TOM Datenschutz: Diese technischen und organisatorischen Maßnahmen musst du kennen

Die DSGVO schreibt vor, dass bei der Verarbeitung von personenbezogenen Daten bestimmte Maßnahmen zu deren Schutz getroffen werden – auch technisch organisatorische Maßnahmen (TOM) genannt. Diese Maßnahmen sollen sicherstellen, dass insbesondere die Integrität und Vertraulichkeit von personenbezogenen Daten gewahrt werden und die Verarbeitung sicher ist.

Bedeutung von TOM im Datenschutz

Wenn es um Datenschutz nach DSGVO geht, sind technische und organisatorische Maßnahmen – kurz TOM – ein zentrales Thema. In diesem Artikel erfährst du, was unter TOM im Datenschutz verstanden wird, warum sie wichtig sind und wie du sie richtig umsetzt.

Technische und organisatorische Maßnahmen (TOM) im Datenschutz sind entscheidend, um personenbezogene Daten wirksam zu schützen. Denn Daten zählen heute zu den wertvollsten Ressourcen – nicht nur für große Unternehmen, sondern auch für kleine Betriebe, Vereine und öffentliche Einrichtungen. Gleichzeitig steigen die Risiken: Cyberangriffe, Datenpannen und menschliche Fehler können schwerwiegende Folgen haben.

Gesetzliche Grundlage (Art. 32, 24, 25, BDSG §64)

Die Datenschutz-Grundverordnung (DSGVO) verpflichtet daher alle Verantwortlichen, geeignete technische und organisatorische Maßnahmen (TOM) zu treffen, um personenbezogene Daten zu schützen.  

Gemäß Art. 32 DSGVO müssen die Maßnahmen ein Schutzniveau bieten, das dem jeweiligen Risiko angemessen ist. Entscheidend ist eine individuelle Risikobewertung sowie die kontinuierliche Anpassung an neue Bedrohungslagen. In diesem Beitrag erfahren Sie, was unter TOM im Datenschutz-Kontext zu verstehen ist, welche Anforderungen die DSGVO stellt und wie sie praktisch umgesetzt werden können. 

Technische und organisatorische Maßnahmen (TOM) sind Schutzvorkehrungen, mit denen personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Missbrauch gesichert werden sollen. Die Grundlage dafür ist Art. 32 Abs. 1 DSGVO, der insbesondere folgende Aspekte nennt: 

• Stand der Technik

• Implementierungskosten

• Art, Umfang, Umstände und Zwecke der Verarbeitung

• sowie Risiken für die Rechte und Freiheiten betroffener Personen. 

TOM unterteilen sich in: 

• Technische Maßnahmen, wie Verschlüsselung, Firewalls oder Zugangskontrollen, 
• Organisatorische Maßnahmen, wie Schulungen, interne Richtlinien oder Zugriffsregelungen. 

Je höher das Risiko der Verarbeitung, desto umfassender und strenger müssen die Maßnahmen ausgestaltet sein. Besonders bei sensiblen Daten – etwa Gesundheits- oder Finanzdaten – sind erweiterte Schutzvorkehrungen zwingend erforderlich. 

Wichtig: Maßnahmen dürfen nicht einmalig festgelegt werden. Verantwortliche müssen sie regelmäßig überprüfen und bei veränderten Risiken anpassen. 

Technische Maßnahmen 

Technische Maßnahmen dienen dem Schutz personenbezogener Daten durch gezielte technische Vorkehrungen. Art. 32 Abs. 1 lit. a DSGVO nennt konkrete Beispiele: 

• Verschlüsselung schützt Daten bei Übertragung und Speicherung und verhindert unbefugten Zugriff. 
• Pseudonymisierung reduziert Risiken, indem personenbezogene Daten ohne zusätzliche Informationen keiner Person zugeordnet werden können (Art. 4 Nr. 5 DSGVO). 
• Zugangskontrollen (z. B. Passwortschutz, Zwei-Faktor-Authentifizierung, rollenbasierte Rechtevergabe) sichern den Zugriff auf personenbezogene Daten. 
• Firewalls und Antivirensoftware schützen Systeme und Netzwerke vor Schadprogrammen und unbefugtem Zugriff. 
• Regelmäßige Software-Updates und Patches schließen bekannte Sicherheitslücken und erhalten die IT-Sicherheit. 

Organisatorische Maßnahmen 

Organisatorische Maßnahmen ergänzen die Technik, indem sie interne Prozesse und Verhaltensregeln steuern: 

• Schulungen und Sensibilisierung der Mitarbeitenden fördern Datenschutzbewusstsein und verhindern Fehler. 
• Berechtigungskonzepte regeln den Datenzugriff nach dem Need-to-know-Prinzip. 
• Datenschutzrichtlinien und klare Anweisungen schaffen verbindliche Regeln zum sicheren Umgang mit Daten. 
• Notfallkonzepte und Backup-Strategien sorgen für schnelle Wiederherstellung bei Datenverlust oder IT-Ausfällen. 
• Datenschutzfreundliche Voreinstellungen (Privacy by Default) stellen sicher, dass Systeme standardmäßig datensparsam arbeiten (Art. 25 Abs. 2 DSGVO). 

Wie lässt sich der Datenschutz durch TOM verbessern?

• Zutrittskontrolle: Verhindern den unkontrollierten Zugang zu Orten, in denen sich IT-Systemen befinden.
• Zugangskontrolle: Stellt sicher, dass nachvollzogen werden kann, wer Zugang zu IT-Systemen hatte.
• Zugriffskontrolle: Beschränkter stellt sicher, dass nur für autorisierte Personen auf personenbezogene Daten zugreifen können.
• Weitergabekontrolle: Schutz der Daten während der Übertragung.
• Eingabekontrolle: Stellt sicher, dass jeder Dateneingabe nachvollzogen werden kann.
• Auftragskontrolle: Stellt sicher, dass Auftragnehmer nur in kontrollierter Weise mit personenbezogenen Daten umgehen.
• Verfügbarkeitskontrolle: Stellt sicher, dass personenbezogene Daten verfügbar sind und nicht bei IT-Fehlern nicht dauerhaft verloren gehen.
• Trennungsgebot: Stellt sicher, dass personenbezogenen Daten für verschiedene Zwecke getrennt verarbeitet werden.

Welche konkreten Maßnahmen für Ihr Unternehmen erforderlich sind, sollte unbedingt anhand einer individuellen Risikoanalyse bestimmt werden.

Warum sind technische und organisatorische Maßnahmen (TOM) im Datenschutz wichtig? 

Ziel der TOM ist es, nach den aktuellen technologischen Entwicklungen einen angemessenen Datenschutz zu gewährleisten. Bei der Umsetzung der TOM sollte daher eine gründliche Risikobewertung erfolgen, damit dem Risiko angemessene Maßnahmen getroffen werden können. Wenn etwa ein Server oder Netzwerklaufwerk ausfällt muss es möglich sein, die Daten aus Back-ups wieder herstellen zu können.

TOM sind der zentrale Baustein eines wirksamen Datenschutzkonzepts. Sie schützen nicht nur personenbezogene Daten, sondern auch Organisationen selbst vor rechtlichen, finanziellen und reputativen Schäden. 

Schutz der Rechte und Freiheiten betroffener Personen 

Die DSGVO schützt die Rechte natürlicher Personen. Werden personenbezogene Daten nicht ausreichend gesichert, drohen gravierende Folgen für die Betroffenen – etwa Identitätsdiebstahl, Diskriminierung oder wirtschaftlicher Schaden. 

Vermeidung von Datenschutzverletzungen 

Gemäß Art. 4 Nr. 12 DSGVO liegt eine Datenschutzverletzung vor, wenn es zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung personenbezogener Daten kommt. TOM sollen genau solche Vorfälle verhindern oder deren Folgen minimieren. 

Minimierung von Bußgeldern und Reputationsschäden 

Verstöße gegen die Pflichten aus Art. 32 DSGVO können erhebliche Bußgelder nach sich ziehen – bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4 und 5 DSGVO). Zudem drohen langfristige Schäden für das Vertrauen von Kunden, Partnern und Mitarbeitenden. 

Pflicht zur kontinuierlichen Anpassung 

TOM müssen stetig an neue Bedrohungslagen und technische Entwicklungen angepasst werden. Cyberangriffe, neue Angriffsmethoden oder organisatorische Veränderungen erfordern eine regelmäßige Überprüfung und Aktualisierung der Schutzmaßnahmen. 

Risikoanalyse und angemessenes Schutzniveau für TOM im Datenschutz

Die DSGVO gibt keine abschließende Liste von Schutzmaßnahmen vor. Stattdessen müssen Organisationen individuell prüfen, welche Maßnahmen erforderlich sind.  
Maßgeblich sind dabei: 

Risikoabschätzung 

Eine fundierte Risikoabschätzung ist die Grundlage jeder Auswahl. Sie bewertet Eintrittswahrscheinlichkeit und mögliche Auswirkungen von Datenschutzverletzungen. 

Stand der Technik  

Maßnahmen müssen dem aktuellen Stand der Technik entsprechen. Veraltete Systeme oder schwache Verschlüsselungen erfüllen die Anforderungen der DSGVO nicht. 

Implementierungskosten 

Wirtschaftliche Überlegungen dürfen berücksichtigt werden, dürfen aber nicht dazu führen, dass notwendige Schutzmaßnahmen unterbleiben. 

Art, Umfang und Zweck der Verarbeitung 

Je sensibler die Daten oder je größer das Datenvolumen, desto höher sind die Anforderungen an die TOM. Verarbeitungsvorgänge müssen immer im Einzelfall betrachtet werden. 

Sicherheit der Datenverarbeitung: Das sind die Anforderungen der DSGVO 

Art. 32 DSGVO fordert, dass Organisationen vier Schutzziele sicherstellen: 

• Vertraulichkeit: Schutz vor unbefugtem Zugriff (z. B. durch Zugangskontrollen, Verschlüsselung). 

• Integrität: Schutz vor unbefugter Veränderung oder Verlust (z. B. durch Prüfsummen oder Versionierung). 

• Verfügbarkeit: Sicherstellung, dass Daten bei Bedarf zugänglich sind (z. B. durch Backups und Ausfallsicherungen). 

• Belastbarkeit: Systeme müssen auch bei hoher Last oder nach Störungen funktionsfähig bleiben. 

Zusätzlich verlangt die DSGVO regelmäßige Überprüfung und Anpassung der Schutzmaßnahmen, um neue Risiken rechtzeitig zu erkennen. 

Besonderheiten für kleine Unternehmen, Vereine und ehrenamtliche Organisationen 

Die DSGVO gilt unabhängig von der Größe der Organisation. Allerdings dürfen kleine Organisationen den Grundsatz der Verhältnismäßigkeit nutzen: 

• Maßnahmen müssen dem konkreten Risiko angemessen sein. 

• Basisschutz wie sichere Passwörter, regelmäßige Updates, Sensibilisierung der Mitarbeitenden und verschlüsselte Kommunikation ist Pflicht. 

Auch kleine Organisationen müssen ihre Maßnahmen dokumentieren, um sie bei Bedarf gegenüber Behörden nachweisen zu können. 

Ein schrittweises Vorgehen hilft: 

• Risiken analysieren, 

• bestehende Maßnahmen erfassen, 

• Schutz verbessern, 

• Maßnahmen regelmäßig überprüfen. 

Folgen unzureichender technischer und organisatorischer Maßnahmen 

Wer keine angemessenen TOM im Datenschutz trifft, riskiert erhebliche Folgen: 

• Bußgelder bis 20 Millionen Euro oder 4 % des Jahresumsatzes (Art. 83 Abs. 4 und 5 DSGVO). 

• Reputationsverluste, wenn Datenschutzvorfälle öffentlich werden. 

• Haftungsansprüche von betroffenen Personen auf Schadenersatz (Art. 82 DSGVO). 

• Behördliche Anordnungen, wie Untersagung von Verarbeitungen oder Auflagen. 

Ein fehlendes Budget oder geringe Ressourcen entbinden nicht von der Pflicht zur Umsetzung angemessener Schutzmaßnahmen. 

Fazit 

Technische und organisatorische Maßnahmen sind entscheidend für einen wirksamen Datenschutz. Sie müssen risikobasiert ausgewählt, umgesetzt und laufend an neue Bedrohungen angepasst werden. Nur wer Datenschutz aktiv gestaltet, schützt nicht nur sensible Daten, sondern auch die eigene Organisation vor Bußgeldern, Reputationsverlust und Vertrauensschäden. 

TOM Beispiele: Konkrete Maßnahmen in der Praxis

Art. 32 Abs. 1 DSGVO verpflichtet Unternehmen, geeignete technische und organisatorische Maßnahmen (TOM) zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dabei nennt die DSGVO explizit: Pseudonymisierung und Verschlüsselung, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit sowie die regelmäßige Überprüfung der Maßnahmen.

Praxisbeispiele für technische Maßnahmen:

• Zugriffskontrolle: Individuelle Benutzerkonten mit Mindestrechte-Prinzip (Need-to-know), Multi-Faktor-Authentifizierung für kritische Systeme, automatische Bildschirmsperre nach Inaktivität
• Verschlüsselung: TLS/SSL für alle Datenübertragungen, AES-256 für Datenbankfelder mit sensiblen Daten, Ende-zu-Ende-Verschlüsselung für E-Mail-Kommunikation mit Patientendaten
• Verfügbarkeit: Tägliche automatische Backups mit Wiederherstellungstests, Redundante Server-Infrastruktur, USV-Anlagen für kritische Hardware
• Protokollierung: Zugriffsprotokollierung für Systeme mit sensiblen Daten, Änderungsprotokollierung (Audit Trail), regelmäßige Log-Auswertung durch IT-Sicherheitsbeauftragten

Praxisbeispiele für organisatorische Maßnahmen:

• Datenschutzschulungen: Jährliche Pflichtschulung für alle Mitarbeiter, Onboarding-Schulung für neue Mitarbeiter, rollenspezifische Schulungen für IT und HR
• Clean-Desk-Policy: Keine sensiblen Dokumente offen auf Schreibtischen, Vertrauliche Unterlagen in gesperrten Schränken, Schredder für Papierdokumente mit personenbezogenen Daten
• Verpflichtung auf Vertraulichkeit: Unterschriebene Verpflichtungserklärung aller Mitarbeiter, Auftragnehmer und Zeitarbeiter
• Datenschutzbeauftragter: Bestellung eines DSB nach Art. 37 DSGVO als organisatorische Schutzmaßnahme

TOM Checkliste: 10 Punkte für Ihr Unternehmen

Diese Checkliste unterstützt Sie bei der Erstbewertung Ihrer TOM-Umsetzung nach Art. 32 DSGVO:

1. ☐ Zugriffsberechtigungskonzept dokumentiert (wer darf was auf welchen Systemen?)
2. ☐ Passwort-Policy definiert und umgesetzt (Länge, Komplexität, Wechselintervalle)
3. ☐ Verschlüsselung für Datenübertragungen aktiviert (TLS/HTTPS)
4. ☐ Backup-Konzept erstellt und Wiederherstellung getestet
5. ☐ Zugriffsprotokollierung für kritische Systeme aktiv
6. ☐ Mitarbeiter auf Vertraulichkeit verpflichtet und geschult
7. ☐ Clean-Desk-Policy und Bildschirmsperren-Richtlinie eingeführt
8. ☐ Physischer Zutrittsschutz für Serverräume und Datenschränke
9. ☐ Incident-Response-Prozess für Datenpannen definiert (Art. 33/34 DSGVO)
10. ☐ TOM regelmäßig überprüft und bei Bedarf angepasst (Art. 32 Abs. 1 lit. d DSGVO)

Das Oberverwaltungsgericht Saarlouis hat in seinem Urteil vom 14.12.2017 (Az. 2 A 355/17) entschieden, dass fehlende oder unzureichende TOM als eigenständiger Datenschutzverstoß zu werten sind, auch wenn es (noch) zu keiner konkreten Datenpanne gekommen ist. Die bloße Möglichkeit eines Schadens reicht für eine Ahndung aus.

TOM Muster und Dokumentation

Die TOM-Dokumentation ist Pflichtbestandteil des Verarbeitungsverzeichnisses nach Art. 30 Abs. 1 lit. g DSGVO und gleichzeitig als Anlage zum Auftragsverarbeitungsvertrag (AVV) nach Art. 28 Abs. 3 lit. c DSGVO relevant. Jeder Auftragsverarbeiter muss seinen Kunden TOM nachweisen können.

Ein vollständiges TOM-Muster enthält mindestens diese sieben Schutzziel-Kategorien:

1. Zutrittskontrolle: Maßnahmen gegen unbefugten physischen Zutritt zu Datenverarbeitungsanlagen
2. Zugangskontrolle: Maßnahmen gegen unbefugte Nutzung von Datenverarbeitungssystemen
3. Zugriffskontrolle: Maßnahmen zur Beschränkung des Zugriffs auf Daten nach Berechtigungskonzept
4. Trennungskontrolle: Maßnahmen zur getrennten Verarbeitung für unterschiedliche Zwecke
5. Integrität: Maßnahmen zur Sicherung von Übertragung und Verarbeitung
6. Verfügbarkeit und Belastbarkeit: Maßnahmen zur Sicherstellung von Datenverfügbarkeit und -wiederherstellung
7. Verfahren zur Überprüfung: Prozesse zur regelmäßigen Bewertung der Wirksamkeit der TOM (Art. 32 Abs. 1 lit. d DSGVO)

TOM sind außerdem der Kernbestandteil des Datenschutzes durch Technikgestaltung (Privacy by Design) nach Art. 25 DSGVO: Bereits bei der Entwicklung neuer Systeme und Prozesse müssen datenschutzfreundliche Voreinstellungen und technische Schutzmaßnahmen berücksichtigt werden.

Die TOM-Dokumentation ist eng mit dem AVV verbunden: Als Auftragsverarbeiter müssen Sie Ihren Kunden TOM nachweisen. Mehr zur Verbindung: TOM als AVV-Anlage.

Häufige Fragen

Was sind technische und organisatorische Maßnahmen nach DSGVO?

Technische und organisatorische Maßnahmen (TOM) sind alle Schutzvorkehrungen, die ein Unternehmen trifft, um personenbezogene Daten sicher zu verarbeiten. Technische Maßnahmen sind IT-seitige Schutzmaßnahmen (Verschlüsselung, Zugangskontrolle, Firewalls). Organisatorische Maßnahmen sind prozessuale und personelle Vorkehrungen (Schulungen, Richtlinien, Verpflichtungserklärungen). Art. 32 DSGVO schreibt vor, dass TOM dem Stand der Technik, den Implementierungskosten und dem Risiko der Verarbeitung angemessen sein müssen.

Welche TOM muss mein Unternehmen umsetzen?

Art. 32 DSGVO gibt keine abschließende Liste von Maßnahmen vor – es gilt das Prinzip der Risikoabwägung. Je sensibler die verarbeiteten Daten (z.B. Gesundheitsdaten, Finanzdaten) und je größer das Verarbeitungsvolumen, desto höhere TOM sind erforderlich. Als Mindeststandard gelten: Zugangskontrolle, Verschlüsselung bei Übertragung, Backup-Konzept, Mitarbeitertraining und Clean-Desk-Policy. Orientierung bieten BSI Grundschutz und ISO 27001.

Wie dokumentiere ich TOM korrekt?

TOM werden in zwei Pflicht-Dokumenten festgehalten: Im Verarbeitungsverzeichnis nach Art. 30 Abs. 1 lit. g DSGVO (allgemeine Beschreibung pro Verarbeitungstätigkeit) und als Anlage zum AVV nach Art. 28 Abs. 3 lit. c DSGVO (detaillierte Liste gegenüber Auftragsverarbeitern). Die Dokumentation sollte regelmäßig aktualisiert werden – mindestens bei Systemänderungen oder nach Datenpannen. Mehr zum VVT: VVT DSGVO: Verzeichnis von Verarbeitungstätigkeiten.

Was passiert bei fehlenden TOM?

Fehlende oder unzureichende TOM können nach Art. 83 Abs. 4 lit. a DSGVO mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. In der Praxis verhängen Aufsichtsbehörden bei konkreten Datenpannen, die auf fehlende TOM zurückzuführen sind, regelmäßig Bußgelder. Zudem können Betroffene nach Art. 82 DSGVO Schadensersatz geltend machen. Präventive TOM-Implementierung ist daher deutlich günstiger als nachträgliche Bußgelder.

TOM-Compliance einfach umsetzen: PLANIT PRIMA hilft Ihnen bei der strukturierten Dokumentation Ihrer TOM und der Integration in Ihr Datenschutz-Management-System. Jetzt PLANIT PRIMA entdecken.

Weiterführende Artikel zum Thema TOM

Alle wichtigen Teilaspekte der technischen und organisatorischen Maßnahmen im Überblick:

• Zugriffskontrolle nach DSGVO: Technische Maßnahmen nach Art. 32
• Verschlüsselung nach DSGVO: Pflicht oder Empfehlung?
• TOM für Cloud Computing: DSGVO-konforme Cloud-Nutzung
• TOM im Homeoffice: Datenschutz bei Remote-Arbeit
• TOM vs. ISO 27001: Unterschiede und Gemeinsamkeiten
• Datenschutz-Schulung als TOM: Pflicht und Umsetzung
• Zutrittskontrolle: Physische Sicherheit nach DSGVO
• Pseudonymisierung nach DSGVO: Abgrenzung zur Anonymisierung

Verwandtes Thema: Datenschutzfolgeabschätzung und TOM

Verwandtes Thema: Datenschutzverletzungen durch fehlende TOM