TOMs nach Art. 32 DSGVO: Was angemessen ist, entscheidet das Risiko
Die Verordnung nennt keine Liste von Maßnahmen, sondern eine Abwägung. Vier Beispiele stehen im Text, und sie sind ausdrücklich nicht abschließend. Was daraus für einen Mittelständler folgt und warum die Wirksamkeitsprüfung der Teil ist, der am häufigsten fehlt.
Technische und organisatorische Maßnahmen, im Betrieb meist TOMs genannt, sind der Teil der DSGVO, bei dem am häufigsten eine Vorlage gesucht und am seltensten eine gefunden wird, die passt. Der Grund steht in Art. 32 Absatz 1: Die Maßnahmen sind unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos zu treffen. Das ist keine Liste, das ist eine Abwägung. Wer sie nicht führt, kann auch mit dreißig abgehakten Maßnahmen nicht begründen, warum ausgerechnet diese angemessen sind.
Warum es die eine richtige TOM-Liste nicht gibt
Eine abgeschriebene Maßnahmenliste ohne die Abwägung dahinter erfüllt Art. 32 nicht. Nachgefragt wird bei einer Prüfung die Begründung, nicht die Länge der Liste.
Art. 32 Absatz 1 verlangt geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Der Satz davor nennt, was in die Abwägung gehört: der Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen.
Damit ist die Frage nicht, ob eine Maßnahme auf einer Liste steht, sondern ob sie zum Risiko passt. Ein Handwerksbetrieb mit acht Beschäftigten und einer Lohnbuchhaltung hat ein anderes Risiko als eine Praxis mit Gesundheitsdaten. Beide erfüllen Art. 32, wenn die Maßnahmen zu ihrer Lage passen, und beide verfehlen ihn, wenn sie dieselbe Vorlage abgeschrieben haben.
Die Implementierungskosten stehen dabei ausdrücklich im Gesetz. Das ist die Stelle, die kleinen Betrieben oft nicht bekannt ist: Angemessenheit heißt nicht Maximum. Sie heißt, dass Aufwand und Risiko in einem vertretbaren Verhältnis stehen und dass diese Überlegung nachvollziehbar ist.
TOMs mit Prüftermin statt als Textdatei Im Musterbetrieb ansehen oder 14 Tage kostenlos testen. Der Text geht darunter weiter.
Die vier Beispiele, die im Text stehen
Absatz 1 nennt vier Maßnahmen mit den Worten „schließen unter anderem Folgendes ein“. Diese Formulierung macht sie zu Beispielen und nicht zu einem Katalog: Sie sind zu bedenken, sie sind aber weder vollständig noch in jedem Betrieb alle einschlägig.
| Buchstabe | Wortlaut | Was das praktisch heißt |
|---|---|---|
| a | Pseudonymisierung und Verschlüsselung personenbezogener Daten | Die einzige Maßnahme, die auch nach einem Vorfall noch wirkt: Verschlüsselung kann nach Art. 34 Abs. 3 die Benachrichtigung der Betroffenen entbehrlich machen. |
| b | Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen | Zugriffsrechte, Trennung, Schutz vor Ausfall. Das Wort „auf Dauer“ schließt den einmaligen Zustand aus. |
| c | Fähigkeit, Verfügbarkeit und Zugang bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen | Sicherung und Wiederherstellung. Eine Sicherung, die nie zurückgespielt wurde, belegt diese Fähigkeit nicht. |
| d | Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit | Der Teil, der am häufigsten fehlt: nicht die Maßnahme, sondern der wiederkehrende Blick darauf, ob sie noch wirkt. |
Die Tabelle gibt die vier in Art. 32 Absatz 1 genannten Beispiele wieder. Sie ist keine Maßnahmenliste für Ihren Betrieb.
Buchstabe d ist der, an dem es scheitert
Die ersten drei Beispiele beschreiben Zustände, das vierte beschreibt einen Vorgang: ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
In der Praxis existiert die Maßnahmenliste oft seit Jahren und niemand hat je nachgesehen, ob sie noch stimmt. Der Kollege, der ausgeschieden ist, hat den Zugang noch. Die Sicherung läuft, aber niemand hat je zurückgespielt. Die Verschlüsselung des Laptops war geplant und ist nie eingerichtet worden.
Ein Verfahren im Sinne des Buchstabens d braucht keine Software. Es braucht einen Termin, eine verantwortliche Person und eine Notiz darüber, was geprüft wurde und was dabei herauskam. Ohne diese Notiz lässt sich später nicht zeigen, dass geprüft wurde.
Wo die TOMs im Rest der Dokumentation auftauchen
Die TOMs stehen nicht für sich. Art. 30 Absatz 1 Buchstabe g verlangt, dass das Verzeichnis von Verarbeitungstätigkeiten wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Absatz 1 enthält. Wer sein Verzeichnis führt, braucht die TOMs also ohnehin.
Im Vertrag mit einem Auftragsverarbeiter nach Art. 28 sind sie ebenfalls Thema: Der Auftragsverarbeiter muss hinreichende Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden. In der Praxis liegt seine TOM-Beschreibung dem Vertrag als Anlage bei.
Und im Ernstfall entscheiden sie über die Reichweite der Meldepflicht. Nach Art. 34 Absatz 3 Buchstabe a entfällt die Benachrichtigung der betroffenen Personen, wenn geeignete Vorkehrungen getroffen und auf die betroffenen Daten angewandt wurden, insbesondere solche, die die Daten für Unbefugte unzugänglich machen, etwa Verschlüsselung.
Absatz 4: die Menschen, nicht die Technik
Art. 32 Absatz 4 verlangt, dass der Verantwortliche Schritte unternimmt, um sicherzustellen, dass ihm unterstellte Personen mit Zugang zu personenbezogenen Daten diese nur auf Anweisung verarbeiten. Das ist die organisatorische Hälfte des Begriffspaars und der Anknüpfungspunkt für die Verpflichtung der Beschäftigten auf Vertraulichkeit.
Verwandte Themen
TOMs mit Prüftermin statt als Textdatei
In Sicherio hinterlegen Sie Ihre Maßnahmen mit der Begründung, warum sie zum Risiko passen, und mit einem Termin für die Wirksamkeitsprüfung nach Art. 32 Absatz 1 Buchstabe d. Beim nächsten Verzeichnis-Eintrag stehen sie da, wo Art. 30 sie verlangt. 14 Tage kostenlos testen.
Häufige Fragen
Zum Mitnehmen
Bestandsaufnahme Datenschutz
Die Fragen, die beim Lieferantencheck und bei einer Anfrage der Aufsicht zuerst kommen. Zum Durchgehen, bevor jemand anderes sie stellt.
PDF, 3 Seiten, Fragen in 5 Bereichen
- Was im Verzeichnis der Verarbeitungstätigkeiten steht und was fehlt
- Welche Auftragsverarbeiter erfasst sind
- Wie eine Betroffenenanfrage im Haus abläuft
- Woran auffällt, dass das Verzeichnis nicht mehr stimmt
Öffnet das PDF direkt. Oder unten eintragen, dann kommt die ausfüllbare Fassung per Mail.
Zum Inhalt dieser Seite
Diese Seite gibt den Wortlaut von Art. 32 DSGVO wieder. Welche Maßnahmen in Ihrem Betrieb angemessen sind, ergibt sich aus der Abwägung nach Absatz 1 und damit aus Ihren Verarbeitungen, Ihren Risiken und Ihrem Stand der Technik. Diese Seite trifft diese Abwägung nicht und kann sie nicht treffen.
Die hier dargestellten Informationen beruhen auf einer sorgfältigen Auswertung öffentlich zugänglicher Rechts- und Fachquellen zum Stand vom 3. September 2026. Sie sollen einen ersten Überblick über die jeweilige Fachthematik geben und die eigenverantwortliche Orientierung erleichtern.
Die Inhalte stellen keine Rechts- oder Fachberatung im Einzelfall dar und ersetzen nicht die Prüfung durch eine qualifizierte Fachkraft — etwa einen Datenschutzbeauftragten oder eine qualifizierte Fachberatung. Für die konkrete Anwendung auf Ihren Betrieb ist eine individuelle fachliche Bewertung erforderlich.
Trotz sorgfältiger Recherche können sich Gesetzeslagen, Normen und behördliche Auslegungen ändern. Wir übernehmen keine Gewähr für die Vollständigkeit, Richtigkeit und Aktualität der dargestellten Informationen.
Hinweise auf Fehler oder veraltete Angaben nehmen wir gerne unter kontakt@sicherio.de entgegen.
Mehr zu unserem Vorgehen: Redaktionelle Grundsätze