TOM im Maklerbüro: die Datenschutz-Checkliste

Ihr Verarbeitungsverzeichnis steht, die Datenschutzerklärung ist online, und trotzdem fragt eine Aufsichtsbehörde im Ernstfall zuerst nach etwas anderem: Welche Maßnahmen schützen die Kundendaten in Ihrem Büro tatsächlich? Genau das meint Artikel 32 der DSGVO mit „technischen und organisatorischen Maßnahmen“, kurz TOM. Der Gesetzestext bleibt bewusst abstrakt, weil er vom Ein-Personen-Büro bis zum Konzern passen muss. Für ein Zwei-Personen-Büro bedeutet das trotzdem eine überschaubare Zahl konkreter Handgriffe. Dieser Ratgeber übersetzt die Pflicht in eine Liste, die Sie abhaken können.

Was Art. 32 DSGVO von Ihnen verlangt (in einfachen Worten)

Artikel 32 der DSGVO trägt die Überschrift „Sicherheit der Verarbeitung“. Er verpflichtet Sie, „geeignete technische und organisatorische Maßnahmen“ zu treffen, damit personenbezogene Daten ein Schutzniveau erhalten, das zum Risiko passt. Der Text nennt selbst Beispiele: Verschlüsselung und Pseudonymisierung, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit Ihrer Systeme, die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen, sowie ein Verfahren, um die Wirksamkeit dieser Maßnahmen regelmäßig zu überprüfen.

Zwei Punkte sind für Makler entscheidend. Erstens ist die Pflicht risikobasiert: Je sensibler die Daten, desto mehr wird erwartet. Wer Gesundheitsangaben für eine Berufsunfähigkeits- oder Krankenversicherung verarbeitet, bewegt sich in den besonderen Kategorien nach Art. 9 DSGVO und muss entsprechend sorgfältiger absichern. Zweitens gilt die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO: Sie müssen Ihre Maßnahmen nicht nur umsetzen, sondern auch belegen können. Deshalb gehört eine allgemeine Beschreibung der TOM auch ins Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Den DSGVO-Text finden Sie bei dsgvo-gesetz.de, das BDSG bei gesetze-im-internet.de.

Das Gesamtbild dazu liefert unser Beitrag zu den DSGVO-Grundlagen für Makler.

Technische Maßnahmen: Bildschirmsperre, Verschlüsselung, 2FA, Backup

Technische Maßnahmen sind Einstellungen an Geräten und Software. Für ein kleines Büro sind das die Punkte mit dem größten Effekt pro Aufwand:

• Bildschirmsperre automatisch nach spätestens fünf Minuten Inaktivität aktivieren und zusätzlich manuell sperren, sobald Sie den Platz verlassen (Windows-Taste und L, am Mac Ctrl, Cmd und Q). Ohne PIN oder Passwort geht danach nichts mehr.
• Festplatten verschlüsseln: BitLocker unter Windows Pro, FileVault am Mac. Besonders Laptops und externe Datenträger, die das Büro verlassen, gehören verschlüsselt. Ein verlorener, aber verschlüsselter Laptop ist im Regelfall keine meldepflichtige Datenpanne.
• Zwei-Faktor-Authentifizierung (2FA) für alle Zugänge mit Kundendaten aktivieren: Maklerverwaltungsprogramm, E-Mail-Postfach, Cloud-Speicher, Pooldienste. Passwörter allein reichen heute nicht mehr aus. Details dazu in Passwörter und 2FA im Homeoffice.
• Automatische Backups einrichten, verschlüsseln und die Wiederherstellung mindestens einmal testen. Ein Backup, das noch nie zurückgespielt wurde, ist ein Versprechen ohne Beleg. Wie Sie das sauber aufsetzen, zeigt der Beitrag zu Backup und Datensicherung.
• Updates und Virenschutz aktuell halten. Betriebssystem, Browser und Verwaltungsprogramm zeitnah patchen, eine Firewall aktiv lassen. Orientierung bietet der IT-Grundschutz des BSI unter bsi.bund.de.
• E-Mails mit sensiblen Inhalten geschützt versenden, etwa als passwortgeschütztes, verschlüsseltes PDF oder über ein sicheres Kundenportal.

Organisatorische Maßnahmen: Berechtigungen, Clean Desk, Vertretung

Organisatorische Maßnahmen regeln, wer was tun darf und wie im Büro gearbeitet wird. Auch zu zweit lohnt sich Klarheit:

• Getrennte Benutzerkonten für jede Person, kein gemeinsam genutztes Administrator-Login. So bleibt nachvollziehbar, wer worauf zugreift.
• Berechtigungen nach dem Prinzip der geringsten Rechte vergeben: Zugriff nur auf das, was für die jeweilige Aufgabe nötig ist.
• Clean-Desk-Regel: Am Feierabend keine Unterlagen mit Kundendaten offen liegen lassen, Bildschirm gesperrt, Schlüssel für den Aktenschrank verwahrt.
• Vertretungsregelung für Urlaub und Krankheit festlegen, ohne Passwörter weiterzugeben. Richten Sie stattdessen einen dokumentierten Notfallzugang ein.
• Beschäftigte schriftlich auf Vertraulichkeit verpflichten. Diese Verpflichtungserklärung steht als eigene Maßnahme für sich und wird bei Versicherungsmaklern von der beruflichen Verschwiegenheit flankiert. Davon zu trennen ist die Weisungsbindung aus Art. 32 Abs. 4 DSGVO: Personen, die unter Ihrer Verantwortung Zugang zu den Daten haben, dürfen diese nur auf Ihre Weisung verarbeiten.
• Dienstleister mit Datenzugriff (Anbieter des Verwaltungsprogramms, Cloud, Newsletter-Tool) über einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO einbinden.
• Ein Löschkonzept festhalten, damit Daten nach Ablauf der Aufbewahrungsfristen zuverlässig verschwinden.

Papierakten und Büro physisch absichern

Datenschutz endet nicht am Bildschirm. Gerade Maklerbüros arbeiten oft noch mit Papier, von der Beratungsdokumentation bis zum unterschriebenen Antrag.

• Akten mit personenbezogenen Daten im abschließbaren Schrank aufbewahren, nicht offen im Regal.
• Zutritt kontrollieren: Wer besitzt Schlüssel, wird abends verlässlich abgeschlossen, sind Fenster und Türen gesichert.
• Alte Unterlagen mit einem Aktenvernichter beseitigen, der für personenbezogene Daten geeignet ist. Die DIN 66399 beschreibt Sicherheitsstufen; für gewöhnliche Kundenunterlagen ist Stufe P-4 eine verbreitete Empfehlung, für besonders sensible Unterlagen mit Gesundheitsdaten nach Art. 9 DSGVO sollte es eher Stufe P-5 sein.
• Besucher und Handwerker nicht unbeaufsichtigt in Räumen mit Akten oder offenen Bildschirmen lassen.
• Posteingang wegschließen und Ausdrucke nicht am Drucker liegen lassen.

TOM für Homeoffice und mobiles Arbeiten

Sobald Sie außerhalb des Büros arbeiten, am Küchentisch oder beim Kunden, gelten dieselben Pflichten unter schwierigeren Bedingungen.

• Zugriff auf die Bürosysteme nur über eine verschlüsselte Verbindung, etwa ein VPN.
• Dienstliche und private Nutzung trennen. Wenn private Geräte zum Einsatz kommen, braucht es klare Regeln, welche Daten dort überhaupt verarbeitet werden dürfen.
• Blickschutzfolie für den Laptop, wenn Sie in Bahn oder Café arbeiten, und keine Telefonate mit Kundendaten in Hörweite Fremder.
• Bildschirmsperre und Geräteverschlüsselung gelten zu Hause genauso wie im Büro.
• Papierunterlagen möglichst im Büro lassen. Müssen sie mit, dann in einer verschlossenen Tasche transportieren und nicht im Auto zurücklassen.

Die abhakbare TOM-Vorlage zum Selbst-Anlegen

Eine gute TOM-Dokumentation folgt der Logik von Art. 32 DSGVO. Übernehmen Sie die folgende Struktur in ein eigenes Dokument (Textdatei oder Tabelle), tragen Sie hinter jedem Punkt Ihren Ist-Stand ein und datieren Sie das Blatt. Damit haben Sie zugleich die Beschreibung für Ihr Verarbeitungsverzeichnis:

• Vertraulichkeit: Benutzerkonten, Berechtigungen, Bildschirmsperre, 2FA, verschlüsselte Geräte, abschließbare Schränke, Verpflichtung auf Vertraulichkeit.
• Integrität: Virenschutz, Updates, Protokollierung von Zugriffen, sichere Übertragung von Dokumenten.
• Verfügbarkeit und Belastbarkeit: Backups, getestete Wiederherstellung, Überspannungsschutz, Vertretungsregelung.
• Verfahren zur Überprüfung: Prüfdatum, verantwortliche Person, offene Punkte, nächster Termin.

Fertige Muster stellen mehrere Landesdatenschutzbehörden und Ihre IHK kostenlos bereit. Nutzen Sie diese als Rohbau und streichen Sie, was auf ein Zwei-Personen-Büro nicht zutrifft. Eine Vorlage entbindet Sie nicht davon, jeden Punkt an Ihre Realität anzupassen.

TOM regelmäßig prüfen und aktualisieren

Art. 32 Abs. 1 DSGVO verlangt ausdrücklich ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit. Für ein kleines Büro genügt in der Praxis ein fester Jahrestermin plus Anlassprüfungen:

• Einmal im Jahr die Liste durchgehen und das Datum aktualisieren.
• Bei jeder Änderung prüfen: neues Tool, neue Mitarbeiterin, Umzug, neuer Dienstleister.
• Änderungen kurz dokumentieren, damit Sie im Ernstfall die Entwicklung belegen können.

Kommt es trotzdem zu einer Panne, zählt Tempo. Wie Sie eine Meldung an die Aufsichtsbehörde fristgerecht abwickeln, lesen Sie unter Datenpanne in 72 Stunden melden.

Zwei-Personen-Büros müssen in der Regel keinen Datenschutzbeauftragten bestellen, die Schwelle in § 38 BDSG liegt üblicherweise bei 20 ständig mit der Datenverarbeitung beschäftigten Personen. Die TOM-Pflicht gilt trotzdem ab der ersten Kundenakte. Dieser Ratgeber ersetzt keine Rechtsberatung. Bei kniffligen Fragen, etwa zu Gesundheitsdaten oder Dienstleistern außerhalb der EU, holen Sie fachlichen Rat oder einen externen Datenschutzbeauftragten hinzu.