Kurzdefinition: Technische und organisatorische Maßnahmen — kurz TOM — sind die Vorkehrungen, mit denen nach Art. 32 DSGVO ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten hergestellt wird. Verantwortlicher und Auftragsverarbeiter treffen sie unter Berücksichtigung von Stand der Technik, Implementierungskosten und den Risiken der Verarbeitung. [N-DSGVO-32]
Der Normwortlaut
Art. 32 Abs. 1 DSGVO lautet in der konsolidierten Fassung: „Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen gegebenenfalls unter anderem Folgendes ein: …“. [N-DSGVO-32]
Wofür steht die Abkürzung TOM?
Für „technische und organisatorische Maßnahmen“. Technische Maßnahmen wirken an der Verarbeitung selbst — etwa Verschlüsselung oder Zugriffskontrolle. Organisatorische Maßnahmen wirken über Abläufe, Rollen und Regeln — etwa Berechtigungskonzepte, Schulungen oder Vertretungsregelungen. Beide zusammen bilden das Schutzniveau. [N-DSGVO-32]
Welche Maßnahmen verlangt Art. 32 DSGVO konkret?
Der entscheidende Punkt: Der Artikel gibt keinen abschließenden Pflichtkatalog vor. Die in Art. 32 Abs. 1 Buchstaben a bis d genannten Punkte — etwa Pseudonymisierung und Verschlüsselung, Vertraulichkeit, Verfügbarkeit und ein Verfahren zur regelmäßigen Überprüfung — sind ausdrücklich mit „schließen gegebenenfalls unter anderem ein“ eingeleitet. Das Wort „gegebenenfalls“ trägt die Konstruktion: Es ist ein Beispielskatalog, kein Mindestpflichtenkatalog. Welche Maßnahmen geeignet sind, ergibt sich aus dem Risiko der konkreten Verarbeitung, nicht aus einer festen Liste. [N-DSGVO-32]
Wer muss die Maßnahmen treffen?
Beide: der Verantwortliche und der Auftragsverarbeiter. Art. 32 Abs. 1 DSGVO nennt sie ausdrücklich gemeinsam. Es ist ein verbreiteter Fehler, die Pflicht allein beim Verantwortlichen zu verorten. Wer Daten im Auftrag verarbeitet, trägt die Sicherungspflicht des Art. 32 DSGVO eigenständig. [N-DSGVO-32]
Was ist das Ziel der technischen und organisatorischen Maßnahmen?
Ein angemessenes Schutzniveau. Art. 32 Abs. 1 DSGVO verlangt Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Der Maßstab ist also nicht absolute Sicherheit, sondern die Angemessenheit gemessen an Eintrittswahrscheinlichkeit und Schwere des Risikos. [N-DSGVO-32]
Trifft die Pflicht auch den Auftragsverarbeiter?
Ja. Art. 32 Abs. 1 DSGVO nimmt den Verantwortlichen und den Auftragsverarbeiter gleichermaßen in die Pflicht. Beide müssen geeignete technische und organisatorische Maßnahmen treffen. [N-DSGVO-32]
Häufige Fehlannahmen
- „Die DSGVO schreibt einen festen Maßnahmenkatalog vor.“ Nein. Die Aufzählung in Art. 32 Abs. 1 ist mit „gegebenenfalls unter anderem“ eingeleitet — ein Beispielskatalog, kein Pflichtkatalog. [N-DSGVO-32]
- „Nur der Verantwortliche muss TOM treffen.“ Nein. Adressat sind Verantwortlicher und Auftragsverarbeiter gemeinsam. [N-DSGVO-32]
- „Verschlüsselung ist immer Pflicht.“ Nicht als starre Regel. Sie ist ein Beispiel; ob sie geeignet und angemessen ist, hängt vom Risiko der Verarbeitung ab. [N-DSGVO-32]
- „TOM sind reine IT-Themen.“ Nein. Organisatorische Maßnahmen — Rollen, Prozesse, Schulung — sind ausdrücklich Teil des Begriffs. [N-DSGVO-32]
- „Ob die Maßnahmen wirken, muss man nicht überprüfen.“ Nein. Erforderlich sind auch Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen. [N-DSGVO-32]
Was die Geschäftsleitung tun sollte
- Risiko zuerst bestimmen. Angemessenheit bemisst sich am Risiko der konkreten Verarbeitung, nicht an einer Standardliste.
- Technik und Organisation zusammendenken. Ein Berechtigungskonzept wirkt nur mit gelebten Prozessen.
- Auftragsverarbeiter einbinden. Deren eigene Pflicht aus Art. 32 DSGVO vertraglich absichern und prüfen.
- Überprüfung verankern. Art. 32 nennt ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit als Beispiel — das ist gute Praxis.
- Dokumentieren. Die Angemessenheitsentscheidung sollte nachvollziehbar festgehalten sein.
Für die Geschäftsleitung
TOM sind keine Checkliste, die man abhakt, sondern eine risikobasierte Entscheidung, die man begründet. Art. 32 DSGVO verlangt ein angemessenes Schutzniveau, kein Maximum und keine feste Liste. Der praktische Hebel liegt im Wort „gegebenenfalls“: Es verlagert die Frage von „Welche Maßnahme steht im Gesetz?“ zu „Welche Maßnahme ist für dieses Risiko geeignet?“. Die BSIG-Risikomanagementpflichten für NIS-2-Einrichtungen laufen parallel und sind gesondert zu erfüllen.
Quellen
- [N-DSGVO-32] Art. 32 DSGVO (Sicherheit der Verarbeitung), Abs. 1. Konsolidierte Fassung (CELEX 02016R0679-20160504, Berichtigung ►C2). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
