30. Juli 2026

Technische und organisatorische Maßnahmen (TOMs): Definition, Beispiele & Checkliste

Kurz gesagt: Technische und organisatorische Maßnahmen (TOMs) sind alle Vorkehrungen, mit denen Unternehmen personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Missbrauch schützen. Sie sind in Artikel 32 DSGVO vorgeschrieben und gliedern sich in technische Maßnahmen (z. B. Verschlüsselung, Zugangskontrollen) und organisatorische Maßnahmen (z. B. Berechtigungskonzepte, Schulungen). Sie gelten unabhängig von der Unternehmensgröße für jeden, der personenbezogene Daten verarbeitet.

Wir erklären im Folgenden, welche Maßnahmen konkret dazugehören, welche 10 Maßnahmen in die Checkliste gehören und wie Sie Ihre TOMs rechtssicher dokumentieren.

Was sind technische und organisatorische Maßnahmen (TOMs)?

Technische und organisatorische Maßnahmen (TOMs) sind alle Vorkehrungen, die ein Unternehmen trifft, um personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Missbrauch zu schützen. Sie sind in Artikel 32 DSGVO verankert und sollen die Vertraulichkeit, Integrität und Verfügbarkeit von Daten sicherstellen.

Man unterscheidet zwei Kategorien:

Technische Maßnahmen – der Einsatz von Technologien, die Daten aktiv schützen (z. B. Verschlüsselung, Zugangskontrollen).
Organisatorische Maßnahmen – Prozesse und Regelungen, die den sicheren Umgang mit Daten im Arbeitsalltag festlegen (z. B. Berechtigungskonzepte, Schulungen).

Die DSGVO schreibt dabei keine konkreten Einzelmaßnahmen vor. Stattdessen muss jedes Unternehmen ein individuelles Schutzkonzept entwickeln, das zur Art der Daten, der Unternehmensgröße und dem tatsächlichen Risiko passt.

DSM-Online kostenlos testen

Optimieren Sie im Handumdrehen Ihren Datenschutz!

DSM-Online jetzt 14 Tage kostenlos & unverbindlich testen.

Jetzt kostenlos testen

Warum sind TOMs wichtig?

TOMs sind wichtig, weil sie gesetzlich vorgeschrieben sind und gleichzeitig das Risiko von Datenschutzverstößen konkret senken. Im Einzelnen bringen sie vier Vorteile:

Rechtliche Konformität: Sie erfüllen die Anforderungen der DSGVO und weiterer Datenschutzgesetze.
Schutz vor Cyberangriffen: Wirksame Maßnahmen senken das Risiko von Datenlecks und Hackerangriffen spürbar.
Vertrauen schaffen: Kunden und Partner vertrauen Unternehmen, die den Datenschutz sichtbar ernst nehmen.
Minimierung von Haftungsrisiken: Wer TOMs sauber dokumentiert hat, kann im Ernstfall nachweisen, dass er seiner Sorgfaltspflicht nachgekommen ist – das wirkt sich oft auch auf die Höhe möglicher Bußgelder aus.

DSM-Online kostenlos testen

Was sind Beispiele für technische Maßnahmen?

Zu den wichtigsten technischen Maßnahmen zählen Verschlüsselung, Zugangskontrollen, Firewalls und regelmäßige Backups:

Verschlüsselung Verschlüsselte Daten können nur von autorisierten Personen gelesen werden – besonders wichtig bei der Übertragung über das Internet.

Zugangskontrollen Nur berechtigte Personen erhalten Zugriff auf Systeme und Daten, zum Beispiel durch:

Benutzername-Passwort-Kombinationen
Zwei-Faktor-Authentifizierung
Biometrische Verfahren

Firewalls und Virenschutz Sie wehren unautorisierte Zugriffe ab und blockieren Schadsoftware, bevor sie Schaden anrichten kann.

Regelmäßige Backups Regelmäßige Datensicherungen stellen sicher, dass Informationen auch nach einem Systemausfall wiederhergestellt werden können.

DSM-Online kostenlos testen

Was sind Beispiele für organisatorische Maßnahmen?

Zu den wichtigsten organisatorischen Maßnahmen zählen Berechtigungskonzepte, Vertraulichkeitsverpflichtungen, das Vier-Augen-Prinzip, eine Clean-Desk-Policy, Besucherregelungen und regelmäßige Schulungen. Technische Maßnahmen allein reichen nämlich nicht aus – ohne klare Regeln im Arbeitsalltag bleiben sie wirkungslos:

Zugriffs- und Berechtigungskonzepte: Jede Person erhält nur die Rechte, die sie für ihre Aufgabe tatsächlich benötigt.
Vertraulichkeitsverpflichtungen: Mitarbeitende verpflichten sich schriftlich zur Vertraulichkeit im Umgang mit personenbezogenen Daten.
Vier-Augen-Prinzip: Kritische Vorgänge (z. B. Löschungen größerer Datenbestände) werden von zwei Personen freigegeben.
Clean-Desk-Policy: Unterlagen mit personenbezogenen Daten liegen nicht offen auf Schreibtischen, sondern werden verschlossen aufbewahrt.
Besucher- und Zutrittsregelungen: Externe Personen erhalten nur begleiteten Zugang zu sensiblen Bereichen.
Regelmäßige Mitarbeiterschulungen: Nur wer die Regeln kennt, kann sie auch einhalten. Wie Sie Datenschutzschulungen im Unternehmen sinnvoll umsetzen, lesen Sie in unserem separaten Ratgeber-Artikel.

Direkt in der Software umsetzen? Zur Funktion technische organisatorische Maßnahmen →

Welche Anforderungen stellt die DSGVO konkret an TOMs?

Artikel 32 DSGVO nennt drei konkrete Anforderungen: Pseudonymisierung und Verschlüsselung personenbezogener Daten, die Fähigkeit zur Wiederherstellung der Daten nach einem Vorfall, sowie die regelmäßige Überprüfung der Wirksamkeit der Maßnahmen.

Das bedeutet auch: TOMs sind kein einmaliges Dokument, das man erstellt und dann vergisst. Sobald sich Ihre Prozesse, Ihre eingesetzten Tools oder die Risikolage ändern, müssen Sie Ihre TOMs entsprechend aktualisieren.

Was hat der Auftragsverarbeitungsvertrag mit TOMs zu tun?

Sobald Sie einen Dienstleister mit der Verarbeitung personenbezogener Daten beauftragen (z. B. einen Cloud-Anbieter oder ein IT-Systemhaus), müssen dessen TOMs Teil des Auftragsverarbeitungsvertrags (AVV) sein – üblicherweise als eigene Anlage. Der Auftragsverarbeiter muss darin nachweisen, welche Maßnahmen er zum Schutz der ihm anvertrauten Daten trifft.

Wie DSM-Online Sie bei der TOM-Dokumentation unterstützt

Mit dem TOM-Modul in DSM-Online dokumentieren und optimieren Sie Ihre technischen und organisatorischen Maßnahmen mit praxisbewährten Vorlagen und klaren Strukturen – per Drag-and-Drop, inklusive Nachweis-Dokumentation für Audits und Behördenanfragen.

Mehr zur Funktion Technische & organisatorische Maßnahmen

Häufige Fragen zu TOMs

Sind TOMs auch für kleine Unternehmen Pflicht? Ja. Die Pflicht zu angemessenen TOMs gilt unabhängig von der Unternehmensgröße für jeden, der personenbezogene Daten verarbeitet. Der Umfang der Maßnahmen darf sich aber am tatsächlichen Risiko und an der Größe des Unternehmens orientieren.

Wer muss TOMs dokumentieren? Verantwortlich ist das Unternehmen selbst (der "Verantwortliche" im Sinne der DSGVO). Ist ein Datenschutzbeauftragter bestellt, unterstützt dieser bei der Erstellung und Pflege der Dokumentation.

Wie oft müssen TOMs aktualisiert werden? Es gibt keine feste gesetzliche Frist. Empfohlen wird eine jährliche Überprüfung sowie eine Aktualisierung immer dann, wenn sich Prozesse, eingesetzte Tools oder die Risikolage ändern.

Was passiert, wenn TOMs fehlen oder unzureichend sind? Fehlende oder unzureichende TOMs können im Fall eines Datenschutzvorfalls zu höheren Bußgeldern führen, da sie als mangelnde Sorgfalt gewertet werden. Aufsichtsbehörden fragen die TOM-Dokumentation zudem häufig als eines der ersten Dokumente bei einer Prüfung ab.

FAZIT

Technische und organisatorische Maßnahmen sind für jedes Unternehmen Pflicht, das personenbezogene Daten verarbeitet – unabhängig von der Größe. Mit einer Kombination aus technischen Lösungen wie Verschlüsselung und Zugangskontrollen sowie organisatorischen Regeln wie Berechtigungskonzepten und Schulungen schaffen Sie ein solides, nachweisbares Schutzkonzept.

Haben Sie weitere Fragen oder benötigen Unterstützung?

DSM-Online hilft Ihnen nicht nur bei der Dokumentation Ihrer technischen und organisatorischen Maßnahmen, sondern auch bei der Datenschutz-Folgenabschätzung, der Verwaltung von Betroffenenrechten und Verletzungen, dem Erstellen von Hinweispflichten, Verträgen zur Auftragsverarbeitung und vielem mehr.

Jetzt kostenlos testen