Technische und organisatorische Maßnahmen (TOM)

Wie werden die richtigen TOM ausgewählt?

Die Auswahl der TOM ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Ein strukturierter, risikobasierter Ablauf hat sich in der Praxis bewährt. Er lässt sich in acht Schritte gliedern:

1. Verarbeitungstätigkeit beschreiben: Welche Daten werden verarbeitet, von wem, zu welchem Zweck und mit welchen Systemen?
2. Rechtliche Grundlagen prüfen: Welche Anforderungen gelten aus DSGVO, BDSG und branchen- oder sektorspezifischem Recht (z. B. KRITIS, NIS-2)?
3. Strukturanalyse durchführen: Welche IT-Systeme, Prozesse und Personen sind an der Verarbeitung beteiligt?
4. Risiken identifizieren: Wie hoch sind Eintrittswahrscheinlichkeit und potenzielle Schäden für die betroffenen Personen?
5. Schutzmaßnahmen auswählen: Welche TOM reduzieren die identifizierten Risiken auf ein akzeptables Niveau?
6. Restrisiko bewerten: Ist das verbleibende Risiko tragbar, oder sind weitere Maßnahmen erforderlich?
7. Gesamtheit der Maßnahmen überprüfen: Greifen alle gewählten TOM kohärent ineinander und schließen sich keine Lücken?
8. Maßnahmen umsetzen und überwachen: Dokumentation, Schulung der Mitarbeitenden, regelmäßige Überprüfung und Anpassung.

Stand der Technik vs. Verhältnismäßigkeit

Art. 32 Abs. 1 DSGVO fordert die Berücksichtigung des „Stands der Technik“. Das bedeutet nicht, dass stets die teuerste Lösung gewählt werden muss. Drei Faktoren bestimmen die Angemessenheit:

• Risikohöhe: Je sensibler die verarbeiteten Daten (z. B. Gesundheitsdaten nach Art. 9 DSGVO), desto höhere Schutzanforderungen gelten.
• Stand der Technik: Technologisch verfügbare, am Markt etablierte und allgemein anerkannte Schutzmaßnahmen sind umzusetzen.
• Wirtschaftliche Zumutbarkeit: Die Kosten der Maßnahmen müssen im Verhältnis zur Unternehmensgröße, dem Verarbeitungsumfang und dem konkreten Risiko stehen.

Das Standard-Datenschutzmodell (SDM) der Datenschutzkonferenz (DSK) bietet einen strukturierten Bewertungsrahmen für die Auswahl angemessener TOM.

TOM und NIS-2 – Überschneidungen und neue Anforderungen

Seit dem 6. Dezember 2025 gilt das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG). Betroffene Einrichtungen aus 18 Sektoren müssen seitdem verbindliche Cybersicherheitspflichten erfüllen. Ein umfassendes Risikomanagement fordern § 30 BSIG und Art. 21 der NIS-2-Richtlinie. Die Anforderungen überschneiden sich erheblich mit TOM nach Art. 32 DSGVO:

• Konzepte für Risikoanalyse und Informationssicherheitspolitik
• Sicherheit in der Lieferkette – Auftragsverarbeiter und Drittanbieter einschließen
• Zugriffskontrolle und Multifaktor-Authentifizierung
• Kryptografie und Verschlüsselung
• Schulungen zur Cybersicherheit für Mitarbeitende und Führungsebene
• Business Continuity Management und Krisenmanagement

Wer ist von NIS-2 betroffen?

Betroffen sind „wesentliche” und „wichtige” Einrichtungen aus 18 Sektoren, z. B. Energie, Gesundheit, digitale Infrastruktur und verarbeitendes Gewerbe. Maßgeblich ist neben dem Sektor die Größe: in der Regel ab 50 Beschäftigten oder, wenn Jahresumsatz und Bilanzsumme jeweils über 10 Mio. Euro liegen (§ 28 BSIG).

Schätzungen zufolge sind allein in Deutschland rund 29.500 Einrichtungen betroffen – darunter viele mittelständische B2B-Dienstleister. Unternehmen mit einem soliden TOM-Konzept nach Art. 32 DSGVO haben dabei einen klaren Vorsprung: Die Maßnahmenbereiche sind weitgehend deckungsgleich, sodass bestehende Dokumentationen gezielt erweitert werden können.

TOM bei der Auftragsverarbeitung

Wer personenbezogene Daten an Auftragsverarbeiter übergibt – etwa Cloud-Anbieter, Softwaredienstleister oder externe IT-Dienstleister –, muss sicherstellen, dass diese geeignete TOM nachweisen können. Art. 28 DSGVO regelt die Pflichten des Auftraggebers:

• TOM des Auftragsverarbeiters vor Vertragsabschluss prüfen und in der eigenen Dokumentation festhalten
• Abschluss eines Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO mit konkreten Weisungen zu einzuhaltenden TOM
• Regelmäßige Kontrollen und vertraglich vereinbarte Auditrechte, um die fortlaufende Einhaltung zu sichern
• Änderungen an den TOM des Auftragsverarbeiters vorab kommunizieren lassen
• Datenvernichtung oder -rückgabe nach Auftragsende vertraglich regeln und dokumentieren

Die Pflicht zur Prüfung trifft den Auftraggeber – es reicht nicht, auf Eigenaussagen des Dienstleisters zu vertrauen. Zertifizierungen nach ISO 27001 (auch auf Basis von IT-Grundschutz) können als Nachweis dienen. Das BSI IT-Grundschutz Kompendium liefert dafür einen praxisnahen Maßnahmenkatalog.

TOM und ISO 27001 – Synergien nutzen

ISO 27001 ist die internationale Norm für Informationssicherheitsmanagementsysteme (ISMS). Die Anforderungen überschneiden sich erheblich mit Art. 32 DSGVO: Eine ISO-27001-Zertifizierung deckt viele TOM-Anforderungen ab und erleichtert den Nachweis. Sie ersetzt aber nicht die Prüfung der einzelnen Verarbeitung nach Art. 32 DSGVO.

Die Norm ISO/IEC 27701 ergänzt das Informationssicherheitsmanagement um ein Datenschutzmanagementsystem und bildet damit eine Brücke zu den DSGVO-Anforderungen – auch für international tätige Unternehmen.

Umgekehrt schafft ein dokumentiertes TOM-Konzept eine solide Grundlage für eine spätere ISO-27001-Zertifizierung. Beide Systeme lassen sich im Rahmen eines integrierten Datenschutz- und Sicherheitsmanagementsystems (DSMS) umsetzen.

Dokumentation und Nachweis von TOM

Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verpflichtet Unternehmen, die Einhaltung der DSGVO nachzuweisen. Wer keine Dokumentation vorlegen kann, kann die Einhaltung nicht beweisen – ein strukturiertes Datenschutzkonzept legt dabei die Grundlage für alle weiteren Nachweise.

Eine vollständige TOM-Dokumentation umfasst:

• Beschreibung aller Maßnahmen: technisch und organisatorisch, je Verarbeitungstätigkeit
• Risikoanalyse: Bewertung des Schutzbedarfs und Begründung der gewählten Maßnahmen
• Zuordnung von Verantwortlichkeiten: wer ist für welche Maßnahme zuständig?
• Nachweise über Schulungen: Datum, Teilnehmer, Inhalt der Schulungsmaßnahmen
• Protokolle über Überprüfungen: Audits, Penetrationstests, Anpassungen mit Datum
• DSFA-Ergebnisse bei hochriskanten Verarbeitungstätigkeiten nach Art. 35 DSGVO

Im Verzeichnis von Verarbeitungstätigkeiten wird – wenn möglich – eine allgemeine Beschreibung der TOM aufgenommen (Art. 30 Abs. 1 lit. g DSGVO). Die vollständige TOM-Dokumentation dient als Nachweis nach Art. 5 Abs. 2 und Art. 24 DSGVO und sollte der Aufsichtsbehörde auf Verlangen vorgelegt werden können.

Typische Fehler bei TOM

Aufsichtsbehörden beanstanden bei TOM immer wieder ähnliche Schwächen. Diese Punkte zeigen sich in aktuellen Verfahren:

• Maßnahmen geplant, aber nicht umgesetzt: Im Verfahren gegen France Travail waren geeignete Maßnahmen bereits in Datenschutz-Folgenabschätzungen identifiziert, wurden aber nicht umgesetzt (Mitteilung der CNIL). So beheben Sie es: Jeder Maßnahme Verantwortliche und Termine zuordnen und die Umsetzung im regelmäßigen Audit nachhalten.
• Zu schwache Authentifizierung und zu weite Zugriffsrechte: Berater konnten auf Daten von Personen zugreifen, die sie gar nicht betreuten. So beheben Sie es: Mehrfaktor-Authentifizierung einführen und Berechtigungen nach dem Prinzip „nur, was für die Aufgabe nötig ist” vergeben und regelmäßig prüfen.
• Fehlende Protokollierung: Ungewöhnliche Zugriffe blieben unentdeckt. So beheben Sie es: Zugriffe auf personenbezogene Daten nachvollziehbar protokollieren und auf Auffälligkeiten auswerten.
• TOM einmal festgelegt und nie angepasst: Der Landesbeauftragte für Datenschutz Baden-Württemberg betonte im AOK-Fall, dass TOM regelmäßig an die tatsächlichen Verhältnisse angepasst werden müssen. So beheben Sie es: Überprüfungsturnus festlegen (Art. 32 Abs. 1 lit. d DSGVO) und Ergebnisse dokumentieren.

Konsequenzen bei mangelnden TOM

Verstöße gegen Art. 32 DSGVO zählen zu den am häufigsten sanktionierten Pflichtverletzungen. Das Sanktionsregime ist mehrstufig:

• DSGVO-Bußgelder bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 4 DSGVO), bei Verstößen gegen Datensicherheitspflichten
• Schadenersatzansprüche betroffener Personen nach Art. 82 DSGVO; ersatzfähig ist auch ein immaterieller Schaden, der aber nachgewiesen werden muss

Beispiele aus der Aufsichtspraxis

• Meta Platforms (2024): 91 Mio. Euro wegen unzureichender Absicherung von Passwortdaten (Mitteilung der Data Protection Commission, Irland)
• AOK Baden-Württemberg (2020): 1,24 Mio. Euro Bußgeld nach Art. 32 DSGVO. Interne Richtlinien und Schulungen sollten sicherstellen, dass nur Daten von Gewinnspielteilnehmern mit Einwilligung für Werbung genutzt werden. Die Maßnahmen reichten nicht aus: Daten von mehr als 500 Teilnehmenden wurden ohne Einwilligung verwendet (Pressemitteilung des LfDI Baden-Württemberg)

Laut dem GDPR Enforcement Tracker Report 2026 (Stand: 1. März 2026) sind mehr als 3.000 DSGVO-Bußgeldfälle dokumentiert. Unzureichende technische und organisatorische Maßnahmen gehören dabei zu den häufigsten Bußgeldgründen – ein eindeutiges Signal, dass Aufsichtsbehörden TOM aktiv und regelmäßig prüfen.