereiche, und niemand fühlt sich für die vollständige Dokumentation verantwortlich. Hinzu kommt, dass externe Anbieter zwar genutzt werden, deren Sicherheits- und Datenschutzbeiträge aber nicht sauber in die eigene TOM-Logik integriert sind.
Auch die Aktualisierung wird unterschätzt. TOMs sind kein einmaliges Projekt. Neue Tools, geänderte Prozesse, personelle Wechsel oder neue Kundenanforderungen verändern die Risikolage laufend. Wer seine Massnahmen nicht periodisch überprüft, arbeitet mit Dokumenten, die schon nach wenigen Monaten an der Realität vorbeigehen. Konkrete Anlässe für eine Überprüfung sind die Einführung neuer Software, eine Reorganisation, ein Sicherheitsereignis oder deutlich veränderte Datenbearbeitungen.
Nicht jede Verbesserung erfordert ein IT-Projekt. Oft bringen wenige konsequent umgesetzte Schritte deutlich mehr Kontrolle: Mehrfaktor-Authentifizierung für alle Konten, ein geregelter Prozess für Personalwechsel, die Überprüfung geteilter Ordner und ein Wiederherstellungstest der Datensicherung. Welche Lücken in der Praxis am häufigsten auftreten, zeigt unsere Auswertung der sieben typischen TOM-Lücken in KMU. Vorsicht ist bei pauschalen Regeln geboten: Eine zu restriktive Zugriffsvorgabe bremst Arbeitsabläufe, zu offene Berechtigungen schaffen Risiken. Ein Aussendienst muss mobil arbeiten können, sollte Kundendaten aber nicht unkontrolliert auf privaten Geräten speichern.
Wann Standardlösungen reichen - und wann nicht
Nicht jede Organisation braucht für TOMs ein komplexes Governance-Modell. Für überschaubare Strukturen mit wenigen Standardprozessen kann eine schlanke, gut gepflegte Lösung völlig ausreichen. Entscheidend ist, dass sie vollständig, aktuell und verständlich bleibt.
Sobald jedoch mehrere Abteilungen, sensible Daten, viele Auftragsbearbeiter oder ein internationaler Bezug dazukommen, steigen die Anforderungen. Dann reichen isolierte Excel-Listen und Vorlagen meist nicht mehr. Es braucht eine zentrale Sicht auf Bearbeitungen, Risiken, TOMs und Nachweise.
Genau an diesem Punkt profitieren viele Unternehmen von einer strukturierten Plattform und externer Begleitung. Nicht weil Datenschutz ausgelagert werden soll, sondern weil sich operative Steuerung, Nachvollziehbarkeit und Rechtssicherheit damit deutlich effizienter organisieren lassen. Lösungen wie DSMS+ helfen, TOMs nicht als statisches Dokument zu behandeln, sondern als Teil eines steuerbaren Datenschutzsystems.
Was gute TOMs in der Praxis auszeichnet
Gute TOMs sind verständlich formuliert, auf reale Prozesse abgestimmt und intern anschlussfähig. Sie vermeiden sowohl juristische Leerformeln als auch technische Übertreibung. Vor allem aber schaffen sie Klarheit: Wer macht was, womit, wann und wie wird kontrolliert, ob es funktioniert?
Ebenso wichtig ist die Verhältnismässigkeit. Nicht jede denkbare Sicherheitsmassnahme ist automatisch sinnvoll. Unternehmen müssen Aufwand, Risiko und Nutzen sauber abwägen. Ein pragmatischer Ansatz ist dabei kein Widerspruch zu hoher Qualität. Im Gegenteil: Massnahmen, die akzeptiert und gelebt werden, schützen mehr als perfekte Konzepte, die im Alltag ignoriert werden.
Wer TOMs im Schweizer Datenschutz ernst nimmt, baut damit nicht bloss eine Verteidigung gegen Vorfälle oder Beanstandungen auf. Es entsteht ein verlässlicher Rahmen für saubere Prozesse, bessere Verantwortlichkeiten und mehr Vertrauen im Markt. Gerade für KMU ist das oft der entscheidende Schritt vom reaktiven Datenschutz zu einer Lösung, die im Betrieb wirklich trägt.
Der sinnvollste nächste Schritt ist selten noch ein Dokument. Meist ist es eine ehrliche Standortbestimmung: Welche Massnahmen sind bei uns tatsächlich umgesetzt - und welche stehen nur irgendwo geschrieben?
Häufige Fragen
Welche TOMs verlangt das DSG konkret?
Keine bestimmten. Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit; Art. 1 bis 3 DSV nennen die Kriterien: Zweck, Art und Umfang der Bearbeitung, Eintretenswahrscheinlichkeit und Schwere eines Schadens, Stand der Technik und Implementierungskosten. Welche Massnahmen daraus folgen, muss jedes Unternehmen aus seiner eigenen Risikolage ableiten und begründen können.
Wie finde ich heraus, welche TOMs für mein KMU angemessen sind?
Mit drei Fragen pro Datenbearbeitung: Welche Personendaten bearbeiten wir? Wo liegen sie und wer kann zugreifen? Was passiert, wenn sie offengelegt, verändert oder nicht verfügbar wären? Bearbeitungen mit besonders schützenswerten Daten, vielen Betroffenen oder externen Zugriffen brauchen stärkere Massnahmen. Eine Vorlage kann als Startpunkt dienen, ersetzt diese Beurteilung aber nicht.
Müssen TOMs schriftlich dokumentiert werden?
Das DSG schreibt kein bestimmtes Dokument vor, aber die Nachweisbarkeit ergibt sich aus der Praxis: Bei Kundenfragebögen, Audits oder einem Vorfall muss das Unternehmen zeigen können, welche Massnahmen gelten, für welche Systeme und wer sie überprüft. Unternehmen mit Verzeichnispflicht müssen die Sicherheitsmassnahmen zudem im Bearbeitungsverzeichnis nach Art. 12 DSG zumindest allgemein beschreiben.
Wie oft sollten TOMs überprüft werden?
Mindestens jährlich sowie bei konkreten Anlässen: neue Software, Wechsel eines Dienstleisters, Reorganisation, Sicherheitsvorfall oder deutlich veränderte Datenbearbeitungen. Kritische Punkte wie Administratorkonten, externe Freigaben und Berechtigungen ausgetretener Mitarbeitender verdienen einen kürzeren Rhythmus, etwa vierteljährlich.