TOMs Generator

Art. 32 DSGVO verlangt, dass du personenbezogene Daten durch angemessene technische und organisatorische Maßnahmen schützt - passend zum Risiko. Was angemessen ist, sagt das Gesetz nicht im Detail, und genau das überfordert viele. Der TOMs Generator zerlegt die abstrakte Pflicht in konkrete, abhakbare Maßnahmen entlang der bewährten Schutzbereiche und macht so aus einem Paragraphen eine Liste, die du tatsächlich bearbeiten kannst.

Das Werkzeug ordnet die Maßnahmen den klassischen Kontrollbereichen zu, die aus der Datenschutzpraxis vertraut sind: Zutrittskontrolle, Zugangskontrolle, Zugriffskontrolle, Weitergabekontrolle, Eingabekontrolle, Auftragskontrolle, Verfügbarkeitskontrolle und Trennungskontrolle. Zu jedem Bereich findest du konkrete Maßnahmen - vom abschließbaren Serverraum über Passwortrichtlinien und Verschlüsselung bis zum Backup-Konzept.

Jede Maßnahme lasst sich einem Schutzniveau zuordnen: Basis, Standard oder erhöht. So kannst du dein Vorgehen an das tatsächliche Risiko deiner Verarbeitung anpassen, statt pauschal alles oder nichts zu dokumentieren. Fertige Voreinstellungen für typische Unternehmensgrößen nehmen dir die erste Auswahl ab.

Der eigentliche Mehrwert ist die Auswertung. Während du Maßnahmen abhakst, berechnet das Werkzeug für jeden Kontrollbereich und für das Gesamtbild einen Umsetzungsgrad und ordnet ihn von kritisch bis ausgezeichnet ein. Eine Lückenanalyse zeigt dir, welche wichtigen Maßnahmen noch fehlen und wo die größten Schwachstellen liegen - dein Fahrplan, um gezielt nachzubessern, statt im Nebel zu stochern.

Zu deinem Unternehmen erfasst du die Stammdaten - Name, Ersteller, Datum, Version - und erzeugst am Ende ein übersichtliches PDF, das du als Nachweis ablegen, deinem Verzeichnis von Verarbeitungstätigkeiten beilegen oder der Aufsichtsbehörde vorlegen kannst. Deine Eingaben werden als Entwurf lokal gespeichert, sodass du die Arbeit unterbrechen und später fortsetzen kannst.

Der Generator strukturiert und bewertet deine Maßnahmen und hilft dir, Lücken zu erkennen. Er trifft aber keine rechtsverbindliche Aussage darüber, ob deine Maßnahmen im Einzelfall angemessen im Sinne des Art. 32 sind - das hängt vom konkreten Risiko und Stand der Technik ab. Nutze das Werkzeug für Struktur, Dokumentation und Lückenanalyse, und lass die Angemessenheit im Zweifel von einer Datenschutz-Fachkraft beurteilen.