Technische und organisatorische Maßnahmen (TOMs) für kleine Unternehmen: Der praxisnahe Leitfaden 2026

Jedes Unternehmen, das personenbezogene Daten verarbeitet, muss diese Daten angemessen schützen. Das gilt für den Handwerksbetrieb mit fünf Beschäftigten genauso wie für den Online-Shop oder die Steuerkanzlei. Das rechtliche Werkzeug dafür heißt technische und organisatorische Maßnahmen, kurz TOMs.

Viele kleine Unternehmen haben TOMs entweder gar nicht dokumentiert oder eine Vorlage aus dem Internet abgelegt, die mit dem eigenen Betrieb wenig zu tun hat. Beides ist riskant. Seit der Europäische Gerichtshof klargestellt hat, dass der Verantwortliche die Angemessenheit seiner Sicherheitsmaßnahmen beweisen muss, ist eine saubere TOM-Dokumentation mehr als eine Formalie.

In diesem Leitfaden erfahren Sie, was Art. 32 DSGVO konkret verlangt, welche Maßnahmen für kleine Unternehmen zuerst kommen sollten und wie Sie Ihre TOMs in sechs Schritten dokumentieren.

Was sind TOMs? Die Rechtsgrundlage in Art. 32 DSGVO

TOMs sind alle Vorkehrungen, mit denen ein Unternehmen die Sicherheit personenbezogener Daten gewährleistet. Technische Maßnahmen setzen an Systemen an, etwa Verschlüsselung, Firewalls oder Backups. Organisatorische Maßnahmen regeln Abläufe und Verantwortlichkeiten, etwa Berechtigungskonzepte, Schulungen oder Verpflichtungen auf Vertraulichkeit.

Zentrale Norm ist Art. 32 DSGVO (Sicherheit der Verarbeitung). Danach müssen Verantwortliche und Auftragsverarbeiter geeignete Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Vorschrift nennt beispielhaft:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten (Abs. 1 lit. a)
• die Fähigkeit, Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer sicherzustellen (Abs. 1 lit. b)
• die Fähigkeit, Verfügbarkeit und Zugang zu den Daten nach einem Zwischenfall rasch wiederherzustellen (Abs. 1 lit. c)
• ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen (Abs. 1 lit. d)

Art. 32 steht nicht allein. Er wirkt zusammen mit weiteren Pflichten:

• Art. 24 DSGVO: Der Verantwortliche muss Maßnahmen treffen und nachweisen können, dass die Verarbeitung DSGVO-konform erfolgt.
• Art. 25 DSGVO: Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen.
• Art. 28 Abs. 3 lit. c DSGVO: Auftragsverarbeiter müssen vertraglich auf Maßnahmen nach Art. 32 verpflichtet werden. Die TOMs des Dienstleisters sind deshalb regelmäßig Anlage zum AV-Vertrag.
• Art. 5 Abs. 1 lit. f und Abs. 2 DSGVO: Grundsatz der Integrität und Vertraulichkeit sowie die Rechenschaftspflicht.

Wer noch die alten Kategorien aus dem früheren BDSG kennt (Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe-, Auftrags- und Verfügbarkeitskontrolle sowie Trennungsgebot), kann diese weiterhin als Gliederungshilfe nutzen. Methodisch zeitgemäßer ist jedoch die Orientierung an Schutzzielen, wie sie auch das Standard-Datenschutzmodell (SDM) der Datenschutzkonferenz verwendet.

„Angemessen“ statt „maximal“: Der risikobasierte Ansatz

Die DSGVO schreibt keinen festen Maßnahmenkatalog vor. Sie verlangt ein Schutzniveau, das dem Risiko angemessen ist. Die Maßnahmen müssen zur konkreten Verarbeitung passen. Auch ein kleiner Betrieb kann einen hohen Schutzbedarf haben – etwa eine Physiotherapiepraxis, die Gesundheitsdaten verarbeitet.

Was angemessen ist, ergibt sich nach Art. 32 Abs. 1 DSGVO aus einer Abwägung folgender Kriterien:

• Stand der Technik: Maßnahmen, die sich in der Praxis bewährt haben und am Markt verfügbar sind. Veraltete Verfahren, etwa unverschlüsselte Funkverbindungen oder Betriebssysteme ohne Sicherheitsupdates, genügen nicht.
• Implementierungskosten: Aufwand und Kosten dürfen berücksichtigt werden, rechtfertigen aber kein Unterschreiten eines Mindestniveaus.
• Art, Umfang, Umstände und Zwecke der Verarbeitung: Gesundheitsdaten, Bankdaten oder Daten von Kindern verlangen mehr Schutz als eine Liste mit Firmenansprechpartnern.
• Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der betroffenen Personen.

Entscheidend ist der Blickwinkel: Gemessen wird das Risiko für die betroffenen Personen, nicht in erster Linie das Risiko für das Unternehmen. Ein Datenleck bei Bewerberdaten ist für den Betrieb vielleicht ärgerlich, für die Bewerberinnen und Bewerber aber möglicherweise folgenreich.

Praxistipp: Teilen Sie Ihre Verarbeitungen in drei Schutzstufen ein (normal, hoch, sehr hoch). Welche Stufe passt, hängt von den Daten und den möglichen Folgen für die betroffenen Personen ab. Personalakten, Gesundheitsdaten oder Zahlungsdaten können einen erhöhten Schutzbedarf begründen. In den von § 22 Abs. 1 BDSG erfassten Fällen verlangt § 22 Abs. 2 BDSG zusätzliche angemessene und spezifische Schutzmaßnahmen.

Warum die TOM-Dokumentation für den Nachweis wichtig ist

Art. 32 DSGVO sagt nicht ausdrücklich, dass TOMs schriftlich festgehalten werden müssen. Die Pflicht ergibt sich aber aus der Rechenschaftspflicht (Art. 5 Abs. 2, Art. 24 Abs. 1 DSGVO): Sie müssen nachweisen können, dass Ihre Maßnahmen angemessen sind. Ohne Dokumentation gelingt dieser Nachweis praktisch nicht.

Das EuGH-Urteil C-340/21: Beweislast beim Unternehmen

Wie wichtig das ist, zeigt das Urteil des EuGH vom 14.12.2023 (Rs. C-340/21). Hintergrund war ein Hackerangriff auf die bulgarische Steuerbehörde, bei dem Daten von mehr als sechs Millionen Menschen veröffentlicht wurden. Der Gerichtshof stellte drei Punkte klar:

1. Ein erfolgreicher Angriff beweist für sich genommen nicht, dass die Schutzmaßnahmen ungeeignet waren. Die DSGVO verlangt Risikomanagement, keine absolute Sicherheit.
2. Im Schadensersatzprozess nach Art. 82 DSGVO trägt der Verantwortliche die Beweislast dafür, dass seine Sicherheitsmaßnahmen angemessen waren.
3. Schon die begründete Befürchtung eines Datenmissbrauchs kann einen immateriellen Schaden darstellen.

Für kleine Unternehmen bedeutet das: Wer nach einem Vorfall nur sagen kann „wir hatten eigentlich alles im Griff“, steht schlecht da. Eine aktuelle, nachvollziehbare TOM-Dokumentation mit Überprüfungsnachweisen hilft, die tatsächlichen Maßnahmen und ihre Angemessenheit darzulegen. Sie ersetzt weder die Umsetzung noch die Bewertung des konkreten Vorfalls.

Die wichtigsten TOMs für kleine Unternehmen

Die folgende Übersicht ordnet typische Maßnahmen den Schutzzielen zu und priorisiert sie. „Basis“ kennzeichnet einen sinnvollen Ausgangspunkt, „Erweitert“ zusätzliche Maßnahmen bei höherem Schutzbedarf. Die Einordnung und die genannten Intervalle sind Praxisempfehlungen; Art. 32 DSGVO gibt weder diesen Katalog noch starre Prüf- oder Schulungsfristen vor. Die konkrete Auswahl richtet sich nach Ihrem Risiko.

Woran kleine Unternehmen in der Praxis am häufigsten scheitern: fehlende Mehr-Faktor-Authentifizierung, Backups ohne Wiederherstellungstest, nicht entzogene Zugangsrechte ehemaliger Mitarbeitender und sensible Unterlagen im unverschlüsselten E-Mail-Anhang. Diese vier Punkte sind ein guter Start für die Prüfung; welche Risiken danach verbleiben, muss individuell bewertet werden.

In 6 Schritten zur eigenen TOM-Dokumentation

1. Verarbeitungen erfassen. Ausgangspunkt ist Ihr Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO). Es zeigt, welche Daten wo, in welchen Systemen und bei welchen Dienstleistern verarbeitet werden. Art. 30 Abs. 1 lit. g DSGVO sieht dort, wenn möglich, eine allgemeine Beschreibung der TOMs vor.
2. Systeme und Datenflüsse inventarisieren. Listen Sie Geräte, Software, Cloud-Dienste und Speicherorte auf. Vergessene Systeme, etwa ein altes NAS oder ein privates Messenger-Konto für Kundenkommunikation, sind typische Schwachstellen.
3. Schutzbedarf bestimmen. Ordnen Sie jeder Verarbeitung eine Schutzstufe zu und begründen Sie diese kurz. Diese Begründung ist später Ihr wichtigstes Argument gegenüber Aufsichtsbehörde oder Gericht.
4. Ist-Zustand erheben und Lücken schließen. Gleichen Sie Ihre vorhandenen Maßnahmen mit der Tabelle oben ab. Halten Sie für jede Lücke fest, wer bis wann welche Maßnahme umsetzt.
5. Konkret dokumentieren. Beschreiben Sie Ihre tatsächlichen Maßnahmen, nicht theoretische. „Laptops sind mit BitLocker verschlüsselt, Wiederherstellungsschlüssel liegen im Passwortmanager der Geschäftsführung“ ist belastbar. „Es werden angemessene Verschlüsselungsverfahren eingesetzt“ ist es nicht.
6. Regelmäßig überprüfen. Art. 32 Abs. 1 lit. d DSGVO verlangt ein Verfahren zur regelmäßigen Überprüfung. Legen Sie ein zum Risiko passendes Prüfintervall fest, beispielsweise jährlich, sowie eine anlassbezogene Prüfung bei neuen Systemen, Dienstleistern oder nach Sicherheitsvorfällen. Dokumentieren Sie Datum, Ergebnis und Maßnahmen.

Tipp für den Aufwand: Die TOM-Dokumentation kann bei überschaubaren Verarbeitungen schlank ausfallen. Entscheidend sind die tatsächlichen Risiken, konkrete Angaben und die laufende Pflege – nicht eine bestimmte Seitenzahl oder Beschäftigtenzahl.

Häufige Fehler bei TOMs

• Muster ohne Anpassung: Eine kopierte Vorlage beschreibt oft Maßnahmen, die es im Betrieb gar nicht gibt. Im Streitfall kann das schaden, weil die Dokumentation dann erkennbar nicht der Realität entspricht.
• Einmal erstellt, nie gepflegt: TOMs sind kein Projekt mit Enddatum. Neue Software, neue Mitarbeitende oder ein Umzug in die Cloud verändern das Risikobild.
• Dienstleister vergessen: Ihre Pflicht endet nicht an der eigenen Firewall. Hosting-Anbieter, Lohnbuchhaltung oder IT-Dienstleister müssen ihre TOMs nachweisen, und Sie müssen diese vor Vertragsschluss prüfen.
• Nur Technik, keine Organisation: Verschlüsselung, sichere Zugangsdaten und klare Abläufe müssen zusammenwirken. Schulungen, klare Zuständigkeiten und Meldewege gehören dazu.
• TOMs mit der Meldepflicht verwechseln: Art. 32 regelt die Vorbeugung. Was nach einer Datenpanne zu tun ist, regeln Art. 33 und 34 DSGVO. Beides sollte aufeinander abgestimmt sein, etwa durch einen Notfallplan.

Fazit: TOMs umsetzen und nachvollziehbar dokumentieren

Technische und organisatorische Maßnahmen müssen für kleine Unternehmen weder teuer noch kompliziert sein. Entscheidend ist, dass sie zum eigenen Betrieb passen, konkret dokumentiert sind und regelmäßig überprüft werden. Das EuGH-Urteil C-340/21 unterstreicht, wie wichtig nachvollziehbare Nachweise über die Angemessenheit der tatsächlich umgesetzten Maßnahmen sind.

Beginnen Sie mit den Basis-Maßnahmen: Mehr-Faktor-Authentifizierung, getestete Backups, sauberes Rechtemanagement und verschlüsselte Übermittlung sensibler Daten. Darauf lässt sich Schritt für Schritt aufbauen.

Sie möchten Ihre TOMs prüfen oder neu aufsetzen lassen? TriLex Digital Solutions unterstützt kleine und mittlere Unternehmen bei der Bestandsaufnahme, der Dokumentation und der regelmäßigen Überprüfung, auf Wunsch auch als externer Datenschutzbeauftragter. Jetzt unverbindliches Erstgespräch vereinbaren

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Stand: Oktober 2026.