TOM (Technische und organisatorische Maßnahmen) sind die konkreten Schutzvorkehrungen zum Datenschutz — von Verschlüsselung und MFA bis Zugriffskontrolle, Backup und Schulung — die Art. 32 DSGVO verlangt.
Was bedeutet TOM?
TOM müssen dem Risiko angemessen sein: Kanzlei mit Gesundheitsdaten höher als reine B2B-Werkstatt. Typische IT-TOM: Verschlüsselung Laptops, Firewall, Patch, MFA, Logging, Backup, Notfallplan, AVV mit Dienstleistern.
TOM auf Papier müssen zur Praxis passen — „Verschlüsselung aller Geräte“ ohne BitLocker-Report ist Audit-Risiko. IT liefert Nachweise, Datenschutz pflegt Texte.
TOM-Katalog an Risiko anpassen — nicht alle 90 Maßnahmen für jedes KMU. Priorisierung mit Datenschutz: Was schützt die sensibelsten Verarbeitungen (Mandanten, Gesundheit, Bewerber)?
Typische IT-TOM in Kanzleien: Verschlüsselung der Festplatten, Protokollierung von Zugriffen auf Mandantenordner, regelmäßige Wiederherstellungstests und schriftliche Weisungen zur Nutzung von E-Mail und Cloud. Diese Punkte lassen sich technisch nachweisen — Screenshots aus Intune, Defender und Backup-Konsole reichen oft für Prüfer.
TOM beschreiben technische und organisatorische Maßnahmen — Verschlüsselung, Zugriffskontrolle, Backup, Schulung, Protokollierung. Sie müssen zur tatsächlichen Umsetzung passen; generische Vorlagen ohne Anpassung überzeugen Datenschutzbeauftragte und Behörden selten.
Warum ist TOM relevant für KMU?
Behörde fragt nach TOM bei Beschwerde — leere Floskeln reichen nicht.
TOM strukturieren Budget: was fehlt wirklich vs. was ist Marketing?
Behördenfrage nach TOM bei Beschwerde: Screenshots und Exporte liefern, nicht nur PDF. IT und Datenschutz gemeinsam quartalsweise abgleichen.
TOM verbinden Datenschutz und Technik — ohne IT-Input sind TOM Fiktion. Umgekehrt liefert IT konkrete Maßnahmen, die Prüfer verstehen, wenn sie zur Realität passen.
TOM nicht von Vorlage kopieren ohne Anpassung — Behörden erkennen Generika. Technische Nachweise sammeln laufend — nicht vor Audit hetzen. Priorisierung mit Datenschutz abstimmen.
Behörden und Auftraggeber vergleichen TOM mit der technischen Realität — generische Copy-Paste-Listen erkennen Prüfer schnell. Laufende Pflege mit Screenshots und Verweisen auf konkrete Systeme (MFA, Backup, Verschlüsselung) macht Nachweise glaubwürdig.
Priorisieren Sie drei Maßnahmen pro Quartal statt alles auf einmal — Fortschritt dokumentieren und mit Datenschutz abstimmen.
Typische Fehler
- Standard-TOM-Vorlage unverändert übernommen
- TOM widersprechen technischem Zustand
- Keine Review nach Systemwechsel
- TOM nur Datenschutz, IT nie eingebunden
Praxisbeispiel
Steuerkanzlei aktualisiert TOM nach M365-Migration: MFA, Conditional Access, Backup, AVV-Liste SaaS. Prüfung durch Wirtschaftsprüfer — IT-Exporte als Anlage, keine Widersprüche.
Im DSGVO-Audit verlangt die Datenschutzbeauftragte Nachweise zu Verschlüsselung, Backup-Tests und Zugriffskontrolle. IT liefert Screenshots aus Entra ID, Restore-Protokoll und Passwort-Manager-Richtlinie — die TOM-Liste wird an drei Stellen präzisiert statt neu erfunden.
Verwandte Begriffe
Persönliche IT-Betreuung
Sie brauchen einen festen Ansprechpartner statt Einzel-Lösungen? Tim unterstützt Unternehmen bis 25 Mitarbeiter verständlich und persönlich.
Externe IT-Betreuung anfragen