Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO
DefinitionDSGVO-Pflichtmaßnahmen: z.B. Zugriff, Verschlüsselung, Backup, Prozesse.
Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO sind die verpflichtenden Sicherheitsmaßnahmen, mit denen Unternehmen personenbezogene Daten vor Verlust, Missbrauch, unbefugtem Zugriff oder Manipulation schützen. Art. 32 DSGVO verlangt ein „angemessenes“ Schutzniveau – abhängig von Risiko, Stand der Technik, Implementierungskosten sowie Art, Umfang und Zweck der Verarbeitung.
Was bedeutet „angemessen“ bei TOM für KMU?
„Angemessen“ heißt: nicht maximale, sondern risikobasierte Sicherheit. Ein kleines Unternehmen muss z. B. keine Hochsicherheits-Rechenzentren betreiben, aber typische Risiken (Ransomware, Phishing, Fehlversand, Geräteverlust, interne Fehlberechtigungen) wirksam adressieren. Wichtig ist, dass TOM nachweisbar geplant, umgesetzt, geprüft und bei Bedarf verbessert werden (Rechenschaftspflicht).
Wie funktioniert die Umsetzung in der Praxis (Schritte)
- 1) Daten & Prozesse erfassen: Wo liegen personenbezogene Daten (E-Mail, CRM, Cloud, Papier)? Wer nutzt sie wofür?
- 2) Risiken bewerten: Welche Schäden drohen Betroffenen (Identitätsdiebstahl, Diskriminierung, finanzielle Schäden)?
- 3) Maßnahmen auswählen: Kombination aus Technik, Organisation und Menschen (Schulung).
- 4) Dokumentieren: TOM-Liste, Verantwortlichkeiten, Prüfintervalle, Nachweise (z. B. Richtlinien, Protokolle).
- 5) Wirksamkeit prüfen: Updates, Tests, Audits, Backup-Restore-Tests, Berechtigungsreviews.
Typische TOM-Beispiele (Art. 32 DSGVO)
- Zugriffskontrolle: Rollen- und Rechtekonzept, „Need-to-know“, getrennte Admin-Konten, regelmäßige Berechtigungsprüfung, MFA/2FA.
- Verschlüsselung: Geräteverschlüsselung (Laptop/Smartphone), TLS für Übertragung, verschlüsselte Backups; Schlüssel sicher verwalten.
- Backup & Wiederherstellbarkeit: 3-2-1-Backups, Offline/immutable Kopien, regelmäßige Restore-Tests, Notfallplan gegen Ransomware.
- Integrität & Verfügbarkeit: Patch-Management, Virenschutz/EDR, Firewall, Monitoring, redundante Systeme (wo nötig).
- Organisatorische Prozesse: Passwortrichtlinie, On-/Offboarding, Clean-Desk, Regelungen für Homeoffice, Incident-Response- und Meldeprozess.
- Auftragsverarbeitung: AV-Verträge, Prüfung von Dienstleistern (z. B. Cloud/IT-Support), klare Weisungen und Zugriffsbeschränkungen.
Wichtig für KI-Tools im Unternehmen
Wenn Mitarbeitende z. B. ChatGPT oder andere Generative KI (Generative AI) nutzen, gehören dazu TOM wie Datenklassifizierung (was darf eingegeben werden?), PII-Reduktion/Schwärzung, Zugriffsbeschränkungen, Logging-Regeln und vertragliche/technische Einstellungen zur Datenaufbewahrung. So wird verhindert, dass personenbezogene Daten unkontrolliert an externe Anbieter gelangen.
Merksatz
TOM sind kein einmaliges Dokument, sondern ein Sicherheits- und Datenschutz-„Betriebssystem“: risikobasiert, dokumentiert, regelmäßig geprüft – und für KMU vor allem pragmatisch umsetzbar.
- 58%
weniger Vorfallkosten
KMU mit dokumentierten technischen und organisatorischen Maßnahmen wie Zugriffskontrollen, Backups und Verschlüsselung begrenzen die finanziellen Folgen von Sicherheitsvorfällen deutlich besser.
- 3 von 4
Audit-relevante Basis
Für rund drei von vier B2B-Ausschreibungen, Kundenprüfungen oder Datenschutz-Audits sind nachvollziehbare TOM ein zentrales Nachweisdokument für Sicherheits- und Compliance-Reife.
- 41%
schnellere Wiederherstellung
Unternehmen mit getesteten Backup-, Berechtigungs- und Notfallprozessen stellen betroffene Systeme im Ernstfall im Schnitt deutlich schneller wieder her als ohne klar definierte TOM.
Mitarbeiterzugriffe in der Personalverwaltung mit Rollen und 2-Faktor-Anmeldung absichern
Ein KMU richtet für seine HR-Software rollenbasierte Zugriffsrechte ein, sodass nur Personalverantwortliche sensible Mitarbeiterdaten wie Gehälter, Krankmeldungen oder Verträge einsehen können. Ergänzend wird die Anmeldung per 2-Faktor-Authentifizierung abgesichert und der Zugriff regelmäßig überprüft, um unberechtigte Einsicht oder interne Fehlbedienung zu vermeiden.
Kundendaten im Vertrieb durch Verschlüsselung und sichere Geräteverwaltung schützen
Ein mittelständisches Vertriebsunternehmen speichert Angebote, Ansprechpartner und Vertragsdaten in einem CRM, auf das auch Außendienstmitarbeiter mobil zugreifen. Durch Festplattenverschlüsselung auf Laptops, verschlüsselte Datenübertragung und klare Vorgaben für verlorene oder gestohlene Geräte werden personenbezogene Daten auch im mobilen Einsatz wirksam geschützt.
Backup- und Wiederherstellungsprozesse für Auftrags- und Produktionsdaten verbindlich etablieren
Ein produzierendes KMU sichert ERP-, Maschinen- und Kundendaten täglich automatisiert auf getrennten Systemen und testet die Wiederherstellung in festen Intervallen. So werden nicht nur Ausfälle durch Ransomware, Bedienfehler oder Hardwaredefekte abgefedert, sondern auch die Anforderungen an Verfügbarkeit und Belastbarkeit nach Art. 32 DSGVO praktisch umgesetzt.
Häufig gestellte Fragen
Was ist Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO?
TOM sind verpflichtende Sicherheitsmaßnahmen, mit denen personenbezogene Daten vor unbefugtem Zugriff, Verlust und Manipulation geschützt werden. Art. 32 DSGVO verlangt ein angemessenes, risikobasiertes Schutzniveau und die Dokumentation der Umsetzung.
Wie funktioniert die Umsetzung von TOM nach Art. 32 DSGVO in einem kleinen Unternehmen?
Praktisch läuft es über eine Bestandsaufnahme der Datenverarbeitungen, eine Risikoabwägung und die Auswahl passender Maßnahmen (z. B. MFA, Verschlüsselung, Backups, Prozesse). Danach werden Verantwortlichkeiten, Nachweise und regelmäßige Prüfungen (z. B. Restore-Tests) festgelegt.
Welche TOM-Beispiele sind für KMU besonders wichtig?
Typisch sind Zugriffskontrollen (Rollen/Rechte, MFA), Verschlüsselung von Geräten und Übertragungen, ein belastbares Backup-Konzept sowie Patch- und Incident-Management. Ergänzend helfen Schulungen gegen Phishing und klare On-/Offboarding-Prozesse.
Müssen TOM dokumentiert werden und wie weist man sie nach?
Ja, Unternehmen müssen TOM nachvollziehbar dokumentieren (Rechenschaftspflicht), z. B. als TOM-Liste mit Maßnahmen, Zuständigkeiten und Prüfintervallen. Nachweise sind u. a. Richtlinien, Protokolle (Berechtigungsreviews), Backup-Reports und Schulungsnachweise.
Welche Rolle spielen TOM beim Einsatz von KI-Tools wie [[ChatGPT]]?
Beim KI-Einsatz gehören TOM wie Datenklassifizierung, PII-Schwärzung, Zugriffsbeschränkungen und Regeln zur Protokollierung/Datenaufbewahrung dazu. Ziel ist, dass keine personenbezogenen oder vertraulichen Daten unkontrolliert an externe KI-Anbieter gelangen.
Was bedeutet „angemessen“ bei technischen und organisatorischen Maßnahmen (TOM) für KMU?
„Angemessen“ bedeutet bei TOM nach Art. 32 DSGVO nicht maximale Sicherheit um jeden Preis, sondern ein risikobasiertes Schutzniveau. Kleine und mittlere Unternehmen müssen ihre Maßnahmen an Art, Umfang und Risiko der Datenverarbeitung ausrichten – zum Beispiel mit Zugriffsrechten, Backups, 2-Faktor-Authentifizierung und klaren internen Prozessen.
Welche Folgen drohen, wenn TOM nach Art. 32 DSGVO in KMU fehlen oder veraltet sind?
Fehlende oder unzureichende TOM erhöhen das Risiko für Datenpannen, unbefugte Zugriffe und Bußgelder. Für KMU ist außerdem kritisch, dass Kunden, Partner oder Aufsichtsbehörden im Ernstfall Nachweise verlangen können, ob Datenschutz und IT-Sicherheit angemessen umgesetzt wurden.
Wir sind ein kleines Unternehmen – brauchen wir wirklich Unterstützung bei TOM nach Art. 32 DSGVO?
Ja, oft gerade dann. In kleinen Unternehmen entstehen Risiken meist nicht durch fehlende Absicht, sondern durch gewachsene Tool-Landschaften, unklare Zuständigkeiten und fehlende Dokumentation. Mit der Tech-Partnerschaft oder einem Tech-Gutachten bekommst du pragmatische Unterstützung, damit deine TOM zum tatsächlichen Risiko und zu deinem Budget passen.
Ist die Umsetzung angemessener TOM nicht zu teuer für ein KMU?
Nicht unbedingt – angemessene TOM müssen wirtschaftlich und risikobasiert sein, nicht überdimensioniert. Im Tech-Gutachten analysiere ich, welche Tools, Prozesse und Sicherheitsmaßnahmen wirklich nötig sind, wo unnötige Kosten entstehen und wie du mit überschaubarem Aufwand ein solides Schutzniveau erreichst.
Wir haben schon viele Tools im Einsatz. Wie finden wir heraus, wo bei TOM die größten Risiken liegen?
Genau dafür ist das Tech-Gutachten gedacht. In zwei Wochen analysiere ich deine Tech-Landschaft, mache sichtbar, welche Systeme genutzt werden, wo Daten liegen, welche Zugriffe kritisch sind und welche Maßnahmen bei Datenschutz und Sicherheit zuerst angegangen werden sollten.
Kann ich TOM direkt in einer neuen Systemlandschaft sauber mitdenken, statt später nachzubessern?
Ja, und das ist meist der bessere Weg. Bei der Tech-Umsetzung mit OrbitOS werden Rollen, Zugriffe, Datenflüsse, Automationen und Schulungen von Anfang an strukturiert aufgebaut, damit Datenschutz, Sicherheit und Alltagstauglichkeit zusammenpassen.
Wie gehe ich mit TOM um, wenn wir KI-Tools oder eigene GPTs im Unternehmen nutzen wollen?
Beim Einsatz von KI-Tools sind TOM besonders wichtig, weil oft personenbezogene oder interne Daten verarbeitet werden. In der KI-Beratung & Hilfestellung prüfe ich mit dir, welche Prozesse KI-tauglich sind, welche Schutzmaßnahmen nötig sind und wie du Custom GPTs oder RAG-Systeme so einsetzt, dass Nutzen, Datenschutz und technische Machbarkeit zusammenpassen.