TOMs
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO – mit Nachweis statt Behauptung.
Die meisten TOM-Dokumente sind Sammlungen von Absichtserklärungen: „Zugriffe sind beschränkt", „Daten werden verschlüsselt". Das hilft in einer Prüfung wenig. SimpleAct strukturiert die Maßnahmen entlang der neun Kategorien des Art. 32 und verlangt zu jeder einen Umsetzungsstand, einen Nachweis und – wo sinnvoll – die Verknüpfung mit den Verarbeitungen und Dienstleistern, für die die Maßnahme tatsächlich gilt.
Auf einen Blick
- Enthalten ab
- Professional
- Wo in der App
- Datenschutz → TOMs
- Ergebnis
- Maßnahmenkatalog mit Umsetzungsstand und Nachweisen
- Rechtsbezug
- Art. 32 DSGVO
- API
- /api/v1/toms
Die neun Kategorien
Der Katalog ist für jede Organisation identisch. Sie können ihn per Klick als Grundgerüst anlegen lassen – dabei werden nur fehlende Kategorien ergänzt, bestehende Einträge bleiben unangetastet.
| Kategorie | Typische Maßnahmen |
|---|---|
| Zutritts- und Zugriffskontrolle | Rollen- und Rechtekonzept, Mehrfaktor-Authentifizierung, Gebäudezugang, Rezertifizierung von Berechtigungen. |
| Verschlüsselung | Transport- und Festplattenverschlüsselung, Schlüsselverwaltung, Umgang mit Backups. |
| Integrität | Eingabekontrolle, Protokollierung von Änderungen, Schutz vor unbemerkter Manipulation. |
| Verfügbarkeit | Redundanz, Überwachung, Kapazitätsplanung, Schutz vor Ausfällen. |
| Wiederherstellbarkeit | Sicherungskonzept, Wiederanlaufzeiten, getestete Wiederherstellung. |
| Überprüfung und Evaluierung | Penetrationstests, interne Audits, regelmäßige Wirksamkeitsprüfung der Maßnahmen. |
| Pseudonymisierung | Trennung von Identifikatoren und Nutzdaten, Umgang mit Zuordnungstabellen. |
| Vertraulichkeit | Verpflichtung auf Vertraulichkeit, Trennungsgebot, Weitergabekontrolle. |
| Organisatorische Maßnahmen | Richtlinien, Zuständigkeiten, Schulungen, Prozesse für Vorfälle und Betroffenenrechte. |
Umsetzungsstand
Vier Stufen, dieselben wie bei den EU-AI-Act-Controls. Der Sprung von „umgesetzt" zu „nachgewiesen" ist der, der in einer Prüfung zählt.
| Status | Bedeutung |
|---|---|
| NOT_STARTED | Maßnahme benannt, aber nicht begonnen. |
| IN_PROGRESS | In Umsetzung. |
| IMPLEMENTED | Umgesetzt – aber ohne hinterlegten Beleg. |
| EVIDENCED | Umgesetzt und mit Nachweis belegt: Richtlinie, Testbericht, Konfigurationsauszug, Zertifikat. |
Was eine Maßnahme zusammenhält
- Titel und Beschreibung – was genau getan wird, nicht was gewollt ist.
- Nachweis-Links – Verweise auf die Belege. Mehrere Links pro Maßnahme sind möglich.
- Verknüpfte VVT-Einträge – für welche Verarbeitungen diese Maßnahme gilt. Damit beantworten Sie die Behördenfrage „welche Maßnahmen schützen diese Verarbeitung?" ohne Recherche.
- Verknüpfte Dienstleister – bei welchen Auftragsverarbeitern die Maßnahme greift.
- Datum der letzten Prüfung – Art. 32 verlangt regelmäßige Überprüfung der Wirksamkeit, nicht einmalige Einrichtung.
Das Grundgerüst ist ein Anfang, kein Ergebnis
Die neun angelegten Kategorien sind leere Hüllen mit dem richtigen Etikett. Eine Kategorie ohne Beschreibung und ohne Nachweis ist in einer Prüfung nicht besser als eine fehlende – sie sieht nur ordentlicher aus. Nehmen Sie sich pro Kategorie die Zeit, mindestens eine konkrete Maßnahme mit Beleg zu hinterlegen.