{
    "slug": "dsgvo-tom-art-32",
    "titre": "DSGVO Art. 32 (VO 2016/679) – Technische und organisatorische Maßnahmen (TOM), Sicherheit der Verarbeitung",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Art. 32 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) verpflichtet Verantwortliche und Auftragsverarbeiter, ein dem Risiko angemessenes…",
    "resume_court": "**Art. 32 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679)** verpflichtet **Verantwortliche und Auftragsverarbeiter**, ein dem Risiko **angemessenes Schutzniveau** für personenbezogene Daten sicherzustellen. Sie müssen dazu **geeignete technische und organisatorische Maßnahmen (TOM)** treffen – unter Berücksichtigung von **Stand der Technik**, **Implementierungskosten**, **Art, Umfang, Umständen und Zwecken** der Verarbeitung sowie der **Eintrittswahrscheinlichkeit und Schwere** des Risikos für die Rechte betroffener Personen (Art. 32 Abs. 1).\n\nDas Gesetz nennt beispielhaft vier Maßnahmengruppen: **Pseudonymisierung und Verschlüsselung** (lit. a), Sicherstellung von **Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit** der Systeme (lit. b), rasche **Wiederherstellbarkeit** nach einem Zwischenfall (lit. c) sowie ein **Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung** der Wirksamkeit der TOM (lit. d).\n\nDie DSGVO ist als **EU-Verordnung unmittelbar in Deutschland anwendbar** – ein nationales Umsetzungsgesetz ist nicht erforderlich. Verstöße gegen Art. 32 fallen in den **niedrigeren** Bußgeldrahmen des **Art. 83 Abs. 4 lit. a DSGVO**: bis zu **10 Mio. € oder 2 % des weltweiten Jahresumsatzes** (der höhere Betrag zählt). Die **Nachweislast**, dass die getroffenen TOM angemessen waren, trägt nach dem Rechenschaftsprinzip (Art. 5 Abs. 2, Art. 24) der **Verantwortliche** – das hat der EuGH mit Urteil vom **14.12.2023 (C-340/21)** ausdrücklich bestätigt.",
    "faits": [
        {
            "point": "Rechtsakt",
            "valeur": "Verordnung (EU) 2016/679 (DSGVO), Artikel 32 [EUR-Lex, CELEX:32016R0679]",
            "autorite": "A"
        },
        {
            "point": "Rechtsnatur",
            "valeur": "EU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)",
            "autorite": "A"
        },
        {
            "point": "Geltung ab",
            "valeur": "25. Mai 2018 [Art. 99 Abs. 2 DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Verpflichtete",
            "valeur": "Verantwortlicher UND Auftragsverarbeiter (Art. 32 Abs. 1)",
            "autorite": "A"
        },
        {
            "point": "Maßstab",
            "valeur": "dem Risiko angemessenes Schutzniveau – risikobasierter Ansatz",
            "autorite": "A"
        },
        {
            "point": "Abwägungskriterien",
            "valeur": "Stand der Technik, Implementierungskosten, Art/Umfang/Umstände/Zwecke, Eintrittswahrscheinlichkeit + Schwere des Risikos",
            "autorite": "A"
        },
        {
            "point": "lit. a",
            "valeur": "Pseudonymisierung und Verschlüsselung personenbezogener Daten",
            "autorite": "A"
        },
        {
            "point": "lit. b",
            "valeur": "Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit der Systeme und Dienste",
            "autorite": "A"
        },
        {
            "point": "lit. c",
            "valeur": "Fähigkeit zur raschen Wiederherstellung der Verfügbarkeit nach einem Zwischenfall",
            "autorite": "A"
        },
        {
            "point": "lit. d",
            "valeur": "Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit",
            "autorite": "A"
        },
        {
            "point": "Risikobewertung (Abs. 2)",
            "valeur": "insb. Risiken durch Vernichtung, Verlust, Veränderung, unbefugte Offenlegung/Zugang",
            "autorite": "A"
        },
        {
            "point": "Nachweis (Abs. 3)",
            "valeur": "Einhaltung durch genehmigte Verhaltensregeln (Art. 40) oder Zertifizierung (Art. 42) darlegbar",
            "autorite": "A"
        },
        {
            "point": "Weisungsbindung (Abs. 4)",
            "valeur": "unterstellte Personen dürfen Daten nur auf Weisung verarbeiten",
            "autorite": "A"
        },
        {
            "point": "Nachweislast Angemessenheit",
            "valeur": "Verantwortlicher (Art. 5 Abs. 2, Art. 24; EuGH C-340/21)",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen",
            "valeur": "bis zu 10 Mio. € oder 2 % weltweiter Jahresumsatz [Art. 83 Abs. 4 lit. a]",
            "autorite": "A"
        },
        {
            "point": "Verhältnis Datenpanne",
            "valeur": "Datenschutzverletzung ↔ Meldepflichten Art. 33/34; TOM-Verstoß eigenständig sanktionierbar",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "Verordnung (EU) 2016/679 (DSGVO) – Art. 32, Volltext (EUR-Lex)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679#d1e3527-1-1",
            "autorite": "A"
        },
        {
            "titre": "Verordnung (EU) 2016/679 (DSGVO) – Art. 83 (Geldbußen, Abs. 4 lit. a), Volltext (EUR-Lex)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679#d1e6666-1-1",
            "autorite": "A"
        },
        {
            "titre": "Europäische Kommission – Datensicherheit / Verpflichtungen zur Datensicherheit (What does data protection ‚by design\u0027 and ‚by default\u0027 mean?)",
            "url": "https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/obligations_de",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Urteil v. 14.12.2023, C-340/21 (Natsionalna agentsia za prihodite) – Beweislast für Angemessenheit der TOM (dejure.org)",
            "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH\u0026Datum=14.12.2023\u0026Aktenzeichen=C-340%2F21",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Urteil v. 25.01.2024, C-687/21 (MediaMarktSaturn) – immaterieller Schaden, hypothetisches Risiko (dejure.org)",
            "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH\u0026Datum=25.01.2024\u0026Aktenzeichen=C-687%2F21",
            "autorite": "A"
        },
        {
            "titre": "BfDI – Technischer Datenschutz / Datensicherheit (Grundlagen)",
            "url": "https://www.bfdi.bund.de/DE/Buerger/Inhalte/Allgemein/Datenschutz/GrundlagenDatenschutzrecht.html",
            "autorite": "A"
        },
        {
            "titre": "BSI – IT-Grundschutz (Stand der Technik als Orientierung für TOM)",
            "url": "https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt DSGVO Art. 32 (VO 2016/679) – Technische und organisatorische Maßnahmen (TOM), Sicherheit der Verarbeitung?",
            "reponse": "Art. 32 der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) verpflichtet Verantwortliche und Auftragsverarbeiter, ein dem Risiko angemessenes Schutzniveau für personenbezogene Daten sicherzustellen. Sie müssen dazu geeignete technische und organisatorische Maßnahmen (TOM) treffen – unter Berücksichtigung von Stand der Technik, Implementierungskosten, Art, Umfang, Umständen und Zwecken der Verarbeitung sowie…"
        },
        {
            "question": "Für wen gilt DSGVO Art. 32 (VO 2016/679)?",
            "reponse": "Art. 32 DSGVO gilt für jede ganz oder teilweise automatisierte Verarbeitung personenbezogener Daten sowie für die nichtautomatisierte Verarbeitung in einem Dateisystem (Art. 2 Abs. 1 DSGVO). Anders als die meisten Grundpflichten adressiert Art. 32 ausdrücklich sowohl den Verantwortlichen als auch den Auftragsverarbeiter – beide müssen eigenständig für angemessene Sicherheit sorgen."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei DSGVO Art. 32 (VO 2016/679)?",
            "reponse": "TOM als statische Checkliste behandeln: Art. 32 verlangt ein fortlaufendes Verfahren zur Überprüfung und Anpassung (lit. d) – einmal dokumentiert und vergessen genügt nicht. Verschlüsselung/Pseudonymisierung für zwingend halten: Sie sind gesetzliche Beispiele, keine Pflicht in jedem Fall; maßgeblich ist die risikobasierte Abwägung. Auftragsverarbeiter ausblenden: Art."
        }
    ],
    "wikidata": [
        "Q1172506",
        "Q60520997"
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-08-28",
    "derniere_verification": "2026-08-28",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/dsgvo-tom-art-32"
}