Was sind Technisch und organisatorische Maßnahmen (TOM)?

Ob Weltkonzern, KMU, Start-up oder Freelancer: Verantwortliche müssen zum Schutz der Rechte und Freiheiten der Betroffenen ihre Datenverarbeitungen durch „geeignete technische und organisatorische Maßnahmen“ absichern. Bei der konkreten Auswahl der sog. „TOM“ besteht ein gewisser Spielraum. Das ist Segen und Fluch zugleich: Unbestimmte Rechtsbegriffe wie „geeignete Maßnahmen“ oder „ein dem Risiko angemessenes Schutzniveau“ erschweren es Verantwortlichen einzuschätzen, welcher Aufwand konkret erforderlich ist, um datenschutzkonform zu agieren. Wir geben einen Überblick.

Die Technischen und organisatorischen Maßnahmen in der DSGVO

Nach Erwägungsgrund 78 der DSGVO ist es zum Schutz natürlicher Personen erforderlich, geeignete TOM zu treffen, um die Anforderungen der DSGVO zu erfüllen. Denn selbst die transparenteste Datenschutzerklärung auf der Website eines Unternehmens bringt Besuchenden wenig, wenn bei der anschließenden Nutzung des Kontaktformulars ihre Daten ohne größere Hürden durch Dritte abgegriffen werden, weil der Websitebetreiber es versäumt hat, die Eingaben zu verschlüsseln.

Nach Art. 24 DSGVO wird der Verantwortliche verpflichtet, TOM umsetzen, um die Einhaltung der DSGVO sicherzustellen und um den Nachweis dafür erbringen zu können. Art. 32 DSGVO konkretisiert diese Pflicht, indem ein abstrakt-genereller Maßstab für die TOM zur Gewährleistung der Datensicherheit vorgegeben wird. Konkret bedeutet das, dass die TOM auf die individuelle, auf das Unternehmen zugeschnittene Risikoanalyse abgestimmt werden müssen. Sie verpflichtet sowohl den Verantwortlichen als auch den Auftragsverarbeiter.

Art. 32 Abs. 1 lit. b) DSGVO erwähnt auch die für die Datensicherheit zentralen Schutzziele, nämlich: Die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste. Zudem werden Beispiele für Maßnahmen genannt, etwa die Verschlüsselung, die Etablierung eines Verfahrens zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOM und die Pseudonymisierung. Hierzu hat der Europäische Datenschutzausschuss (EDSA) im Januar 2025 eine Leitlinie zur Pseudonymisierung veröffentlicht.

Weitere Beispiele für technische Maßnahmen sind der Einsatz von Firewalls, die Erstellung von Protokollen (Logging) oder eine Vorgabe für die Passwortvergabe und -komplexität.

Beispiele für organisatorische Maßnahmen sind etwa Mitarbeiterschulungen im Datenschutz, Vertraulichkeitsverpflichtungen der Beschäftigten, das Vier-Augen-Prinzip oder die Aufstellung von Berechtigungskonzepten.

Ist eine Verarbeitungstätigkeit besonders risikoträchtig, muss im Vorfeld eine sog. Datenschutz-Folgenabschätzung (DSFA)  gemäß Art. 35 DSGVO durchgeführt werden. Auch hier spielen die TOM eine wichtige Rolle: Nach Art. 35 Abs.7 lit. d DSGVO sind i. R. d. DSFA die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, zum Schutz personenbezogener Daten zu berücksichtigen. Je höher das Risiko der Verarbeitung, desto strengere Anforderungen sind an die gewählten TOM zu stellen.

Auswahl der angemessenen Technischen und organisatorischen Maßnahmen

Der zentrale Richtwert hierfür ergibt sich aus Art. 32 Abs.1 DSGVO. Demnach müssen die auszuwählenden Maßnahmen ein „dem Risiko angemessenes Schutzniveau“ gewährleisten. Dies macht es erforderlich, dass der Schutzbedarf der Daten ermittelt und eine Risikoanalyse vorgenommen wird. Art. 32 DSGVO ist Ausdruck des risikobasierten Ansatzes der DSGVO, d. h., dass bei der Risikoanalyse das Unternehmen alle möglichen Gefahrenquellen, Bedrohungen und Schwachstellen mit ihrer jeweiligen Eintrittswahrscheinlichkeit und der potenziellen Schwere des Schadens für die Rechte und Freiheiten des Betroffenen berücksichtigen muss.

Ausgangspunkt für jede Überlegung zu TOM wird das potenzielle Risiko und der damit einhergehende Schaden für den Betroffenen sein. Wenn identifiziert ist, welche Folgen eine Datenschutzverletzung für den Betroffenen typischerweise haben kann, lassen sich leichter sinnvolle Maßnahmen zur Reduzierung oder Abwendung der Risiken bestimmen.

Ein Schaden – und damit auch das Risiko – ist dabei grundsätzlich umso höher, je sensibler die Daten des Betroffenen und je schwerwiegender die mögliche Grundrechtsverletzung ist. Besonders sensible Daten i. S. d. DSGVO sind z. B. die so genannten Art. 9-Daten, etwa genetische oder Gesundheitsdaten.

Das Risiko ergibt sich aus

• a) der Schwere des Schadens und
• b) der Wahrscheinlichkeit des Schadenseintritts.

In eine Risikobeurteilung gehen deshalb z. B. auch Überlegungen zur Zahl der Beschäftigten ein, die Zugriff auf die sensiblen Daten haben, ebenso wie Überlegungen zur Dauer der Speicherung oder zu Beeinträchtigungen für die Persönlichkeitsrechte der Betroffenen, die eine Rufschädigung, einen Identitätsdiebstahl, finanziellen Verlust oder gesellschaftliche Nachteile nach sich ziehen.

Stand der Technik vs. wirtschaftliche Erwägungen

Art. 32 Abs.1 DSGVO fordert, dass die TOM unter Berücksichtigung des „Standes der Technik“ und ihrer „Implementierungskosten“ gewählt werden. Der Begriff des Standes der Technik findet sich an verschiedenen Stellen in Gesetzen (z. B. § 19 Abs. 4 TDDDG), ist jedoch im Datenschutzrecht nicht legaldefiniert. Die DSGVO bringt aber durch den Verweis auf die Implementierungskosten zum Ausdruck, dass i. R. d. Abwägung, welche Maßnahme als ausreichend anzusehen ist, auch wirtschaftliche Belange des Verantwortlichen berücksichtigt werden können. Dies betrifft etwa den Fall, bei dem eine Maßnahme nach dem Stand der Technik mit immensen Kosten für den Verantwortlichen verbunden wäre, den potenziellen Kosten jedoch nur ein verhältnismäßig niedriges Risiko für Betroffenen entgegenstünde.

TOM bei Auftragsverarbeitern

Auch bei der Einbindung von Dienstleistern spielen TOM eine wichtige Rolle. Nach Art. 28 Abs.1 DSGVO gilt, dass nur mit solchen Auftragsverarbeitern zusammengearbeitet werden darf, die geeignete TOM einsetzen (sog. Auswahlverantwortlichkeit). Der abzuschließende Auftragsverarbeitungsvertrag sollte daher konkrete Regelungen zu geschuldeten TOM enthalten.

Leider ergibt sich aus der DSGVO nicht auf einen Blick, wann eine Auftragsverarbeitung vorliegt und wann nicht. Hier helfen jedoch die weiterführenden Hinweise der Aufsichtsbehörden. Wann eine Auftragsverarbeitung vorliegt und wann nicht, können Sie z. B. in unseren regelmäßig stattfindenden Webinaren zur Auftragsverarbeitung in der Praxis erfahren.

Überschneidungen mit der NIS-2-Richtlinie

Seit Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz (NIS2UmsuCG) und es zeigt deutliche Überschneidungen mit den TOM nach Art. 32 DSGVO.

Denn auch die NIS-2-Richtlinie verlangt im Art. 21 Abs. 1 „geeignete und verhältnismäßige technische, operative und organisatorische Maßnahmen“ auf Basis einer Risikobetrachtung. Anders als Art. 32 DSGVO konkretisiert NIS-2 den Maßnahmenkatalog in Art. 21 Abs. 2 aber deutlich stärker.

Für Unternehmen, die sowohl unter die DSGVO als auch unter NIS-2 fallen, ergibt sich zumindest ein Vorteil: Wer seine TOM ohnehin an den Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit ausrichtet, kann viele NIS-2-Anforderungen über das bestehende Sicherheitskonzept abbilden.

Mehr zu diesem Thema finden Sie in unserem Blog NIS-2: Anforderungen an die Informationssicherheit.

Abdingbarkeit von Technisch und organisatorischen Maßnahmen?

Ähnlich zur Frage, ob der Betroffene auf eine eigentlich erforderliche Einwilligung verzichten kann (Spoiler: Nein), erreicht uns auch des Öfteren die Nachfrage, ob nicht auf die gleiche Weise auf die TOM verzichtet werden könnte, wenn es der betroffenen Person quasi egal ist, wie gut ihre Daten geschützt werden.

Hier kann leider keine pauschale Antwort geliefert werden, allerdings eine starke Tendenz: So hält die Datenschutzkonferenz (DSK) in ihrem Beschluss vom 24.11.2021 fest:

Die vom Verantwortlichen nach Art. 32 DSGVO vorzuhaltenden technischen und organisatorischen Maßnahmen beruhen auf objektiven Rechtspflichten, die nicht zur Disposition der Beteiligten stehen.

ZAWAS-Prinzip: Beispiel für Prozessmanagement bei TOM

Es ist wichtig, angemessene TOM auszuwählen, zu etablieren und auch zu dokumentieren, um den Rechenschaftspflichten aus der DSGVO nachzukommen.

Hierfür ist ein Prozessmanagement notwendig. Darunter fallen die Planung, Durchführung, das Controlling sowie die Optimierung von miteinander verbundenen Aufgaben, kurz: Plan-Do-Check-Act oder PDCA.

Das ZAWAS-Prinzip („Prozess zur Auswahl angemessener Sicherungsmaßnahmen“) des LfD Niedersachsen vom November 2018 bietet – trotz seines Alters – weiterhin eine praxisnahe Orientierung für den Auswahlprozess. Da eine Fortschreibung nicht ersichtlich ist, und Art. 32 DSGVO quasi eine Brücke zur Informationssicherheit schlägt, sollten Unternehmen, ergänzend auf das BSI IT-Grundschutz-Kompendium und/oder die ISO 27001:2022 und ISO 27701:2025 zurückgreifen.

Bußgelder bei ungenügenden Technischen und organisatorischen Maßnahmen

Verstöße gegen die Pflicht aus Art. 32 DSGVO sind gem. Art. 83 Abs. 4 lit. a) DSGVO bußgeldbewährt.

Rund 550 von knapp 3200 der auf enforcementtracker.com gelisteten Bußgelder beruhen unter anderem auf einem Verstoß gegen Art. 32 DSGVO.

Der bekannteste Fall mit einem Bußgeld i. H. v. 91 Mio. € ist Meta (Facebook) wegen unzureichender TOM, da User-Passwörter unverschlüsselt gespeichert wurden.

Und auch deutsche Unternehmen sind betroffen; so wurde gegen die AOK ein Bußgeld i. H. v. 1,24 Mio. € verhängt, nachdem die internen TOM nicht verhinderten, dass zusätzlich 500 Gewinnspielteilnehmende ohne Einwilligung zu Werbezwecken kontaktiert wurden.

Vorsicht ist besser als Nachsicht

Der letzte Fall zeigt, dass TOM nicht nur implementiert, sondern auch regelmäßig auf ihre Wirksamkeit hin überprüft werden sollten. Dabei schützen wirksame TOM in der Praxis häufig nicht nur personenbezogene Daten, sondern auch sonstige vertrauliche Informationen wie Geschäftsgeheimnisse. So sprechen die Zahlen der digitalen Angriffe auf deutsche Unternehmen, die der Digitalverband Bitkom in seinen jährlich erscheinenden „Wirtschaftsschutz“-Studien ermittelt, eine klare Sprache.

Laut Bitkom waren zuletzt rund zwei Drittel der deutschen Unternehmen vom Diebstahl von Geschäftsdaten betroffen oder vermuten dies. Der Schaden durch Cybercrime betrug 2025 über 200 Milliarden €, wobei Ransomware und Phishing die häufigsten Angriffsformen darstellen. 2024 waren es noch rund 178 Milliarden €.

Spätestens im Falle eines Angriffs zeigt sich: Vorsicht ist immer besser als Nachsicht.