TOMs im Datenschutz: technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Verschlüsselte Laptops, gesperrte Bildschirme, Zutrittskarten und eine jährliche Datenschutzschulung haben eines gemeinsam: Sie gehören zu den TOMs, den technischen und organisatorischen Maßnahmen, mit denen Unternehmen personenbezogene Daten schützen.

Dieser Beitrag erklärt, was die DSGVO verlangt, zeigt acht Beispiele aus der Praxis, beschreibt die Dokumentation und warum Schulungen zu den wirksamsten organisatorischen Maßnahmen zählen.

Was sind TOMs?

Die Abkürzung steht für technische und organisatorische Maßnahmen. Gemeint sind alle Vorkehrungen, mit denen ein Unternehmen die Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten sicherstellt.

• Technische Maßnahmen wirken über Technik: Verschlüsselung, Firewalls, Zugriffsrechte, Backups, Protokollierung.
• Organisatorische Maßnahmen wirken über Regeln und Abläufe: Richtlinien, Zuständigkeiten, Vier-Augen-Prinzip, Besuchsregeln und Schulungen.

Beide Seiten gehören zusammen. Die beste Verschlüsselung nützt wenig, wenn Beschäftigte ihr Passwort auf einer Phishing-Seite eingeben.

Was verlangt Art. 32 DSGVO?

Nach Art. 32 DSGVO müssen Verantwortliche und Auftragsverarbeiter geeignete Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Zu berücksichtigen sind der Stand der Technik, die Kosten, Art und Umfang der Verarbeitung sowie die Risiken für die betroffenen Personen. Ausdrücklich genannt werden:

• Pseudonymisierung und Verschlüsselung,
• die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme,
• die rasche Wiederherstellung nach einem Zwischenfall,
• ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.

Das heißt: Es gibt keine feste Liste, die für alle gilt. Ein Handwerksbetrieb braucht andere Maßnahmen als eine Arztpraxis oder ein Onlinehändler.

Welche Beispiele gibt es?

Bewährt hat sich eine Gliederung in acht Bereiche, die aus dem früheren Bundesdatenschutzgesetz stammt und in vielen TOM-Dokumentationen weiter genutzt wird:

Auch alltägliche Regeln zählen dazu: Eine Clean Desk Policy schützt Unterlagen am Arbeitsplatz, klare Regeln an der Tür verhindern Tailgating.

Warum ist Schulung eine organisatorische Maßnahme?

Viele Datenschutzvorfälle entstehen nicht durch Technik, sondern durch Menschen: Fehlversand, schwache Passwörter, ein Klick auf einen gefälschten Link. Art. 32 Abs. 4 DSGVO verpflichtet Unternehmen deshalb, sicherzustellen, dass Beschäftigte personenbezogene Daten nur auf Anweisung verarbeiten. Das setzt voraus, dass sie die Anweisungen kennen und verstehen.

Die Datenschutzschulung ist damit eine der wichtigsten organisatorischen Maßnahmen. Zu den Aufgaben der oder des Datenschutzbeauftragten zählt ausdrücklich die Sensibilisierung und Schulung der Beschäftigten (Art. 39 Abs. 1 lit. b DSGVO). Wie eine wirksame Schulung aufgebaut ist, erklärt der Beitrag zur DSGVO-Schulung. Ergänzend helfen Phishing-Simulationen, das Gelernte im Alltag zu üben.

Wie dokumentieren Sie die Maßnahmen?

Unternehmen müssen nachweisen können, dass sie die Vorgaben einhalten (Art. 5 Abs. 2 und Art. 24 DSGVO). In der Praxis gehören dazu:

1. TOM-Übersicht: alle Maßnahmen nach Bereichen geordnet, mit Zuständigkeit und Stand.
2. Verarbeitungsverzeichnis: eine allgemeine Beschreibung der Maßnahmen je Verarbeitung (Art. 30 Abs. 1 lit. g DSGVO).
3. Verträge zur Auftragsverarbeitung: Dienstleister legen ihre TOMs offen (Art. 28 Abs. 3 lit. c DSGVO).
4. Schulungsnachweise: wer wann zu welchem Thema geschult wurde.
5. Überprüfung: regelmäßige Kontrolle, ob die Maßnahmen noch wirken, mit Datum und Ergebnis.

Welche Anforderungen speziell für Lernplattformen gelten, zeigt der Beitrag LMS und DSGVO.

Was passiert, wenn Maßnahmen fehlen?

Fehlende oder unzureichende Maßnahmen können nach Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. Kommt es zu einem Vorfall, prüft die Aufsichtsbehörde außerdem, ob angemessene TOMs vorhanden waren. Fehlen sie, wiegt eine Datenpanne deutlich schwerer, auch mit Blick auf Schadensersatzansprüche Betroffener.

Wie unterstützt reteach dabei?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 150 Kurse als SCORM-Paket für bestehende Lernplattformen, davon 119 interaktiv, sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen. reteach ist DSGVO-konform.

• Schulung als TOM: Das Datenschutz E-Learning vermittelt die Grundlagen der DSGVO und lässt sich um Ihre internen Regeln ergänzen.
• Regelmäßigkeit: Wiederholungen werden automatisch zugewiesen, sodass die Schulung als fortlaufende Maßnahme belegt ist.
• Nachweis: Teilnahmen und Testergebnisse werden revisionssicher dokumentiert und lassen sich für die TOM-Dokumentation exportieren.

Fazit: TOMs verbinden Technik und Menschen

TOMs sind keine einmalige Checkliste, sondern ein laufender Prozess. Art. 32 DSGVO verlangt Maßnahmen, die zum Risiko passen, regelmäßig überprüft und dokumentiert werden. Neben Technik zählen Regeln und gut geschulte Beschäftigte zu den wirksamsten Bausteinen.

Die nächsten Schritte:

1. Vorhandene Maßnahmen nach den acht Bereichen erfassen und Lücken markieren.
2. Die TOM-Übersicht mit dem Verarbeitungsverzeichnis abgleichen.
3. Regelmäßige Datenschutzschulungen planen und die Teilnahme dokumentieren.

Häufig gestellte Fragen