Art. 32 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen” für ein dem Risiko angemessenes Schutzniveau — unter Berücksichtigung des Stands der Technik, der Kosten und der Eintrittswahrscheinlichkeit. Das ist bewusst eine Generalklausel: Die Verordnung schreibt keine Produktliste vor, sondern eine Denkweise. Genau daran scheitern viele TOM-Dokumente.
Das Problem mit der Copy-Paste-TOM-Liste
Wir lesen in Bestandsaufnahmen regelmäßig TOM-Anlagen, die seit Jahren unverändert sind: „Zutrittskontrolle: Schließanlage. Zugriffskontrolle: Passwörter.” Das beschreibt jedes Bürogebäude seit 1995. Eine TOM-Dokumentation taugt erst dann etwas, wenn sie drei Fragen beantwortet: Welches Risiko adressiert die Maßnahme, wie konkret ist sie umgesetzt, und wann wurde zuletzt geprüft, ob sie wirkt?
Was heute erwartbar ist
„Stand der Technik” ist ein bewegliches Ziel. Ohne Anspruch auf Vollständigkeit — diese Punkte gehören 2026 in praktisch jede Bewertung:
- Verschlüsselung als Default: Transportverschlüsselung überall, Datenträgerverschlüsselung auf jedem mobilen Gerät. Ein verlorener verschlüsselter Laptop ist ein Ärgernis; ein unverschlüsselter ist eine meldepflichtige Datenpanne.
- Mehr-Faktor-Authentifizierung für alle von außen erreichbaren Zugänge — E-Mail, VPN, Cloud-Dienste. Passwort-only ist für externe Zugänge kaum noch verteidigbar.
- Rollenbasierte Zugriffe mit Wiederkehr-Prüfung: Nicht die Vergabe ist das Problem, sondern der nie entzogene Zugriff des Kollegen, der vor zwei Jahren die Abteilung gewechselt hat.
- Getestete Backups: Die Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c verlangt sie ausdrücklich!) zeigt sich nur in der Rücksicherungsübung.
- Protokollierung und die organisatorische Hälfte: Vertretungsregeln, Offboarding-Checkliste, Clean-Desk, Schulungen — die unglamouröse Hälfte, die in Prüfungen am häufigsten fehlt.
Der Wirksamkeits-Paragraf, den alle überlesen: Art. 32 Abs. 1 lit. d verlangt ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Maßnahmen. Eine TOM-Liste ohne Prüfturnus erfüllt den Artikel schon dem Wortlaut nach nicht.
Datenschutz und Informationssicherheit: zwei Disziplinen, ein Maßnahmenkatalog
Die TOM sind der Ort, an dem Datenschutz und Informationssicherheit sich treffen: Dieselbe Verschlüsselung, dieselbe Zugriffssteuerung, dieselben Backups zahlen auf DSGVO und ISO 27001 ein. Wer beides getrennt dokumentiert, pflegt zwei Wahrheiten — wer es verzahnt, spart Aufwand und Widersprüche. Genau deshalb betreuen wir Mandate gern in Kombination; wie das organisatorisch aussieht, zeigt unser Portal für Informationssicherheit.
Fazit
Gute TOM erkennen Sie nicht an der Länge der Liste, sondern an drei Merkmalen: Sie sind risikobasiert begründet, konkret genug zum Nachprüfen und haben einen Prüfturnus. Alles andere ist Dekoration — und fällt spätestens auf, wenn Aufsicht oder Auditor die erste Nachfrage stellen.