TOMs bilden das Fundament eines wirksamen Datenschutzes. In der Praxis entstehen Probleme jedoch häufig nicht, weil TOMs fehlen, sondern weil sie veraltet sind oder im Arbeitsalltag nicht konsequent umgesetzt werden. Neue Arbeitsweisen, Clouddienste und KI-Anwendungen machen eine regelmässige Überprüfung deshalb wichtiger denn je.

Auch wenn Sie die Fragen der vorherigen Checkliste überwiegend mit „Ja“ beantworten konnten, bedeutet das noch nicht automatisch, dass die TOMs im Unternehmensalltag tatsächlich wirksam funktionieren. Gerade im Datenschutz entstehen Probleme häufig nicht durch einzelne gravierende Fehler, sondern durch viele kleine organisatorische Schwachstellen im Alltag. Werden Berechtigungen nie überprüft, Dienstleister nicht kontrolliert oder neue KI-Tools unbemerkt genutzt, entstehen schnell erhebliche Risiken für Unternehmen.

Unternehmen arbeiten heute in nahezu allen Bereichen mit externen Dienstleistern zusammen. Cloudanbieter, Softwareanbieter, externe IT-Dienstleister, Supportunternehmen oder Hostinganbieter greifen dabei häufig auf Personendaten zu oder bearbeiten diese im Auftrag des Unternehmens. Dabei wird in der Praxis häufig unterschätzt: Die datenschutzrechtliche Verantwortung geht regelmässig über das eigene Unternehmen hinaus.

Viele der zuvor dargestellten Schwachstellen zeigen sich derzeit besonders häufig beim Einsatz von KI-Systemen – etwa Schatten-IT, unkontrollierte Datenflüsse oder unzureichend geprüfte Dienstleister. KI stellt bestehende TOMs zunehmend auf den Prüfstand. Durch neue KI-Anwendungen und integrierte KI-Funktionen verändern sich Datenflüsse und Risikolagen oft erheblich. Datenschutzberater sollten daher regelmässig prüfen, ob die vorhandenen TOMs diese Entwicklungen ausreichend berücksichtigen.

TOMs lassen sich im Unternehmensalltag nur selten „nebenbei“ überprüfen. Wer alle TOMs gleichzeitig prüfen will, verliert schnell den Überblick. Sinnvoller ist es, strukturiert und schrittweise vorzugehen. Bereits mit überschaubarem Aufwand lassen sich häufig erhebliche Schwachstellen erkennen und erste Verbesserungen umsetzen. Der folgende 4-Wochen-Aktionsplan greift die zentralen Prüffelder dieses Themenhefts auf – von der allgemeinen TOM-Prüfung über typische Praxisfallen bis hin zu Dienstleistern und KI-Systemen. So können Sie die Schwachstellen systematisch prüfen und Schritt für Schritt beheben.