Top-Themen im Datenschutz:
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO sichern personenbezogene Daten vor unbefugtem Zugriff – professionell begleitet durch einen externen Datenschutzbeauftragten.
TOM sind keine Option, sondern gesetzliche Pflicht: Art. 32 DSGVO verpflichtet jeden Verantwortlichen und Auftragsverarbeiter, geeignete Maßnahmen zu treffen, um ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten zu gewährleisten.
Technische und organisatorische Maßnahmen umfassen alle Vorkehrungen, die personenbezogene Daten vor unbefugtem Zugriff, Verlust, Veränderung oder unbeabsichtigter Weitergabe schützen. Sie unterteilen sich in zwei Säulen:
Die DSGVO gibt keine abschließende Liste vor. Die konkreten Maßnahmen ergeben sich aus einer Risikoanalyse für jede einzelne Verarbeitungstätigkeit – strukturiert nach der SDM-Methode der DSK.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenArt. 32 Abs. 1 DSGVO nennt vier Schutzziele, die durch TOM gesichert werden müssen. Diese Ziele bilden das Fundament jeder datenschutzkonformen Sicherheitsarchitektur:
Ergänzend fordert Art. 32 Abs. 1 lit. d DSGVO ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der TOM. Datenschutz ist damit kein einmaliges Projekt, sondern ein dauerhafter Prozess.
Die DSGVO gibt keine starre Maßnahmenliste vor, aber Art. 32 und die Erwägungsgründe 76–83 beschreiben sechs Bereiche, die als Struktur für ein vollständiges TOM-Konzept dienen – und die sich von der veralteten BDSG-1990-Systematik der „acht Kontrollarten“ unterscheiden:
Maßnahmen zur Beschränkung des Zugangs auf autorisierte Personen:
Maßnahmen zur Sicherstellung der Korrektheit und Nachvollziehbarkeit:
Maßnahmen zur Aufrechterhaltung des Betriebs auch im Störungsfall:
Gemäß Art. 32 Abs. 1 lit. d DSGVO muss ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit aller TOM existieren:
Beim Einsatz von Auftragsverarbeitern muss weisungsgemäßes Handeln sichergestellt und dokumentiert sein:
Art. 25 DSGVO fordert datenschutzfreundliche Technikgestaltung von Beginn an:
Eine vollständige TOM-Dokumentation sollte mindestens folgende Elemente enthalten. Diese Mustervorlage dient als Einstiegspunkt zur strukturierten Selbstprüfung – gegliedert nach den sechs Maßnahmenbereichen des Art. 32 DSGVO:
Die vollständige TOM-Checkliste steht als PDF zum Download bereit.
Prüfen Sie mit einer kompakten Checkliste, ob Ihre technischen und organisatorischen Maßnahmen DSGVO-konform sind – inkl. aller 8 Kontrollarten nach §64 BDSG, kostenlos als Download.
Die Auswahl der TOM ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Der Niedersächsische Landesbeauftragte für den Datenschutz empfiehlt einen strukturierten Acht-Schritte-Prozess, der sich in der Praxis bewährt hat:
Art. 32 Abs. 1 DSGVO fordert die Berücksichtigung des „Stands der Technik“. Das bedeutet nicht, dass stets die teuerste Lösung gewählt werden muss. Drei Faktoren bestimmen die Angemessenheit:
Das Standard-Datenschutzmodell (SDM) der Bundesbeauftragten für den Datenschutz bietet einen strukturierten Bewertungsrahmen für die Auswahl angemessener TOM.
Seit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) im Dezember 2025 gelten für Unternehmen in 18 Sektoren verbindliche Cybersicherheitspflichten. Art. 21 Abs. 1 und 2 der NIS-2-Richtlinie fordert von betroffenen Einrichtungen ein umfassendes Risikomanagement. Die Anforderungen überschneiden sich erheblich mit TOM nach Art. 32 DSGVO:
Die NIS-2-Richtlinie gilt für „wesentliche“ und „wichtige“ Einrichtungen: Energie, Gesundheit, digitale Infrastruktur sowie verarbeitendes Gewerbe ab 50 Mitarbeitenden und 10 Mio. Euro Jahresumsatz.
Einer Bitkom-Einschätzung zufolge sind allein in Deutschland rund 30.000 Unternehmen betroffen – darunter viele mittelständische B2B-Dienstleister. Unternehmen mit einem soliden TOM-Konzept nach Art. 32 DSGVO haben dabei einen klaren Vorsprung: Die Maßnahmenbereiche sind weitgehend deckungsgleich, sodass bestehende Dokumentationen gezielt erweitert werden können.
Wer personenbezogene Daten an Auftragsverarbeiter übergibt – etwa Cloud-Anbieter, Softwaredienstleister oder externe IT-Dienstleister –, muss sicherstellen, dass diese geeignete TOM nachweisen können. Art. 28 DSGVO regelt die Pflichten des Auftraggebers:
Die Pflicht zur Prüfung trifft den Auftraggeber – es reicht nicht, auf Eigenaussagen des Dienstleisters zu vertrauen. Zertifizierungen nach ISO 27001 oder das BSI IT-Grundschutz Kompendium können als anerkannte Nachweise herangezogen werden.
ISO 27001 ist die internationale Norm für Informationssicherheitsmanagementsysteme (ISMS). Die Anforderungen überschneiden sich erheblich mit Art. 32 DSGVO: Unternehmen, die nach ISO 27001 zertifiziert sind, erfüllen die wesentlichen TOM-Anforderungen in der Regel bereits.
Umgekehrt schafft ein dokumentiertes TOM-Konzept eine solide Grundlage für eine spätere ISO-27001-Zertifizierung. Beide Systeme lassen sich im Rahmen eines integrierten Datenschutz- und Sicherheitsmanagementsystems (DSMS) umsetzen. Seit 2025 ergänzt ISO 27701 die ISO 27001 explizit um Datenschutzanforderungen und bildet damit eine direkte Brücke zu den DSGVO-Anforderungen – auch für international tätige Unternehmen.
Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verpflichtet Unternehmen, die Einhaltung der DSGVO nachzuweisen. Wer keine Dokumentation vorlegen kann, kann die Einhaltung nicht beweisen – ein strukturiertes Datenschutzkonzept legt dabei die Grundlage für alle weiteren Nachweise.
Eine vollständige TOM-Dokumentation umfasst:
Die TOM-Dokumentation ist Teil des Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO und muss der Datenschutzbehörde auf Verlangen vorgelegt werden können.
Verstöße gegen Art. 32 DSGVO zählen zu den am häufigsten sanktionierten Pflichtverletzungen. Das Sanktionsregime ist mehrstufig:
Von rund 3.200 dokumentierten DSGVO-Bußgeldfällen betrafen etwa 550 direkt die Datensicherheit nach Art. 32 – ein eindeutiges Signal, dass Aufsichtsbehörden TOM aktiv und regelmäßig prüfen.
Eine umfassende Beratung zu allen Themen rund um die DSGVO aus einer Hand, damit Sie gesetzliche Anforderungen effizient umsetzen und Ihre Daten sicher verwalten können.
Der Datenschutzbeauftragte (DSB) übernimmt gemäß Art. 39 DSGVO eine zentrale Funktion bei der TOM-Umsetzung. Die Rolle ist beratend und überwachend – die rechtliche Verantwortung liegt beim Verantwortlichen:
Ein externer Datenschutzbeauftragter bringt Erfahrung aus vergleichbaren Unternehmen und Branchen ein, kann TOM-Konzepte pragmatisch und rechtskonform gestalten und entlastet die interne Compliance-Abteilung nachhaltig.
TOM schützen nicht nur personenbezogene Daten, sondern stärken das Vertrauen von Kunden und Geschäftspartnern, reduzieren das Haftungsrisiko bei Datenpannen und sind Voraussetzung für Zertifizierungen wie ISO 27001 und NIS-2-Compliance. Gut dokumentierte TOM erleichtern außerdem Audits und behördliche Prüfungen erheblich.
Art. 32 DSGVO gibt keine abschließende Liste vor. Ausdrücklich gefordert sind Pseudonymisierung und Verschlüsselung sowie Maßnahmen zur Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit. Die genauen Maßnahmen ergeben sich aus der individuellen Risikoanalyse je Verarbeitungstätigkeit.
Der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO ist für die Festlegung und Umsetzung der TOM zuständig. Der Datenschutzbeauftragte berät und überwacht, trägt aber keine rechtliche Mitverantwortung für die gewählten Maßnahmen.
Ab dem ersten Moment, in dem personenbezogene Daten verarbeitet werden. Das gilt für jedes Unternehmen unabhängig von Größe, Rechtsform oder Branche – auch für Kleinstunternehmen, die nur Mitarbeiterdaten verwalten.
Art. 32 Abs. 1 lit. d DSGVO fordert ein Verfahren zur regelmäßigen Überprüfung. Eine jährliche Revision gilt als Mindeststandard; bei risikoreichen Verarbeitungen, nach Sicherheitsvorfällen oder bei relevanten Änderungen an Systemen und Prozessen sollte die Überprüfung häufiger stattfinden.
Die Kosten variieren stark nach Unternehmensgröße, Branche und Komplexität der Verarbeitungen. Grundlegende Maßnahmen wie Passwortrichtlinien, Berechtigungskonzepte und Mitarbeiterschulungen sind oft mit überschaubarem Aufwand umsetzbar. Cortina Consult bietet skalierbare Beratungspakete ab 125 Euro monatlich.
ISO 27001 verlangt den Aufbau eines Informationssicherheitsmanagementsystems (ISMS), das weitgehend mit den TOM-Anforderungen nach Art. 32 DSGVO übereinstimmt. Eine ISO-27001-Zertifizierung erleichtert den Nachweis gegenüber Datenschutzbehörden erheblich und kann als Beleg für angemessene TOM herangezogen werden.
Professioneller Datenschutz zum Budget-Preis mit Software, Schulungen, Audits & Vorlagen inklusive
Wir helfen Unternehmen dabei, die Anforderungen der DSGVO im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen. Als Beratungsdienstleister und externer Datenschutzbeauftragter sorgen wir für die Einhaltung der DSGVO-Vorgaben bei der Verarbeitung von personenbezogenen Daten in Ihrem Unternehmen.
Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Embedded Content. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von HubSpot. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Hubspot Meetings. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen