Ein verlorenes Notebook, ein gemeinsames Login oder ein unklar geregelter Zugriff auf Personaldossiers: Solche Alltagssituationen zeigen schneller als jedes Konzept, ob Datenschutz im Betrieb funktioniert. Wichtige TOMs-Beispiele für Unternehmen machen sichtbar, welche technischen und organisatorischen Massnahmen im konkreten Arbeitsalltag nötig sind - und wo KMU mit vertretbarem Aufwand beginnen können.
TOMs sind kein Dokument, das einmal erstellt und danach abgelegt wird. Sie beschreiben, wie ein Unternehmen Personendaten schützt: vor unbefugtem Zugriff, Verlust, unbeabsichtigter Veränderung und unzulässiger Weitergabe. Für Schweizer Unternehmen sind sie ein zentraler Baustein, um die Anforderungen des seit September 2023 geltenden Datenschutzgesetzes (DSG) nachvollziehbar in Prozesse, Systeme und Verantwortlichkeiten zu übersetzen. Bei Kunden, Mitarbeitenden oder Dienstleistern mit EU-Bezug sollten die Massnahmen zudem mit den Anforderungen der DSGVO abgestimmt sein.
Was TOMs in der Praxis leisten müssen
Technische und organisatorische Massnahmen sollen zum tatsächlichen Risiko passen. Ein Fitnessstudio verarbeitet beispielsweise Kontaktdaten, Mitgliedschaftsinformationen und möglicherweise Gesundheitsangaben. Ein Produktionsbetrieb verwaltet Personaldaten, Zutrittsdaten und Kundenkontakte. Eine Sozialberatung bearbeitet besonders schützenswerte Informationen und braucht deshalb in der Regel engere Zugriffsrechte sowie klarere Abläufe.
Entscheidend ist nicht, möglichst viele Massnahmen aufzuzählen. Entscheidend ist, ob sie wirksam umgesetzt, überprüfbar dokumentiert und den betroffenen Datenbearbeitungen angemessen sind. Ein verschlossener Aktenschrank ersetzt keine Rechteverwaltung im HR-System. Eine moderne Cloud-Lösung ersetzt keine Prüfung, wer darauf Zugriff hat und wie ein Dienstleister eingebunden ist.
TOMs beantworten dabei sehr praktische Fragen: Wer darf welche Daten sehen? Wie werden Zugriffe vergeben und entzogen? Was geschieht bei einem Sicherheitsvorfall? Sind Daten verfügbar, wenn sie benötigt werden? Und kann das Unternehmen gegenüber Kunden, Partnern oder bei einer Prüfung erklären, wie diese Punkte geregelt sind?
Wichtige TOMs-Beispiele für Unternehmen
Die folgenden Beispiele sind bewusst praxisnah gehalten. Nicht jede Massnahme passt in gleicher Ausprägung zu jedem Betrieb. Sie bieten jedoch eine solide Grundlage, um die eigene Organisation strukturiert zu prüfen.
Zugriffskontrolle: Rechte nach Aufgabe vergeben
In vielen KMU entstehen Risiken nicht durch einen externen Angriff, sondern durch zu weit gefasste Berechtigungen. Wenn Mitarbeitende auf Ordner, CRM-Daten oder HR-Unterlagen zugreifen können, obwohl sie diese für ihre Aufgabe nicht benötigen, fehlt eine saubere Zugriffskontrolle.
Eine praxistaugliche Massnahme ist ein Rollen- und Berechtigungskonzept. Statt einzelnen Personen beliebige Zugriffe zu geben, werden Rollen wie Verkauf, Buchhaltung, HR oder IT definiert. Jede Rolle erhält nur jene Rechte, die für die tägliche Arbeit erforderlich sind. Besonders sensible Bereiche, etwa Lohnunterlagen oder Gesundheitsdaten, werden zusätzlich eingeschränkt.
Ebenso wichtig ist der Eintritts- und Austrittsprozess. Neue Mitarbeitende erhalten ihre Zugriffe nachvollziehbar, Rollenwechsel werden überprüft und beim Austritt werden Konten, Gerätezugänge und Weiterleitungen zeitnah deaktiviert. Regelmässige Berechtigungsprüfungen helfen, überholte Freigaben zu erkennen.
Authentisierung: Gemeinsame Logins vermeiden
Ein Login pro Person ist eine einfache, aber entscheidende Massnahme. Gemeinsame Benutzerkonten machen es unmöglich nachzuvollziehen, wer Daten bearbeitet oder exportiert hat. Sie erschweren auch die sichere Deaktivierung, wenn jemand das Unternehmen verlässt.
Starke Passwörter und Mehrfaktor-Authentisierung erhöhen den Schutz besonders dort, wo von ausserhalb auf E-Mail, Cloud-Dienste, Fernzugriffe oder Administrationsoberflächen zugegriffen wird. Welche Systeme zuerst abgesichert werden, hängt vom Risiko ab. Für ein Kundenportal oder ein Administrationskonto ist die Priorität meist höher als für eine interne Informationsseite ohne Personendaten.
Passwortregeln allein reichen nicht. Mitarbeitende müssen wissen, dass Zugangsdaten nicht weitergegeben, aufgeschriebene Passwörter nicht offen liegen gelassen und verdächtige Anmeldeaufforderungen gemeldet werden sollen. Hier verbinden sich technische Einstellungen und organisatorische Schulung.
Datenträger- und Arbeitsplatzsicherheit: Schutz auch ausserhalb des Büros
Homeoffice, mobile Arbeit und Aussendienst gehören für viele Unternehmen zum Normalfall. Damit verlagern sich Personendaten auf Notebooks, Mobiltelefone und manchmal auf Papierunterlagen. Vollverschlüsselung von mobilen Geräten sorgt dafür, dass Daten bei Verlust oder Diebstahl nicht einfach ausgelesen werden können.
Dazu gehören eine automatische Bildschirmsperre, aktuelle Sicherheitsupdates und klare Regeln für die private Nutzung geschäftlicher Geräte. Wer vertrauliche Unterlagen ausdruckt, sollte sie nicht über Nacht am Drucker oder im Fahrzeug liegen lassen. Für Büros mit Publikumsverkehr kann zudem eine Clean-Desk-Regel sinnvoll sein: Nach Arbeitsschluss sind Akten versorgt und Arbeitsplätze frei von offen sichtbaren Personendaten.
Weitergabekontrolle: Datenübermittlungen bewusst steuern
Personendaten werden laufend übermittelt - per E-Mail, über Upload-Links, an Treuhandstellen, externe IT-Partner oder Auftragsbearbeiter. Eine gute TOM regelt, welche Übertragungswege erlaubt sind und wann zusätzliche Schutzmassnahmen erforderlich sind.
Praktische Beispiele sind verschlüsselte Übertragungswege, geschützte Download-Bereiche mit zeitlich begrenzter Freigabe und eine Vorgabe, sensible Dokumente nicht unkontrolliert an private E-Mail-Adressen zu senden. Bei besonders schützenswerten Daten kann eine separate Passwortübermittlung über einen anderen Kanal angebracht sein. Gleichzeitig muss die Lösung für Mitarbeitende alltagstauglich bleiben. Werden sichere Prozesse zu kompliziert, entstehen oft improvisierte Umgehungslösungen.
Verfügbarkeitskontrolle: Backups müssen wiederherstellbar sein
Ein Backup ist erst dann eine wirksame Massnahme, wenn die Wiederherstellung getestet wurde. Ransomware, ein Fehlklick bei der Datenbereinigung oder ein technischer Defekt können dazu führen, dass wichtige Daten nicht mehr verfügbar sind. Das betrifft nicht nur den Betrieb, sondern gegebenenfalls auch Auskunftsbegehren, Vertragsunterlagen oder Personalprozesse.
Unternehmen sollten festlegen, welche Systeme gesichert werden, wie häufig Sicherungen erfolgen, wie lange sie aufbewahrt werden und wer für die Kontrolle zuständig ist. Besonders sinnvoll sind getrennt aufbewahrte Sicherungen und periodische Wiederherstellungstests. Die angemessene Tiefe richtet sich nach den Systemen: Ein zentrales ERP oder eine Fachanwendung braucht üblicherweise strengere Vorgaben als ein weniger kritischer Ablagebereich.
Auftragsbearbeiter: Externe Stellen nicht ausblenden
Cloud-Software, Lohnbuchhaltung, Supportdienstleistungen und Aktenvernichtung werden häufig an externe Anbieter ausgelagert. Datenschutz bleibt damit aber nicht einfach beim Dienstleister. Unternehmen brauchen einen Überblick darüber, welche Stellen welche Personendaten in ihrem Auftrag bearbeiten und welche Sicherheitsvorkehrungen vereinbart sind.
Zur organisatorischen Absicherung gehören eine dokumentierte Auswahl des Anbieters, klare vertragliche Regelungen, ein geregelter Umgang mit Unterauftragsbearbeitern sowie Ansprechpartner für Sicherheitsfragen. Technisch kann es erforderlich sein, Zugänge für externe Supportpersonen zeitlich zu begrenzen und deren Aktivitäten nachvollziehbar zu halten. Gerade bei internationalen Cloud-Diensten sollten Datenflüsse und Zugriffsorte frühzeitig geklärt werden.
Vorfallmanagement: Nicht erst im Ernstfall entscheiden
Kein Unternehmen kann jeden Vorfall ausschliessen. Umso wichtiger ist ein klarer Ablauf, wenn ein Gerät verloren geht, eine E-Mail falsch adressiert wurde oder ein System ungewöhnliches Verhalten zeigt. Mitarbeitende müssen wissen, an wen sie sich unverzüglich wenden können. Die verantwortliche Stelle sollte den Vorfall erfassen, die Auswirkungen einschätzen, Sofortmassnahmen koordinieren und die nächsten Schritte dokumentieren.
Ein kurzer, geübter Meldeprozess ist oft hilfreicher als ein umfangreiches Notfallhandbuch, das niemand kennt. Für kleinere Unternehmen kann bereits ein definierter Kontaktkreis aus Geschäftsleitung, IT und Datenschutzverantwortung eine gute Ausgangslage sein.
Von der Massnahmenliste zum funktionierenden System
Der häufigste Fehler bei TOMs ist die Übernahme einer allgemeinen Vorlage ohne Bezug zum eigenen Betrieb. Darin stehen dann Massnahmen, die gar nicht existieren, während tatsächliche Risiken unberücksichtigt bleiben. Das schafft weder Klarheit für Mitarbeitende noch belastbare Dokumentation.
Sinnvoller ist ein schrittweises Vorgehen. Zuerst werden die wichtigsten Bearbeitungen und Systeme erfasst: Wo liegen Kunden-, Mitarbeitenden- oder Interessentendaten? Wer verwendet sie? Welche externen Anbieter sind beteiligt? Anschliessend lassen sich Risiken und bestehende Schutzmassnahmen gegenüberstellen. Daraus entsteht eine priorisierte Aufgabenliste.
Für viele KMU sind diese vier Prioritäten besonders wirksam:
- eindeutige Benutzerkonten, passende Berechtigungen und geregelte Austritte;
- Geräteschutz durch Verschlüsselung, Updates und Bildschirmsperre;
- getestete Backups für geschäftskritische Systeme;
- klare Regeln für Dienstleister, Datenweitergaben und Sicherheitsvorfälle.
Danach folgen die Punkte, die stärker vom Geschäftsmodell abhängen, etwa die Absicherung von Zutrittsanlagen, die Trennung von Test- und Produktivdaten oder spezielle Vorgaben für besonders schützenswerte Daten. Wer diese Reihenfolge wählt, schafft rasch eine tragfähige Basis, ohne den Betrieb mit einem übergrossen Projekt zu blockieren.
Dokumentieren, prüfen und verständlich vermitteln
TOMs müssen auffindbar und aktuell sein. Eine übersichtliche Dokumentation beschreibt nicht nur einzelne Schutzmassnahmen, sondern auch Zuständigkeiten, Prüfrhythmen und offene Verbesserungen. Sie sollte mit dem Bearbeitungsverzeichnis, Regelungen zur Auftragsbearbeitung und dem Prozess für Datenschutzverletzungen zusammenpassen.
Eine zentrale DSMS-Plattform kann dabei helfen, Verantwortlichkeiten, Nachweise und Überprüfungen an einem Ort zu bündeln. Entscheidend bleibt jedoch die Umsetzung im Betrieb: Die beste Dokumentation nützt wenig, wenn Zugriffe weiterhin per Zuruf vergeben werden oder ein Sicherheitsvorfall niemanden erreicht.
Mitarbeitende brauchen keine juristische Schulung, aber klare Handlungsregeln für ihre Rolle. Kurze, wiederkehrende Hinweise zu Phishing, E-Mail-Versand, mobilen Geräten und Meldewegen sind meist wirksamer als ein einmaliges Schulungsdokument. Auch Führungskräfte sollten wissen, wann sie IT, HR oder die Datenschutzverantwortung einbeziehen müssen.
Der sinnvollste nächste Schritt ist daher nicht, möglichst viele TOMs abzuhaken. Prüfen Sie an einem konkreten Prozess - etwa dem Eintritt einer neuen Mitarbeiterin, dem Versand eines Kundendossiers oder der Zusammenarbeit mit einem Cloud-Anbieter - ob Schutz, Verantwortlichkeit und Dokumentation tatsächlich zusammenpassen. Dort, wo die Antwort noch unklar ist, liegt die nächste praktische Verbesserung.