Technische und organisatorische Maßnahmen (TOM) sind die Sicherheitsvorkehrungen, mit denen Unternehmen personenbezogene Daten nach Art. 32 DSGVO schützen. Technische Maßnahmen umfassen etwa Verschlüsselung, Firewalls und Backups; organisatorische Maßnahmen regeln Prozesse wie Zugriffsberechtigungen, Schulungen und Vertretungsregelungen. Die Maßnahmen müssen dem Risiko der Verarbeitung angemessen sein und dokumentiert werden.
Wie funktionieren TOM?
Die DSGVO verlangt ein Schutzniveau, das dem Risiko der jeweiligen Datenverarbeitung angemessen ist — ein risikobasierter Ansatz statt starrer Checklisten. Technische Maßnahmen setzen direkt an Systemen an: Verschlüsselung von Datenträgern und Übertragungswegen (etwa HTTPS), Firewalls, Virenschutz, regelmäßige Updates, Backups und Zwei-Faktor-Authentifizierung.
Organisatorische Maßnahmen steuern das Verhalten von Menschen und Prozessen: ein Berechtigungskonzept nach dem Need-to-know-Prinzip, Verpflichtung der Mitarbeitenden auf Vertraulichkeit, regelmäßige Schulungen, klare Regeln für Homeoffice und mobile Geräte, ein Prozess für den Umgang mit Datenpannen sowie die sichere Vernichtung von Unterlagen.
Warum sind TOM wichtig?
TOM sind das praktische Rückgrat des Datenschutzes: Rechtsgrundlagen und Verträge nützen wenig, wenn Daten technisch ungeschützt sind. Bei einer Datenpanne prüfen Aufsichtsbehörden regelmäßig, ob angemessene Maßnahmen vorhanden waren — unzureichende TOM können Bußgelder begründen oder erhöhen. Zudem verlangen Auftragsverarbeitungsverträge eine Beschreibung der TOM des Dienstleisters.
Für Kanzleien und Steuerberater gilt das verschärft: Mandatsdaten sind besonders schutzwürdig, und die berufsrechtliche Verschwiegenheitspflicht ergänzt die DSGVO. Verschlüsselte Kommunikation, saubere Berechtigungskonzepte und geprüfte Cloud-Dienste gehören hier zum Pflichtprogramm.
TOM in der Praxis
In der Praxis werden TOM in einem Dokument beschrieben, das sich an den Schutzzielen orientiert: Vertraulichkeit (Zutritts-, Zugangs- und Zugriffskontrolle), Integrität (Weitergabe- und Eingabekontrolle), Verfügbarkeit (Backups, Wiederherstellung) und Belastbarkeit der Systeme. Dieses Dokument wird Auftragsverarbeitungsverträgen als Anlage beigefügt und regelmäßig aktualisiert.
Auch Websites brauchen TOM: HTTPS-Verschlüsselung, aktuelle CMS- und Plugin-Versionen, sichere Passwörter und beschränkte Admin-Zugänge, regelmäßige Backups sowie ein Hosting-Anbieter mit angemessenem Sicherheitsniveau. Wer WordPress oder andere Systeme einsetzt, sollte Updates und Sicherheits-Monitoring fest einplanen — veraltete Plugins zählen zu den häufigsten Einfallstoren.