Art. 32 DSGVO: TOMs richtig dokumentieren

Was Art. 32 DSGVO konkret verlangt

Art. 32 Abs. 1 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, „geeignete technische und organisatorische Maßnahmen“ zu treffen, um ein „dem Risiko angemessenes Schutzniveau“ zu gewährleisten. Das ist bewusst offen formuliert: Der Gesetzgeber nennt vier Bezugsgrößen, an denen sich das Schutzniveau ausrichten muss – Stand der Technik, Implementierungskosten, Art/Umfang/Umstände/Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten der Betroffenen.

Abs. 1 lit. a–d konkretisieren das mit einem nicht abschließenden Katalog: Pseudonymisierung und Verschlüsselung (lit. a), die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme (lit. b), die Fähigkeit zur raschen Wiederherstellung nach einem Zwischenfall (lit. c) und ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit dieser Maßnahmen (lit. d). Wichtig: „gegebenenfalls“ heißt nicht „optional nach Belieben“, sondern „soweit für die konkrete Verarbeitung relevant“.

Risikobasierter Ansatz statt Checkliste

Art. 32 Abs. 2 DSGVO macht deutlich, worauf sich die Risikobetrachtung bezieht: Vernichtung, Verlust, Veränderung, unbefugte Offenlegung von oder unbefugter Zugang zu personenbezogenen Daten – unabhängig davon, ob dies unbeabsichtigt oder unrechtmäßig geschieht. Das ist der Prüfmaßstab, an dem sich jede einzelne Maßnahme messen lassen muss.

Praktisch bedeutet das: Eine Firewall oder eine Verschlüsselungslösung ist kein Selbstzweck, sondern eine Antwort auf ein konkretes, identifiziertes Risiko. Wer TOMs ohne vorherige Risikoanalyse aufstellt, kann im Zweifel nicht begründen, warum genau diese Maßnahmen „angemessen“ sind – und läuft Gefahr, entweder zu wenig oder unverhältnismäßig viel zu tun. Beides ist im Sinne von Art. 32 Abs. 1 problematisch, weil die Norm ausdrücklich eine Abwägung zwischen Aufwand und Schutzbedarf verlangt.

Art. 32 Abs. 3 DSGVO eröffnet zusätzlich die Möglichkeit, genehmigte Verhaltensregeln nach Art. 40 oder ein genehmigtes Zertifizierungsverfahren nach Art. 42 als Nachweisfaktor zu nutzen. Das ersetzt keine eigene Risikobewertung, kann aber die Dokumentationslast erleichtern.

Typische Lücken in der Praxis

In der Beratungspraxis zeigen sich immer wieder dieselben Schwachstellen:

• Fehlendes Überprüfungsverfahren: lit. d verlangt ein Verfahren zur „regelmäßigen“ Überprüfung, Bewertung und Evaluierung der Wirksamkeit. Ein einmal erstelltes TOM-Dokument, das seit Jahren nicht aktualisiert wurde, erfüllt diese Anforderung nicht.
• Keine Wiederherstellungsfähigkeit nachgewiesen: lit. c fordert die Fähigkeit, Verfügbarkeit und Zugang „rasch“ wiederherzustellen. Ohne getestete Backup- und Recovery-Prozesse fehlt der Nachweis, dass diese Fähigkeit tatsächlich besteht – ein Notfallplan auf Papier reicht nicht.
• Verschlüsselung nur „irgendwo“: lit. a nennt Pseudonymisierung und Verschlüsselung als Beispiele, keine Pflichtmaßnahmen für jede Verarbeitung. Unternehmen setzen sie oft punktuell ein, ohne die zugrunde liegende Risikoerwägung zu dokumentieren – was im Ernstfall die Angemessenheit schwer belegbar macht.
• Weisungsgebundenheit der Mitarbeitenden ungeregelt: Abs. 4 verlangt, dass Personen mit Datenzugriff nur auf Anweisung des Verantwortlichen verarbeiten. Fehlende Vertraulichkeitsverpflichtungen oder unklare Zugriffsrechte sind ein häufiger Prüfpunkt bei Aufsichtsbehörden.

Besonders bei Auftragsverarbeitungsverhältnissen wird oft übersehen, dass Art. 32 Abs. 1 sowohl den Verantwortlichen als auch den Auftragsverarbeiter unmittelbar verpflichtet – die Pflicht lässt sich nicht allein vertraglich „nach unten“ delegieren, ohne dass der Verantwortliche die Angemessenheit der Maßnahmen selbst prüft.

Was das für die Dokumentation heißt

Ein belastbarer Nachweis nach Art. 32 DSGVO besteht typischerweise aus drei Bausteinen: einer dokumentierten Risikoanalyse pro Verarbeitungstätigkeit, einer Zuordnung konkreter technischer und organisatorischer Maßnahmen zu den identifizierten Risiken sowie einem nachvollziehbaren Turnus für Überprüfung und Aktualisierung. Fehlt einer dieser Bausteine, ist die Rechenschaftspflicht im Sinne der Verordnung nur unvollständig erfüllt – unabhängig davon, wie gut die technischen Maßnahmen im Einzelfall tatsächlich sind.

Wenn Sie einschätzen möchten, wo Ihr Unternehmen bei Art. 32 DSGVO und weiteren Pflichten aus DSGVO, DORA und EU-AI-Act steht, nutzen Sie unseren kostenlosen Risiko-Check unter /einstufung.