Für Betriebe ab 1 Mitarbeiter · Kostenlos starten · Ohne Kreditkarte

Technische und organisatorische Maßnahmen nachvollziehbar dokumentieren

Art. 32 DSGVO verlangt nicht, alles zu verschlüsseln, was technisch möglich ist. Er verlangt ein dem Risiko angemessenes Schutzniveau – und den Nachweis, welche Maßnahmen Sie warum umgesetzt haben. Mit dsgvoeasy.de gehen Sie die Kontrollbereiche der Reihe nach durch, ordnen jeder Maßnahme einen Status zu und exportieren am Ende eine TOM-Dokumentation, die zu Ihrem Betrieb passt – und zum Verzeichnis von Verarbeitungstätigkeiten, in dem die Maßnahmen ohnehin als Pflichtangabe stehen.

Kostenlos starten

Maßnahmen erfassen, Verantwortliche festlegen, TOM als PDF sichern.

Geführter Katalog der Kontrollbereiche
Status je Maßnahme: geplant, umgesetzt, nicht relevant
TOM, Verarbeitungsverzeichnis und Hinweise aus denselben Angaben

Jetzt kostenlos starten

Kostenlos · ohne Zahlungsmittel · monatlich kündbar

Warum ein Prüfraster hilft

Vier Dinge, die eine belastbare TOM ausmachen

Was Art. 32 verlangt

Vertraulichkeit, Integrität und Verfügbarkeit der Systeme – dazu Belastbarkeit, Wiederherstellbarkeit und eine regelmäßige Überprüfung. Der Katalog in der Verordnung ist offen („insbesondere"), nicht abschließend.

Der Maßstab ist das Risiko

Art. 32 Abs. 1 nennt vier Kriterien: Stand der Technik, Implementierungskosten, Art und Umfang der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos. Wer das dokumentiert, kann seine Entscheidungen begründen.

Die TOM steckt schon im Verzeichnis

Nach Art. 30 Abs. 1 lit. g sind die technischen und organisatorischen Maßnahmen eine Pflichtangabe im Verzeichnis von Verarbeitungstätigkeiten. Beide Dokumente bauen im Tool auf denselben Angaben auf.

Typische Prüffrage im Audit

Aufsichtsbehörden und Auditoren fragen nicht nach dem Vorsatz, sondern nach dem Nachweis: Welche Maßnahme, wer verantwortet sie, seit wann – und wird sie noch gelebt? Ein Katalog mit Status beantwortet das.

Das klassische Prüfraster

Die acht Kontrollbereiche – und was heute dazukommt

Die Anlage zu § 9 BDSG (alte Fassung) hat acht Kontrollbereiche beschrieben, die in der Praxis bis heute als Checkliste für TOM-Dokumentationen verwendet werden. Die DSGVO greift sie nicht wörtlich auf, verlangt aber inhaltlich Vergleichbares – ergänzt um Verschlüsselung, Wiederherstellung und Löschung. Der Katalog im Tool führt Sie durch alle Bereiche:

Zutrittskontrolle – wer kommt in Räume und an Server?
Zugangskontrolle – wer darf sich an welchen Systemen anmelden?
Zugriffskontrolle – wer darf welche Daten lesen, ändern, löschen?
Weitergabekontrolle – was verlässt das Haus, und in welcher Form?
Eingabekontrolle – ist nachvollziehbar, wer wann was eingegeben hat?
Auftragskontrolle – was dürfen Dienstleister mit den Daten tun?
Verfügbarkeitskontrolle – was passiert mit der Sicherung, wenn Hardware ausfällt?
Trennungskontrolle – bleiben Zwecke und Mandanten sauber getrennt?

Dazu kommen Maßnahmen, die die DSGVO zusätzlich betont: Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a), die Fähigkeit, Verfügbarkeit nach einem Zwischenfall wiederherzustellen (lit. c) und Löschfristen, die auch technisch durchgehalten werden. Nicht relevantes können Sie im Tool ausdrücklich als „nicht relevant" kennzeichnen – mit Begründung, statt mit leerer Zeile.

So einfach geht's

In drei Schritten zur TOM-Dokumentation

Kostenlos registrieren und direkt loslegen – der Katalog nimmt Sie Bereich für Bereich mit.

Kostenlos registrieren

In 2 Minuten ein Konto anlegen – ohne Kreditkarte, sofort einsatzbereit.

Maßnahmen durchgehen

Für jeden Kontrollbereich Maßnahme, Status und Verantwortliche eintragen – oder bewusst als nicht relevant markieren.

Als PDF sichern

TOM-Dokumentation, Verzeichnis und Datenschutzhinweise entstehen aus denselben Angaben – jederzeit als PDF exportierbar.

Lieber begleitet? Der Workshop-Tag

Ein Tag, ein Experte – Ihr Datenschutz gemeinsam erledigt
Gemeinsam im Team durch alle Pflichten – ohne Fachchinesisch
Inklusive 1 Jahr vollem dsgvoeasy.de-Tool-Zugang
Ideal, wenn Sie es lieber persönlich begleitet abschließen

390 €

pro Teilnehmer

✓ Inklusive 1 Jahr
kostenfreier Tool-Zugang

Workshop ansehen

Häufige Fragen

Das fragen sich viele

Sind technische und organisatorische Maßnahmen überhaupt Pflicht?+

Ja. Art. 32 Abs. 1 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, geeignete technische und organisatorische Maßnahmen umzusetzen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Zusätzlich gehören die Maßnahmen nach Art. 30 Abs. 1 lit. g in das Verzeichnis von Verarbeitungstätigkeiten.

Was gehört alles in die TOM-Dokumentation?+

Die DSGVO zählt nichts abschließend auf. Bewährt hat sich das Prüfraster der acht Kontrollbereiche – Zutritt, Zugang, Zugriff, Weitergabe, Eingabe, Auftrag, Verfügbarkeit und Trennung – ergänzt um Verschlüsselung, Wiederherstellung und Löschung von Daten. Entscheidend ist, dass jede Maßnahme zu Ihrem Betrieb passt und einen Status bekommt.

Wie ausführlich muss unsere Dokumentation sein?+

Angemessen – nicht maximal. Art. 32 Abs. 1 nennt selbst die Maßstäbe: Stand der Technik, Implementierungskosten, Art und Umfang der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere des Risikos. Ein kleiner Handwerksbetrieb braucht also nicht dieselben Maßnahmen wie ein Rechenzentrum, aber er muss seine Entscheidungen nachvollziehbar begründen können.

Reicht eine TOM-Vorlage aus dem Internet?+

Als Gliederung ja, als Nachweis nicht. Ein unverändertes Muster sagt einer Prüfung nichts darüber, welche Maßnahmen bei Ihnen tatsächlich laufen. Im Tool starten Sie mit einem Katalog, passen ihn an und dokumentieren je Maßnahme Status und Verantwortlichkeit – erst das ergibt eine belastbare Unterlage.

Was kostet das?+

Der Start ist kostenlos und ohne Kreditkarte. Für die unbegrenzte Nutzung gibt es später optional ein Abo für 7,99 € pro Monat (netto).