TOM (Technische und organisatorische Maßnahmen)

Sammelbegriff für die Schutzmaßnahmen, die ein Verantwortlicher nach Art. 32 DSGVO trifft, um personenbezogene Daten angemessen zu sichern. Technisch meint Systeme und Verfahren, organisatorisch Regeln, Rollen und Prozesse.

Zuletzt geprüft

September 11, 2026

Lesedauer

Kurzdefinition

Was Art. 32 verlangt

Die Maßnahmen müssen dem Risiko angemessen sein. Maßstab sind Stand der Technik, Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und die Eintrittswahrscheinlichkeit und Schwere des Risikos. Eine feste Maßnahmenliste gibt es nicht.

Die vier genannten Beispiele

Pseudonymisierung und Verschlüsselung personenbezogener Daten
Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme
Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederherzustellen
Verfahren zur regelmäßigen Überprüfung der Wirksamkeit

Diese Liste in Art. 32 Abs. 1 lit. a bis d ist ausdrücklich nicht abschließend.

Verhältnis zu ISO 27001

ISO 27001 liefert ein Rahmenwerk für Informationssicherheit, Art. 32 verlangt eine Abstimmung auf die konkrete Verarbeitung. Ein zertifiziertes Managementsystem erfüllt Art. 32 deshalb nicht automatisch, erleichtert den Nachweis aber erheblich.

Häufige Fragen

Gibt es eine verbindliche Liste der TOM?

Nein. Art. 32 nennt vier Beispiele, ausdrücklich nicht abschließend. Welche Maßnahmen angemessen sind, hängt vom Risiko der konkreten Verarbeitung ab.

Erfüllt eine ISO-27001-Zertifizierung Art. 32?

Nicht automatisch. Sie liefert das Rahmenwerk, Art. 32 verlangt zusätzlich die Abstimmung auf die einzelne Verarbeitung.

SECJUR-Bezug