TOM nach Art. 32 DSGVO: 14 prüffeste Maßnahmen für KMU

1. Was sind TOMs?

Technische und Organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO sind Sicherheitsmaßnahmen zum Schutz personenbezogener Daten. Sie umfassen technische Mittel (Verschlüsselung, MFA, Backup) und organisatorische Verfahren (Berechtigungen, Schulungen, Vier-Augen-Prinzip).

Das TOM-Konzept ist ein zentrales Dokument, kein Anhang je Verarbeitung. Das Verarbeitungsverzeichnis nach Art. 30 Abs. 1 DSGVO verlangt als eine seiner Pflichtangaben eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen — dafür genügt der Verweis auf das zentrale Konzept. TOM-Inhalte in jede Zeile des Verzeichnisses zu kopieren, erzeugt Doppelpflege und gehört zu den häufigen Dokumentationsfehlern.

Der Grund für die Dokumentation liegt eine Ebene höher: Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt den Nachweis der Einhaltung. Nachweisbar ist nur, was dokumentiert, datiert und versioniert vorliegt — eine gelebte, aber unbeschriebene Praxis lässt sich gegenüber einer Aufsichtsbehörde nicht belegen.

2. Risikobasiert: was 'angemessen' bedeutet

„Angemessen" heißt: Das Schutzniveau folgt dem Risiko der konkreten Verarbeitung, nicht einer festen Geräteliste. Art. 32 Abs. 1 nennt 4 Kriterien für die Angemessenheit:

• Stand der Technik — Referenzen der Aufsichtspraxis sind BSI IT-Grundschutz, ISO 27002 und die ENISA-Empfehlungen; für kryptografische Verfahren wird im Konzept dieses Artikels zusätzlich BSI TR-02102 herangezogen (siehe Tabellenzeile 10)
• Implementierungskosten
• Art, Umfang, Umstände, Zwecke der Verarbeitung
• Eintrittswahrscheinlichkeit + Schwere des Risikos für Rechte/Freiheiten

Zwei Risikoschwellen der DSGVO werden in der Praxis regelmäßig vermischt. Art. 30 Abs. 5 DSGVO stellt für die Verzeichnis-Ausnahme auf „ein Risiko für die Rechte und Freiheiten der betroffenen Personen" ab. Die Schwelle „hohes Risiko" gilt dagegen für die Datenschutz-Folgenabschätzung nach Art. 35 Abs. 1 DSGVO.

Eine DSFA ist insbesondere erforderlich bei systematischer umfassender Bewertung persönlicher Aspekte (Profiling) mit Rechtswirkung, bei umfangreicher Verarbeitung besonderer Kategorien nach Art. 9 DSGVO und bei systematischer umfangreicher Überwachung öffentlich zugänglicher Bereiche (Art. 35 Abs. 3 DSGVO). Wo eine DSFA läuft, wird das TOM-Konzept an deren Risikoergebnis gemessen — nicht am Branchendurchschnitt.

3. 14 typische TOMs für KMU

Kurzantwort: Vierzehn TOM-Maßnahmen bilden den Praxis-Standard für KMU: MFA für Admin-Konten, VPN für Remote-Zugriff, Festplattenverschlüsselung, tägliches Backup nach 3-2-1-Prinzip, Need-to-Know-Berechtigungskonzept, jährliche Schulung, Patch-Management mit 30-Tage-Frist für Critical, Vier-Augen-Prinzip, Server-Raum-Zutrittskontrolle, TLS 1.3, Pseudonymisierung in Test-Umgebungen, DIN-66399-Aktenvernichtung, jährlicher Penetrationstest sowie Notfall-Plan mit halbjährlicher Tabletop-Übung.

Bezugsgröße der folgenden Liste ist ein Betrieb mit rund 30 Beschäftigten ohne eigene IT-Abteilung, ohne Verarbeitung besonderer Kategorien nach Art. 9 DSGVO und ohne DSFA-pflichtige Verarbeitung nach Art. 35 DSGVO; bei abweichender Risikolage verschieben sich Umfang und Prüftiefe der einzelnen Maßnahmen.

Die 14 Maßnahmen im Einzelnen: Zweck und Fundstelle

Jeder Punkt nennt, wozu die Maßnahme dient und — soweit vorhanden — die Norm, aus der sich die Anforderung ergibt. Rhythmen und Fristen ohne Normbezug sind ausdrücklich als Praxisempfehlung gekennzeichnet. Einzelne Maßnahmen sind für Einrichtungen unter dem NIS2-Regime gesetzlicher Mindestbestand — die österreichischen NISG-2026-Pflichten sind dabei erst ab 1. Oktober 2026 anwendbar; welche Unternehmen darunter fallen, steht in Abschnitt 9.

1. MFA für alle Admin-Konten. Administrative Konten sind der Hebel: Wer sie übernimmt, umgeht jede darunterliegende Schutzschicht. Für Einrichtungen unter dem NIS2-Regime gehört Multi-Faktor-Authentifizierung zum gesetzlichen Mindestkatalog (§ 30 Abs. 2 BSIG 2025; § 32 Abs. 4 NISG 2026); unter Art. 32 DSGVO ist es eine risikobasierte Entscheidung, die Sie nach Art. 5 Abs. 2 DSGVO begründen und dokumentieren.
2. VPN für Remote-Zugriff. Remote-Zugriffe laufen über Netze, die Sie nicht kontrollieren; ohne Transportabsicherung ist die Vertraulichkeit der übertragenen Daten nicht überprüfbar. Zugriffskontrolle und gesicherte Kommunikation zählen für NIS2-Einrichtungen zum Mindestkatalog (§ 30 Abs. 2 BSIG 2025; § 32 Abs. 4 NISG 2026).
3. Festplattenverschlüsselung. Diese Maßnahme entscheidet über die Rechtsfolge einer Panne: Nach Art. 34 Abs. 3 DSGVO ist die Benachrichtigung der betroffenen Person nicht erforderlich, wenn geeignete technische und organisatorische Schutzmaßnahmen — insbesondere Verschlüsselung — angewandt wurden und der Schlüssel nicht mitkompromittiert ist. Ein verlorenes verschlüsseltes Gerät wird in der Praxis als niedriges Risiko eingestuft, ein unverschlüsseltes als hohes.
4. Tägliches Backup. Auch der Verlust der Verfügbarkeit kann meldepflichtig sein: Ein Hardware-Defekt mit Datenverlust löst die Meldepflicht nach Art. 33 Abs. 1 DSGVO aus, wenn ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Business Continuity und Backup zählen zudem zum NIS2-Mindestkatalog (§ 30 Abs. 2 BSIG 2025; § 32 Abs. 4 NISG 2026). Das 3-2-1-Prinzip der Tabelle steht als Praxisempfehlung für drei Kopien auf zwei verschiedenen Medientypen, davon eine außer Haus.
5. Berechtigungskonzept Need-to-Know. Es begrenzt den Schaden, den ein einzelnes übernommenes oder missbrauchtes Konto anrichten kann. In Österreich flankiert § 6 DSG das Konzept: Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter sind zur Geheimhaltung verpflichtet (Datengeheimnis).
6. Schulung jährlich. Sensibilisierung und Schulung der beteiligten Mitarbeitenden gehören zur Überwachungsaufgabe des Datenschutzbeauftragten (Art. 39 Abs. 1 lit. b DSGVO). Bei NIS2-Einrichtungen müssen zusätzlich die Leitungsorgane an Cybersicherheitsschulungen teilnehmen — in Deutschland regelmäßig (§ 38 Abs. 3 BSIG 2025), in Österreich an spezifisch gestalteten Schulungen; dort sind den Mitarbeitern zudem regelmäßig entsprechende Schulungen anzubieten (§ 31 Abs. 2 NISG 2026). Der Jahresrhythmus selbst ist Praxisempfehlung.
7. Patch-Management. Sichere Beschaffung, Entwicklung und Wartung einschließlich Schwachstellenmanagement gehören zum NIS2-Mindestkatalog (§ 30 Abs. 2 BSIG 2025; § 32 Abs. 4 NISG 2026). Die 30- und 90-Tage-Werte sind Praxisfristen aus dem eigenen Konzept, keine gesetzlichen Fristen — halten Sie sie schriftlich fest und protokollieren Sie Abweichungen mit Begründung.
8. Vier-Augen-Prinzip. Praxisempfehlung. Sie sichert das Schutzziel Integrität dort, wo ein einzelner Fehlgriff Daten unumkehrbar nach außen gibt. Bei der Vergabe an Auftragsverarbeiter trifft sie sich mit der Auswahlpflicht aus Art. 28 Abs. 1 DSGVO (Abschnitt 7).
9. Server-Raum-Zutritt. Physische Sicherheit ist die Schicht, die keine Software ersetzt; im ISO-Mapping entspricht sie A.11. Ein Zutrittsprotokoll macht im Pannenfall belegbar, wer wann Zugang hatte. Umfang, Protokolltiefe und Aufbewahrung des Protokolls sind Praxisempfehlung.
10. SSL/TLS für Web-Services. Kryptografie und Verschlüsselung zählen für NIS2-Einrichtungen zum Mindestkatalog (§ 30 Abs. 2 BSIG 2025; § 32 Abs. 4 NISG 2026). Unter Art. 32 DSGVO ist die Wahl des Verfahrens risikobasiert und am Stand der Technik zu messen; die Referenzen dafür stehen in Abschnitt 2 und verschieben sich mit der Zeit.
11. Pseudonymisierung Test-Umgebung. Art. 32 Abs. 1 lit. a DSGVO nennt Pseudonymisierung ausdrücklich als Schutzmaßnahme. Besonderes Gewicht hat sie bei besonderen Kategorien nach Art. 9 Abs. 1 DSGVO — Gesundheitsdaten, biometrische Daten zur eindeutigen Identifizierung, Gewerkschaftszugehörigkeit und weitere —, für die ein grundsätzliches Verarbeitungsverbot mit engen Ausnahmen gilt.
12. Akten-Vernichtung. Die Vernichtung setzt physisch um, was das Verarbeitungsverzeichnis als Löschfrist dokumentiert; typische Aufbewahrungspflichten sind 10 Jahre nach HGB und AO für Buchhaltungsunterlagen. Die Sicherheitsstufe nach DIN 66399 ist eine Praxisfestlegung, die Sie an der Sensibilität der Unterlagen ausrichten.
13. Penetrationstest. Er belegt Wirksamkeit statt Absicht; die Bewertung der Wirksamkeit gehört zum NIS2-Mindestkatalog. Die Nachweispflichten unterscheiden sich: In Deutschland müssen Betreiber kritischer Anlagen die Umsetzung zu einem vom BSI festgelegten Zeitpunkt — frühestens drei Jahre nach erstmaliger Einstufung — und anschließend alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen nachweisen (§ 39 Abs. 1 BSIG 2025). In Österreich übermitteln alle wesentlichen und wichtigen Einrichtungen binnen zwölf Monaten nach Eintritt der Registrierungspflicht eine strukturierte Selbstdeklaration (§ 33 Abs. 1 NISG 2026); auf Aufforderung ist die Umsetzung binnen zwei Jahren durch eine unabhängige Stelle nachzuweisen (§ 33 Abs. 2 NISG 2026). Der jährliche Test ist Praxisempfehlung.
14. Notfall-Plan + Tabletop. Die 72-Stunden-Frist des Art. 33 Abs. 1 DSGVO läuft ab Kenntnisnahme — nicht ab Abschluss der internen Bewertung. Ohne geübten Ablauf verbrennt die erste Hälfte der Frist in der Klärung von Zuständigkeiten. NIS2-Einrichtungen melden zusätzlich dreistufig (24 Stunden, 72 Stunden, ein Monat; Abschnitt 6). Die halbjährliche Tabletop-Übung ist Praxisempfehlung: Der Meldeweg wird mit allen Beteiligten am Tisch durchgesprochen, ohne technische Simulation.

4. ISO 27001-Mapping

Kurzantwort: DSGVO-TOMs lassen sich direkt auf ISO-27001-Annex-A-Controls abbilden: Zugangskontrolle entspricht A.9, Verschlüsselung A.10, physische Sicherheit A.11, Backup A.12.3, Schulung A.7.2.2, Vorfallmanagement A.16 und Lieferantenmanagement A.15. Wer ISO 27001 zertifiziert ist, deckt damit die meisten Art.-32-Anforderungen bereits ab.

Die verbleibende Lücke ist in Deutschland und Österreich verschieden zu schließen: in Deutschland über den Beschäftigtendatenschutz nach § 26 BDSG, in Österreich über die in Abschnitt 10 dargestellte Konstruktion aus Art. 6 und Art. 88 DSGVO, DSG und ArbVG.

5. Review-Zyklus + Aufsichts-Praxis

Praxis-Standard ist ein jährlicher Review plus anlassbezogene Prüfung nach Vorfällen und nach wesentlichen IT-Änderungen — Intervalle, die Praxisempfehlung sind, keine gesetzlichen Fristen. Die Aufsicht prüft das Konzept dagegen selten isoliert, sondern meist aus einem konkreten Anlass heraus, primär in zwei Konstellationen:

1. Nach einer gemeldeten Datenpanne (Art. 33): waren TOMs angemessen?
2. Bei einer DSFA-Konsultation (Art. 36): sind TOMs für das Hochrisiko ausreichend?

Die Prüfreihenfolge ist dabei nach unserer Praxiserfahrung regelmäßig dieselbe: Verarbeitungsverzeichnis, dann Auftragsverarbeitungsverträge, dann das TOM-Konzept, dann die DSFA. Das TOM-Konzept wird anschließend daran gemessen, ob es zur Risikolage der dort dokumentierten Verarbeitungen passt. Ein Konzept, das Verarbeitungen aus dem Verzeichnis nicht abdeckt, fällt in genau diesem Schritt auf.

Dokumentieren Sie Datum, Prüfer und Ergebnis jedes Reviews, damit die Aktualität des Konzepts belegbar bleibt.

6. TOM-Anpassung nach Vorfall

Nach jeder Datenpanne sind die TOMs zu überprüfen: Nach Art. 24 Abs. 1 S. 2 DSGVO werden die Maßnahmen erforderlichenfalls überprüft und aktualisiert. Dokumentation der Anpassung ist Audit-relevant. Typische Anpassungen — der jeweils zweite Halbsatz ist Praxisempfehlung für Umfang und Dokumentation:

• MFA-Rollout nach Phishing-Vorfall — zuerst Admin-Konten und externe Zugänge (VPN, Cloud), festgehalten mit Umsetzungsdatum je Kontogruppe
• Berechtigungs-Reduktion nach Insider-Vorfall — Rezertifizierung aller Rollen mit Zugriff auf den betroffenen Datenbestand, Ergebnis mit Datum und Prüfer festgehalten
• Backup-Test nach Ransomware-Vorfall — Rückspielprobe aus der außer Haus gelagerten Kopie, protokolliert mit Datum, wiederhergestelltem Umfang und Dauer
• Schulung nach 'menschlichem Versagen'-Vorfall — Nachschulung der betroffenen Abteilung mit Teilnahmeliste, statt Vorziehen der Jahresschulung für alle

Die Anpassung gehört in dieselbe Akte wie der Vorfall selbst: Nach Art. 33 Abs. 5 DSGVO ist jede Verletzung des Schutzes personenbezogener Daten zu dokumentieren — auch die nicht meldepflichtige — einschließlich Zeitpunkt, Beschreibung, Folgen, ergriffener Maßnahmen und der Begründung, falls keine Meldung erfolgt ist.

Bei der Frist läuft die Uhr parallel zu anderen Meldewegen. Die NIS2-Zeilen der folgenden Übersicht gelten ausschließlich für Einrichtungen, die unter das NIS2-Regime fallen (Abschnitt 9); die österreichischen NISG-2026-Pflichten sind dabei erst ab 1. Oktober 2026 anwendbar. Die DSGVO-Zeilen gelten für jeden Verantwortlichen:

7. TOM beim Auftragsverarbeiter

Die Auswahl eines Auftragsverarbeiters ist selbst eine organisatorische Maßnahme: Der Verantwortliche darf nach Art. 28 Abs. 1 DSGVO nur mit Auftragsverarbeitern arbeiten, die hinreichend Garantien für geeignete technische und organisatorische Maßnahmen bieten. Die Auswahl setzt damit eine Bewertung der Garantien voraus, bevor die Verarbeitung beginnt; dokumentieren Sie sie, damit sie nach Art. 5 Abs. 2 DSGVO nachweisbar bleibt.

Der Vertrag hat nach Art. 28 Abs. 3 DSGVO Gegenstand und Dauer der Verarbeitung, Art und Zweck, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen festzulegen. Auf der Gegenseite führt der Auftragsverarbeiter ein eigenes Verzeichnis mit vier Pflichtangaben; darin gehört nach Art. 30 Abs. 2 lit. d DSGVO, wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1.

Praxis: jährliche AV-TOM-Bewertung anhand eines Fragebogens, dokumentiert mit Datum und Bewertungsergebnis — ein Rhythmus, den Sie selbst festlegen, keine gesetzliche Frist. Als Nachweis der Garantien kommen dabei in Betracht: die TOM-Anlage zum AV-Vertrag, ein ISO-27001-Zertifikat mit passendem Geltungsbereich, ein aktueller Auditbericht oder die dokumentierte Beantwortung eines eigenen Fragebogens zu Zugriffskontrolle, Verschlüsselung, Backup, Unterauftragnehmern und Löschkonzept; welche davon Sie verlangen, ist Ihre Festlegung (Praxisempfehlung). In Österreich gilt für die Auftragsverarbeitung keine nationale Sonderregel; es bleibt bei Art. 28 Abs. 1 und Abs. 3 DSGVO, zusätzlich greift für die Mitarbeiter das Datengeheimnis nach § 6 DSG.

8. Sanktionsrahmen bei TOM-Mängeln

Ein TOM-Mangel fällt in den unteren der beiden Bußgeldrahmen der DSGVO. Art. 83 Abs. 4 DSGVO erfasst unter anderem Verstöße gegen die Art. 25 bis 39 — darunter Art. 32 —, der höhere Rahmen des Abs. 5 gilt dagegen unter anderem für Verstöße gegen die Verarbeitungsgrundsätze, die Einwilligungsbedingungen und die Betroffenenrechte. Die Zahlen im Einzelnen:

Zuständig ist in Deutschland für nichtöffentliche Stellen die nach Landesrecht zuständige Behörde (§ 40 Abs. 1 BDSG); die oder der BfDI ist für die öffentlichen Stellen des Bundes sowie bestimmte Anbieter von Telekommunikationsdiensten zuständig (§ 9 Abs. 1 BDSG). In Österreich ist es allein die Datenschutzbehörde, die nach § 18 Abs. 1 DSG als nationale Aufsichtsbehörde gemäß Art. 51 DSGVO eingerichtet ist.

9. Wenn zusätzlich NIS2 gilt: BSIG 2025 und NISG 2026

Ob Ihr Unternehmen neben Art. 32 DSGVO auch das NIS2-Regime erfüllen muss, entscheiden in der Regel zwei Merkmale gemeinsam: die Zugehörigkeit zu einer Einrichtungsart nach Anlage 1 bzw. Anlage 2 und die Unternehmensgröße (§ 28 BSIG 2025; §§ 24, 25 NISG 2026); bestimmte Gruppen erfassen beide Gesetze jedoch größenunabhängig. Die Einstufung im Einzelnen erläutern die Artikel zur NIS2-Umsetzung in Deutschland und zum NISG 2026 in Österreich. In Österreich beginnt die Anwendung des NISG 2026 am 1. Oktober 2026. Die Registrierung hat binnen drei Monaten ab Inkrafttreten bzw. ab Erfüllung der Voraussetzungen zu erfolgen (§ 29 Abs. 2 bis Abs. 4 NISG 2026).

Der Pflichtenkatalog überschneidet sich weitgehend mit einem TOM-Konzept: § 30 Abs. 2 BSIG 2025 und § 32 Abs. 4 NISG 2026 verlangen mindestens Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Business Continuity, Lieferkettensicherheit, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. Zusätzlich adressieren beide Gesetze die Führungsebene ausdrücklich: In Deutschland müssen Geschäftsleitungen die Maßnahmen umsetzen und ihre Umsetzung überwachen und haften bei schuldhafter Pflichtverletzung nach dem für die Rechtsform geltenden Gesellschaftsrecht (§ 38 Abs. 1 und Abs. 2 BSIG 2025); in Österreich haben die Leitungsorgane die Einhaltung sicherzustellen und zu beaufsichtigen (§ 31 Abs. 1 NISG 2026). Bei Verstößen gegen die Risikomanagement- und Meldepflichten liegen die Bußgeldrahmen bei bis zu 10 Mio. EUR für besonders wichtige und 7 Mio. EUR für wichtige Einrichtungen (§ 65 Abs. 5 bis Abs. 7 BSIG 2025); in Österreich bei bis zu 10 Mio. EUR oder 2 % bzw. 7 Mio. EUR oder 1,4 % des weltweiten Jahresumsatzes für Verwaltungsübertretungen nach § 45 Abs. 1 (§ 45 Abs. 2 und Abs. 3 NISG 2026).

10. Österreich: TOM-relevante Abweichungen

Die DSGVO gilt in Österreich unmittelbar — abweichend ist der nationale Überbau, den das DSG über Öffnungsklauseln setzt. Drei Punkte wirken direkt auf ein TOM-Konzept:

• Datengeheimnis (§ 6 DSG): Verantwortliche, Auftragsverarbeiter und ihre Mitarbeiter sind zur Geheimhaltung verpflichtet. Die Verpflichtung der Mitarbeitenden auf das Datengeheimnis ist damit in Österreich ein eigenständiger organisatorischer Baustein des TOM-Konzepts; Form und Dokumentation der Verpflichtung legen Sie selbst fest (Praxisempfehlung).
• Bildaufnahme (§§ 12, 13 DSG): Videoüberwachung hat eine eigene Zulässigkeitsnorm. § 13 Abs. 5 DSG begründet eine Kennzeichnungspflicht; eine länger als 72 Stunden andauernde Aufbewahrung muss verhältnismäßig sein und ist gesondert zu protokollieren und zu begründen (§ 13 Abs. 3 DSG). Unzulässig ist unter anderem eine Bildaufnahme zum Zweck der Kontrolle von Arbeitnehmern (§ 12 Abs. 4 Z 2 DSG).
• Beschäftigtendatenschutz: Einen eigenen Paragrafen entsprechend § 26 BDSG enthält das DSG nicht. Maßgeblich sind Art. 6 und Art. 88 DSGVO, ergänzt um § 12 Abs. 4 Z 2 DSG und § 96 Abs. 1 Z 3 ArbVG — Kontrollmaßnahmen, die die Menschenwürde berühren, nur mit Zustimmung des Betriebsrats bzw. Betriebsvereinbarung.

Auch die Benennungspflicht für den Datenschutzbeauftragten trennt beide Rechtsräume: In Deutschland greift zusätzlich § 38 Abs. 1 BDSG ab in der Regel mindestens 20 Personen, die ständig mit der automatisierten Verarbeitung beschäftigt sind — und unabhängig von der Personenzahl bei Verarbeitungen, die einer DSFA nach Art. 35 DSGVO unterliegen, sowie bei geschäftsmäßiger Übermittlung oder Markt- und Meinungsforschung. Österreich sieht keine über Art. 37 DSGVO hinausgehende zahlenmäßige Benennungsschwelle vor; dort folgt die Pflicht unmittelbar aus Art. 37 DSGVO, während § 5 DSG nur Geheimhaltung und — im öffentlichen Bereich — Weisungsfreiheit regelt.