TOMs Generator

Art. 32 DSGVO verlangt, dass du personenbezogene Daten durch angemessene technische und organisatorische Maßnahmen schützt - passend zum Risiko. Was angemessen ist, sagt das Gesetz nicht im Detail, und genau das überfordert viele. Der TOMs Generator zerlegt die abstrakte Pflicht in konkrete, abhakbare Maßnahmen entlang der bewährten Schutzbereiche und macht so aus einem Paragraphen eine Liste, die du tatsächlich bearbeiten kannst.

Das Werkzeug ordnet die Maßnahmen den klassischen Kontrollbereichen zu, die aus der Datenschutzpraxis vertraut sind: Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Eingabekontrolle, Auftragskontrolle, Verfügbarkeitskontrolle und Trennungskontrolle. Zu jedem Bereich findest du konkrete Maßnahmen - vom abschließbaren Serverraum über Passwortrichtlinien und Verschlüsselung bis zum Backup-Konzept.

Jede Maßnahme lasst sich einem Schutzniveau zuordnen: Basis, Standard oder erhöht. So kannst du dein Vorgehen an das tatsächliche Risiko deiner Verarbeitung anpassen, statt pauschal alles oder nichts zu dokumentieren. Fertige Voreinstellungen für typische Unternehmensgrößen nehmen dir die erste Auswahl ab.

Dazu kommt eine Prüfhilfe. Während du Maßnahmen abhakst, zählt das Werkzeug für jeden Kontrollbereich, wie viele der passenden Maßnahmen schon angekreuzt sind. Was bei dir nicht zutrifft, etwa Sicherheitspersonal im Ein-Personen-Büro, markierst du als "nicht zutreffend", dann zählt es nicht mit. Die Liste "Diese Maßnahmen fehlen noch" zeigt dir, wo du am besten anfängst - ein Fahrplan, kein Urteil.

Zu deinem Unternehmen erfasst du die Stammdaten - Name, Ersteller, Datum, Version - und erzeugst am Ende ein übersichtliches PDF mit den umgesetzten Maßnahmen (ohne Zählung und ohne offene Punkte), das du ablegen, einem AVV als Anlage beifügen, deinem Verzeichnis von Verarbeitungstätigkeiten beilegen oder der Aufsichtsbehörde vorlegen kannst. Deine Eingaben werden als Entwurf lokal gespeichert, sodass du die Arbeit unterbrechen und später fortsetzen kannst.

Der Generator strukturiert deine Maßnahmen und hilft dir, Lücken zu erkennen. Er trifft aber keine rechtsverbindliche Aussage darüber, ob deine Maßnahmen im Einzelfall angemessen im Sinne des Art. 32 sind - das hängt vom konkreten Risiko und Stand der Technik ab. Nutze das Werkzeug für Struktur, Dokumentation und Lückenanalyse, und lass die Angemessenheit im Zweifel von einer Datenschutz-Fachkraft beurteilen.