Technische und organisatorische Maßnahmen (TOM)
gem. Artikel 32 Abs. 1 DS-GVO	Stand:

Unsere Kindertagesstätte hat im Sinne von Art. 32 DS-GVO folgende Maßnahmen zur Sicherheit der Verarbeitung personenbezogener Daten im Bereich der Verwaltung getroffen. Technische und organisatorische Maßnahmen ergänzen sich dabei.

1. Pseudonymisierung und Verschlüsselung personenbezogener Daten

Pseudonymisierung
Die Verarbeitung personenbezogener Daten in einer Weise, dass die Daten ohne Hinzuziehung zusätzlicher Informationen keiner betroffenen Person zugeordnet werden können, sofern diese zusätzlichen Informationen gesondert aufbewahrt werden und entsprechenden technischen und organisatorischen Maßnahmen unterliegen	
Technische Maßnahme	Organisatorische Maßnahme	
•	Pseudonymisierung der personenbezogenen Daten (z.B. Kind1, Kind2 etc.)
•	Im Falle der Pseudonymisierung: Trennung der Zuordnungsdaten und Aufbewahrung in getrenntem und abgesicherten System (mögl. verschlüsselt)	•	Interne Anweisung, personenbezogene Daten im Falle einer Weitergabe möglichst zu anonymisieren / pseudonymisieren	
Weitere Maßnahmen bitte hier beschreiben:	
2. Gewährleistung der Vertraulichkeit der Systeme und Dienste

Zutrittskontrolle
Maßnahmen, die sicherstellen, dass Unbefugte keinen Zutritt zu Räumen erhalten, in welchen Akten aufbewahrt werden bzw. Rechner oder Server mit personenbezogenen Daten die Kindertagesstätte betreffend (Daten der Kita-Kinder, Erzieher*innendaten, Verwaltungsdaten, …) stehen.	
Technische Maßnahme	Organisatorische Maßnahme	
•	Alarmanlage
•	Sicherheitsschlösser
•	Türen mit Knauf Außenseite
•	Code an Eingangstür
•	Videoüberwachung der Eingänge	•	Schlüsselregelung / Liste
•	Besucher*innen (z.B. Handwerker*innen) in Begleitung durch Mitarbeiter*innen
•	Dienstanweisung, die das Verschließen der Diensträume bei Abwesenheit vorsieht	
Weitere Maßnahmen bitte hier beschreiben:	

Zugangskontrolle
Maßnahmen, die verhindern, dass etwaige Unbefugte Computersysteme nutzen oder entsprechende Akten einsehen können.	
Technische Maßnahme	Organisatorische Maßnahme	
•	Login mit Benutzer*innenname/Passwort
•	Verschlüsselung von Datenträgern
•	Automatische Desktopsperre
•	USB-Ports gesperrt
•	Einsatz von Firewall und regelmäßige Aktualisierung 
•	Einsatz von Spamfilter und regelmäßige Aktualisierung
•	Einsatz von Virenscanner und regelmäßige Aktualisierung 
•	Datenschutztresor/abschließbare Schränke für analoge Daten	•	Verwalten von Benutzer*innenberechtigungen
•	Erstellen von Benutzer*innenprofilen
•	Richtlinie „Sicheres Passwort“ (z.B. Mindestanzahl Zeichen, Ziffern, Sonderzeichen usw., regelmäßiges Ändern des Passworts)
•	Anleitung „Manuelle Desktopsperre“
•	Monitore sichtgeschützt aufstellen	
Weitere Maßnahmen bitte hier beschreiben:

Zugriffskontrolle
Maßnahmen, die sicherstellen, dass Berechtigte nur Zugriff auf personenbezogene Daten haben, für welche eine dienstliche Notwendigkeit besteht.	
Technische Maßnahme	Organisatorische Maßnahme	
•	Aktenshredder
•	Physische Löschung von Datenträgern
•	Protokollierung von Zugriffen auf Anwendungen, konkret bei der Eingabe, Änderung und Löschung von Daten
	•	Minimale Anzahl an Administrator*innen
•	Verwaltung Benutzer*innenrechte durch Administrator*innen im Rahmen eines Rollen- und Berechtigungskonzeptes
•	Löschkonzept für digitale und analoge Daten
•	Individuelle Benutzer*innenkonten bei Nutzung eines PCs durch mehrere Personen	
Weitere Maßnahmen bitte hier beschreiben:	

3. Gewährleistung der Integrität der Systeme und Dienste

Eingabekontrolle
Maßnahmen, die es erlauben, nachträglich zu überprüfen, ob personenbezogene Daten, welche in den/die Kita-Computer eingegeben wurden, auch den angelieferten Daten entsprechen. Die Eingabe wird über eine Protokollierung auf Ebene des Systems oder der Anwendung kontrolliert.	
Technische Maßnahme	Organisatorische Maßnahme	
•	Technische Protokollierung der Eingabe, Änderung und Löschung von Daten	•	Aufbewahrung von Formularen, von denen Daten in automatisierte Verarbeitungen übernommen wurden
•	Klare Zuständigkeiten für Löschungen	
Weitere Maßnahmen bitte hier beschreiben:	

Weitergabekontrolle
Maßnahmen, die sicherstellen, dass personenbezogene Daten bei der digitalen Übermittlung oder der Speicherung oder beim Transport auf externen Datenträgern nicht unbefugt gelesen, kopiert, verändert oder gelöscht werden können.	
Technische Maßnahme	Organisatorische Maßnahme	
•	Email-Verschlüsselung
•	Protokollierung der Zugriffe und Abrufe
•	Verschlüsselte USB-Sticks 	•	Weitergabe in anonymisierter oder pseudonymisierter Form	
Weitere Maßnahmen bitte hier beschreiben:	

4. Gewährleistung der Verfügbarkeit und Belastbarkeit der Systeme und Dienste

Wahrung der Verfügbarkeit
Maßnahmen zur Wahrung der Verfügbarkeit sollen sicherstellen, dass die verarbeiteten personenbezogenen Daten auch nach einem Zwischenfall weiterhin zur Verfügung stehen, um den Betrieb wieder aufzunehmen.	
Technische Maßnahme	Organisatorische Maßnahme	
•	Feuer- und Rauchmeldeanlagen
•	Feuerlöscher Serverraum
•	USV-Gerät (unterbrechungsfreie Stromversorgung) Schutzsteckdosenleisten Serverraum
•	RAID-System (Festplattenspiegelung)
•	Datenschutztresor	•	Existenz eines Notfallplans
•	Regelmäßige Datensicherung auf externem Medium / Server des Trägers 	
Weitere Maßnahmen bitte hier beschreiben:	

Wahrung der Belastbarkeit
Maßnahmen, die sicherstellen sollen, dass die Datenverarbeitungssysteme vor Beeinträchtigung durch technische Störungen und Umwelteinflüsse geschützt sind.	
Technische Maßnahme	Organisatorische Maßnahme	
•	Serverraum klimatisiert
•	Serverraumüberwachung von Temperatur und Feuchtigkeit		
Weitere Maßnahmen bitte hier beschreiben:	

5. Wiederherstellung der Verfügbarkeit personenbezogener Daten und des Zugangs zu ihnen nach einem physischen oder technischen Zwischenfall

Technische Maßnahme	Organisatorische Maßnahme	
•	Redundanter Server	•	Backup & Wiederherstellungs-konzept
•	Kontrolle des Sicherungsvorgangs
•	Aufbewahrung der Sicherungsmedien an einem sicheren Ort außerhalb des Serverraums	
Weitere Maßnahmen bitte hier beschreiben:	

6. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der vorgenannten Maßnahmen

Datenschutz-Maßnahmen	
Technische Maßnahme	Organisatorische Maßnahme	
•	Zentrale Dokumentation aller Verfahrensweisen und Regelungen zum Datenschutz mit Zugriffsmöglichkeit für Mitarbeiter*innen nach Bedarf / Berechtigung (z.B. Wiki, Intranet …)
•	Anderweitiges dokumentiertes Sicherheitskonzept
•	Regelmäßige Überprüfung der Wirksamkeit der technischen Schutzmaßnahmen (Zeitraum bitte beschreiben, mindestens aber jährlich)	•	Interne(r) / externe(r) Datenschutzbeauftragte(r) Name / Firma / Kontaktdaten
•	Mitarbeiter*innen geschult und auf Vertraulichkeit, Datengeheimnis sowie Einhaltung der Datenschutzrichtlinie verpflichtet
•	Regelmäßige Sensibilisierung der Mitarbeiter*innen (mindestens jährlich)
	
Weitere Maßnahmen bitte hier beschreiben:	

………………………………              ……………………                  ...........................................................
Verantwortliche(r)		       Ort, Datum 		  Unterschrift