TOM (Technische und organisatorische Maßnahmen)

Was die Prüfung erwartet

Die IHK prüft, ob du Art. 32 DS-GVO als Pflicht zu einem risikoangepassten Schutzniveau verstehst, nicht als starre Vorgabe. Der DIHK-Rahmenplan ordnet technische und organisatorische Maßnahmen ausdrücklich Art. 32 DS-GVO zu, auch bei der Auftragsverarbeitung. Typische Prüfungsszenarien:

• Welches Schutzniveau verlangt Art. 32 DS-GVO konkret?
• Welche Maßnahmen zählen zu den TOM und welche nicht?
• Was muss ein Auftragsverarbeitungsvertrag zu TOM regeln?

So funktioniert es

Art. 32 DS-GVO verpflichtet Verantwortliche und Auftragsverarbeiter, unter Berücksichtigung von Stand der Technik, Implementierungskosten sowie Art, Umfang und Risiko der Verarbeitung geeignete TOM zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten — der Aufwand richtet sich nach der konkreten Gefährdung, nicht nach einer festen Checkliste. Als Beispiele nennt die Norm ausdrücklich die Pseudonymisierung und Verschlüsselung personenbezogener Daten sowie die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme dauerhaft sicherzustellen.

Diese Sicherheitspflicht ist zugleich ein eigener Grundsatz der DS-GVO: Personenbezogene Daten müssen so verarbeitet werden, dass ihre Sicherheit durch geeignete technische und organisatorische Maßnahmen gewährleistet ist — Integrität und Vertraulichkeit als eigenständiger Verarbeitungsgrundsatz, keine bloße Nebenpflicht.

Beispiel aus dem Dienst

Beim nächtlichen Rundgang durch ein bewachtes Rechenzentrum bemerkst du, dass die Tür zum Serverraum unverschlossen steht und ein Zettel mit Zugangsdaten am Monitor klebt. Für die hier verarbeiteten Kundendaten reicht ein einfaches Türschloss allein nicht aus — das Risiko eines unbefugten Zugriffs ist hoch, also müsste der Betreiber zusätzlich Zutrittskontrolle und Verschlüsselung vorsehen. Du dokumentierst den Mangel und meldest ihn an die zuständige Stelle, statt ihn selbst zu beheben.

Nicht zu verwechseln mit …

Datenpanne bezeichnet den eingetretenen Schaden — den Verlust, die Vernichtung oder die unbefugte Offenlegung von Daten, meldepflichtig gegenüber der Aufsichtsbehörde. TOM wirken davor und sollen genau das verhindern, bevor eine Sicherheitsverletzung überhaupt entsteht.

Typischer Fehler in der Prüfung

Manche halten TOM für eine Pflicht zur vollständigen Verschlüsselung aller Daten ohne Ausnahme oder glauben, rein organisatorische Maßnahmen genügten — beides verkennt, dass Art. 32 DS-GVO technische und organisatorische Maßnahmen verlangt, angepasst an das jeweilige Risiko, nicht pauschal.

Quellen

• Art. 32 DS-GVO – Sicherheit der Verarbeitung · abgerufen 2026-09-04
• DIHK-Rahmenplan Bewachungsgewerbe · abgerufen 2026-09-04