TOMs (Technische und organisatorische Maßnahmen)
Technische und organisatorische Maßnahmen (TOMs) sind nach Art. 32 DSGVO vorgeschriebene Schutzmaßnahmen, die ein angemessenes Sicherheitsniveau für personenbezogene Daten gewährleisten. Für Cannabis Social Clubs sind TOMs besonders wichtig, weil sie sensible Gesundheitsdaten und Abgabeprotokolle verarbeiten.
Welche TOMs muss ein Cannabis Social Club umsetzen?
Die DSGVO verlangt ein dem Risiko angemessenes Schutzniveau. Im CSC-Kontext umfasst das:
Technische Maßnahmen:
- Verschlüsselung: Daten in der Übertragung (HTTPS/TLS) und im Ruhezustand
- Zugriffskontrolle: Rollenbasierte Berechtigungen – Vorstand, Personal und Mitglieder sehen nur das Notwendige
- Zwei-Faktor-Authentifizierung: Für Verwaltungszugänge
- Backups: Regelmäßige, verschlüsselte Datensicherungen
- Audit-Logs: Protokollierung aller Zugriffe und Änderungen
- Pseudonymisierung: Wo möglich, Klardaten durch Kennungen ersetzen
Organisatorische Maßnahmen:
- Schulungen: Mitarbeitende und Vorstand für Datenschutz sensibilisieren
- Verpflichtungserklärungen: Alle Personen mit Datenzugriff auf Vertraulichkeit verpflichten
- Löschkonzept: Definierte Fristen, wann Daten gelöscht werden
- Notfallplan: Vorgehen bei Datenschutzverletzungen (Meldepflicht innerhalb von 72 Stunden)
- Zutrittskontrolle: Physischer Schutz der Räume mit Servern oder Dokumenten
Warum sind TOMs für CSCs besonders kritisch?
Cannabiskonsum-Daten gelten als Gesundheitsdaten nach Art. 9 DSGVO. Deren Verarbeitung ist grundsätzlich verboten – ein Datenleck könnte Mitglieder stigmatisieren. Daher müssen TOMs dem erhöhten Schutzbedarf gerecht werden.
Wo werden TOMs dokumentiert?
TOMs müssen schriftlich dokumentiert werden – typischerweise als Anlage zum Auftragsverarbeitungsvertrag und als Bestandteil des Verzeichnisses von Verarbeitungstätigkeiten. Prüfbehörden können die Dokumentation jederzeit anfordern.
Wie unterstützt Software die Umsetzung?
Cannanas implementiert die technischen TOMs systemseitig: Verschlüsselung, Rollensystem, Audit-Logs und automatische Löschroutinen. Der Verein muss die organisatorischen Maßnahmen ergänzen – etwa Schulungen und Verpflichtungserklärungen.
Häufige Fragen zu TOMs (Technische und organisatorische Maßnahmen)
TOMs sind konkrete Schutzmaßnahmen für personenbezogene Daten: z.B. Passwörter, Verschlüsselung, Zugriffsrechte, Backups, Schulungen und Zugangskontrollen zu Räumen und Systemen.
CSCs benötigen mindestens: verschlüsselte Datenspeicherung, rollenbasierte Zugriffsrechte, regelmäßige Backups, sichere Passwortrichtlinien und dokumentierte Prozesse für Datenpannen.