---
title: "TOM (Technische und organisatorische Maßnahmen)"
description_de: "TOM sind die konkreten Schutzmaßnahmen, die Unternehmen zum Datenschutz nach DSGVO umsetzen müssen."
description_en: "TOM are the concrete protection measures companies must implement for GDPR compliance."
url: /wissen/glossar/tom
datePublished: 2026-07-07
dateModified: 2026-07-07
author: Tim Friedrich Dekker
primaryQuery: "Was sind TOM?"
---

# TOM (Technische und organisatorische Maßnahmen)

<AnswerCapsule>
  TOM (Technische und organisatorische Maßnahmen) sind die konkreten Schutzvorkehrungen zum Datenschutz — von Verschlüsselung und [MFA](/wissen/glossar/mfa) bis Zugriffskontrolle, [Backup](/wissen/glossar/backup) und Schulung — die Art. 32 [DSGVO](/wissen/it-sicherheit/dsgvo-kmu) verlangt.
</AnswerCapsule>

## Was bedeutet TOM?

TOM müssen dem Risiko angemessen sein: Kanzlei mit Gesundheitsdaten höher als reine B2B-Werkstatt. Typische IT-TOM: Verschlüsselung Laptops, Firewall, Patch, [MFA](/wissen/glossar/mfa), Logging, [Backup](/wissen/glossar/backup), [Notfallplan](/wissen/glossar/it-notfallplan), [AVV](/wissen/glossar/avv) mit Dienstleistern.

TOM auf Papier müssen zur Praxis passen — „Verschlüsselung aller Geräte“ ohne BitLocker-Report ist Audit-Risiko. IT liefert Nachweise, Datenschutz pflegt Texte.

TOM-Katalog an Risiko anpassen — nicht alle 90 Maßnahmen für jedes KMU. Priorisierung mit Datenschutz: Was schützt die sensibelsten Verarbeitungen (Mandanten, Gesundheit, Bewerber)?

Typische IT-TOM in Kanzleien: Verschlüsselung der Festplatten, Protokollierung von Zugriffen auf Mandantenordner, regelmäßige Wiederherstellungstests und schriftliche Weisungen zur Nutzung von E-Mail und Cloud. Diese Punkte lassen sich technisch nachweisen — Screenshots aus Intune, Defender und Backup-Konsole reichen oft für Prüfer.

TOM beschreiben technische und organisatorische Maßnahmen — Verschlüsselung, Zugriffskontrolle, [Backup](/wissen/glossar/backup), Schulung, Protokollierung. Sie müssen zur tatsächlichen Umsetzung passen; generische Vorlagen ohne Anpassung überzeugen Datenschutzbeauftragte und Behörden selten.

## Warum ist TOM relevant für KMU?

Behörde fragt nach TOM bei Beschwerde — leere Floskeln reichen nicht.

TOM strukturieren Budget: was fehlt wirklich vs. was ist Marketing?

Behördenfrage nach TOM bei Beschwerde: Screenshots und Exporte liefern, nicht nur PDF. IT und Datenschutz gemeinsam quartalsweise abgleichen.

TOM verbinden Datenschutz und Technik — ohne IT-Input sind TOM Fiktion. Umgekehrt liefert IT konkrete Maßnahmen, die Prüfer verstehen, wenn sie zur Realität passen.

TOM nicht von Vorlage kopieren ohne Anpassung — Behörden erkennen Generika. Technische Nachweise sammeln laufend — nicht vor Audit hetzen. Priorisierung mit Datenschutz abstimmen.

Behörden und Auftraggeber vergleichen TOM mit der technischen Realität — generische Copy-Paste-Listen erkennen Prüfer schnell. Laufende Pflege mit Screenshots und Verweisen auf konkrete Systeme ([MFA](/wissen/glossar/mfa), [Backup](/wissen/glossar/backup), Verschlüsselung) macht Nachweise glaubwürdig.

Priorisieren Sie drei Maßnahmen pro Quartal statt alles auf einmal — Fortschritt dokumentieren und mit Datenschutz abstimmen.

## Typische Fehler

* Standard-TOM-Vorlage unverändert übernommen
* TOM widersprechen technischem Zustand
* Keine Review nach Systemwechsel
* TOM nur Datenschutz, IT nie eingebunden

## Praxisbeispiel

Steuerkanzlei aktualisiert TOM nach M365-Migration: [MFA](/wissen/glossar/mfa), [Conditional Access](/wissen/glossar/conditional-access), [Backup](/wissen/glossar/backup), AVV-Liste SaaS. Prüfung durch Wirtschaftsprüfer — IT-Exporte als Anlage, keine Widersprüche.

Im DSGVO-Audit verlangt die Datenschutzbeauftragte Nachweise zu Verschlüsselung, Backup-Tests und Zugriffskontrolle. IT liefert Screenshots aus Entra ID, Restore-Protokoll und Passwort-Manager-Richtlinie — die TOM-Liste wird an drei Stellen präzisiert statt neu erfunden.

## Verwandte Begriffe

* [AVV](/wissen/glossar/avv)
* [Multi-Faktor-Authentifizierung](/wissen/glossar/mfa)
* [Backup](/wissen/glossar/backup)
* [DSGVO für KMU](/wissen/it-sicherheit/dsgvo-kmu)

<ServiceCta />


## FAQ

### Wo dokumentiere ich TOM?

Im Verzeichnis der Verarbeitungstätigkeiten und Datenschutzkonzept — abgestimmt mit technischer Realität.