Technische und organisatorische Maßnahmen (TOM): Bedeutung und Definition

Definition: Technische und organisatorische Maßnahmen sind die Vorkehrungen, mit denen Verantwortliche und Auftragsverarbeiter ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten gewährleisten (Art. 32 DSGVO). Dazu zählen etwa Verschlüsselung, Zugriffskonzepte, Backups und Schulungen.

Art. 32 Abs. 1 DSGVO verlangt, den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung gegen Eintrittswahrscheinlichkeit und Schwere der Risiken abzuwägen. Ausdrücklich genannt sind Pseudonymisierung und Verschlüsselung, die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellbarkeit nach einem Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung. Nach dem EuGH (Urteil vom 14.12.2023, C-340/21) folgt aus einem erfolgreichen Hackerangriff nicht automatisch, dass die Maßnahmen unzureichend waren; die Beweislast für ihre Geeignetheit trägt aber der Verantwortliche.

Bedeutung für Sie

Die TOM sind Pflichtbestandteil jedes Auftragsverarbeitungsvertrags und werden im Verzeichnis der Verarbeitungstätigkeiten beschrieben. Dokumentieren Sie, warum Sie welche Maßnahme gewählt haben, und überprüfen Sie die Wirksamkeit regelmäßig.

Mehr dazu: Datenschutz-Set-up

Rechtsgrundlagen

• Art. 32 DSGVO Normtext Art. 32 DSGVO (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab) 7 Urteile zu Art. 32 DSGVO
• Art. 28 Abs. 3 DSGVO Normtext Art. 28 Abs. 3 DSGVO (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab) 2 Urteile zu Art. 28 DSGVO
• Art. 30 DSGVO Normtext Art. 30 DSGVO (amtlicher Text, öffnet neues Fenster) (öffnet in neuem Tab)

Passende Urteile

• AG Duisburg: Kein DSGVO-Schadensersatz nach MOVEit-Cyberangriff auf Dienstleister eines VersicherersAG Duisburg Richterin am Amtsgericht, 13.01.2026, Az. 513 C 1345/25
• EuGH: Betreiber eines Online-Marktplatzes ist für personenbezogene Daten in Nutzeranzeigen datenschutzrechtlich verantwortlichEuGH (Große Kammer), 02.12.2025, Az. C-492/23
• LG Krefeld: Kein Schmerzensgeld nach Cyberangriff auf Datentransfer-Software eines AuftragsverarbeitersLG Krefeld 3. Zivilkammer, 06.11.2025, Az. 3 O 93/24

Zur Urteilsdatenbank