Datenschutz
TOM: Was Art. 32 DSGVO von Ihrem Betrieb verlangt
Technische und organisatorische Maßnahmen, kurz TOM: die Anlage, die jeder Auftragsverarbeitungsvertrag verlangt und kaum ein Betrieb fertig in der Schublade hat. Die gute Nachricht: Das meiste davon haben Sie vielleicht schon. Es steht nur nirgends.
Die üblichen TOM-Punkte, zum Abhaken, auf zwei Seiten.
Wie das Thema bei den meisten ankommt
Ein neuer Kunde schickt den Vertrag zur Auftragsverarbeitung, Anlage 2: „Bitte fügen Sie Ihre technischen und organisatorischen Maßnahmen bei." Oder der Datenschutzbeauftragte fragt nach dem Stand. Oder die Cyberversicherung will es im Antrag wissen.
Und dann sitzt jemand vor einem leeren Dokument und denkt, er müsste jetzt Juristendeutsch schreiben. Muss er nicht. Er muss aufschreiben, wie sein Betrieb mit Daten umgeht, und an den Stellen ehrlich werden, an denen das bisher niemand geregelt hat.
Das meiste, was Art. 32 verlangt, ist keine Juristerei. Es ist ordentliche IT, aufgeschrieben.
Was in Art. 32 wirklich steht
Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko angemessen sind. Das Wort „angemessen" steht da mit Absicht: Berücksichtigt werden der Stand der Technik, die Kosten und das Risiko der Verarbeitung. Von einer Arztpraxis verlangt das mehr als von einer Schreinerei. Von niemandem verlangt es Unmögliches.
Vier Dinge nennt der Artikel ausdrücklich: Verschlüsselung und Pseudonymisierung. Systeme, die vertraulich, intakt und verfügbar bleiben. Die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen, das ist Ihr Backup. Und ein Verfahren, die eigenen Maßnahmen regelmäßig zu überprüfen.
Die Pflicht trifft übrigens beide Seiten: den Verantwortlichen und den Auftragsverarbeiter. Wer als Dienstleister mit Kundendaten arbeitet, braucht die Liste also für sich selbst, nicht nur für den Kunden.
Warum die Liste niemand einfach weglassen kann
Vier Gründe, und keiner davon ist Panikmache.
Der Nachweis zählt, nicht die Absicht.
Die DSGVO verlangt, dass Sie die Einhaltung nachweisen können. Ins Verzeichnis der Verarbeitungstätigkeiten gehört eine Beschreibung der TOM, und die Ausnahme für kleine Betriebe ist so eng gefasst, dass sie in der Praxis selten greift. Maßnahmen, die nirgends stehen, existieren für eine Aufsichtsbehörde nicht.
Der AV-Vertrag verlangt sie sowieso.
Jeder Vertrag zur Auftragsverarbeitung muss vorsehen, dass der Dienstleister die Maßnahmen nach Art. 32 ergreift. Deshalb liegt die Anlage TOM jedem dieser Verträge bei, und deshalb kommt die Frage immer wieder: mit jedem neuen Kunden, jedem neuen Werkzeug, jeder Verlängerung.
Was üblicherweise drinsteht.
Zugänge und Passwörter, Zwei-Faktor-Anmeldung, Rechte nach Bedarf, Updates, Virenschutz, Backup, Verschlüsselung, der abgeschlossene Serverraum, geschulte Leute, Dienstleister mit AV-Vertrag, sicheres Löschen von Altgeräten. Nichts davon ist exotisch. Es ist die Grundausstattung eines ordentlich betreuten Betriebs.
Bußgelder.
Bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Das erste deutsche DSGVO-Bußgeld überhaupt, 2018, war ein Art.-32-Fall: Passwörter im Klartext gespeichert, 20.000 Euro. 2025 gingen gegen einen Telekommunikationskonzern 45 Millionen Euro raus, 30 davon wegen Art. 32. Die Spanne zeigt: Es trifft Kleine wie Große, nur in anderer Höhe.
Stand dieser Angaben: 26.08.2026. Grundlage sind der Wortlaut der DSGVO und die Praxis der Aufsichtsbehörden; eine gute Orientierung für kleine Betriebe ist die TOM-Checkliste des Bayerischen Landesamts für Datenschutzaufsicht. Das ist eine Einordnung und keine Rechtsberatung: Was für Ihren Betrieb angemessen ist, hängt am Risiko Ihrer Verarbeitung, und die förmliche Bewertung gehört zu Ihrem Datenschutzberater.
Für den letzten Punkt, die regelmäßige Überprüfung, gibt es übrigens ein ehrliches Werkzeug: einen Penetrationstest, mit Ihrer Erlaubnis.
Der ehrliche Teil: Papier schützt keine Daten
Eine TOM-Anlage kann man an einem Nachmittag schreiben. Das Problem ist nicht das Schreiben. Das Problem ist der Moment, in dem drinsteht „Sicherungen werden täglich geprüft", und in Wahrheit prüft sie niemand. Eine TOM-Liste, die nicht stimmt, ist schlimmer als keine: Sie ist ein schriftliches Versprechen, das Sie im Ernstfall bricht.
Deshalb ist der richtige Weg der unbequemere: erst ehrlich prüfen, was da ist. Dann die Lücken schließen. Dann aufschreiben. Genau dafür ist die Checkliste unten gebaut, sie fragt nicht, was Sie gerne hätten, sondern was bei Ihnen wirklich läuft.
Die Checkliste: die üblichen TOM-Punkte, zum Abhaken
Kostenlose Checkliste: die zwölf Punkte, die in fast jeder TOM-Anlage stehen, in normalem Deutsch.
Sie gehen die Liste durch und wissen danach, was Sie schon haben, was fehlt und was davon in einer Stunde erledigt ist. Kein Paragrafenvortrag. Die Grundlage für das Gespräch mit Ihrem Datenschutzberater, nicht der Ersatz dafür.
Fast geschafft. Schauen Sie in Ihr Postfach.
Wir haben Ihnen eine E-Mail mit einem Bestätigungslink geschickt. Ein Klick darauf, und Sie bekommen den Download. Nichts angekommen? Sehen Sie im Spam-Ordner nach oder rufen Sie an: 0221 630615160.
Ihre Anfrage ist da.
Mit dem Versand der Bestätigungs-Mail hat es gerade nicht geklappt. Wir kümmern uns darum und melden uns bei Ihnen. Wenn es eilt, rufen Sie an: 0221 630615160.
Sie wollen nicht warten?Kostenfreies Erstgespräch vereinbaren
Was wir dabei machen, und was nicht
Wir sind Ihr IT-Dienstleister, kein Datenschutzbüro und keine Kanzlei. Das Verzeichnis, die Verträge, die förmliche Bewertung: Das gehört zu Ihrem Datenschutzberater, und wenn Sie keinen haben, sagen wir Ihnen das auch.
Unser Teil ist die technische Hälfte, also dafür zu sorgen, dass das, was in Ihrer TOM-Anlage steht, auch stimmt: Zugänge, Updates, Virenschutz, Backup, Verschlüsselung, Monitoring. Bei unseren Vertragskunden ist das ohnehin unsere Arbeit. Dann ist die Anlage kein Versprechen mehr, sondern eine Beschreibung.
Womit wir Betriebe im Alltag absichern, steht auf IT-Sicherheit.
Ob NIS2 Ihren Betrieb betrifft und was bei KI-Inhalten zu kennzeichnen ist, steht auf zwei eigenen Seiten.
Die Anlage TOM liegt auf dem Tisch?
Dann rufen Sie an. Im Erstgespräch gehen wir die technischen Punkte durch, und Sie wissen danach, was Sie ehrlich reinschreiben können und was vorher gemacht werden muss.