Gibt es eine amtliche TOM-Checkliste zum Abhaken?

Nein. Die bayerische Aufsichtsbehörde bietet eine Auswahl an Maßnahmen für kleine und mittlere Unternehmen an, betont aber, dass sie nicht abschließend ist und zum jeweiligen Betrieb passen muss.

Gilt Art. 32 auch für Einzelunternehmer und Freiberufler?

Ja. Der Artikel enthält keine Ausnahme für kleine Betriebe. Er verpflichtet Verantwortliche und Auftragsverarbeiter, geeignete Maßnahmen entsprechend dem Risiko für die betroffenen Personen zu treffen.

Muss ich die TOM schriftlich festhalten?

Eine allgemeine Beschreibung der Maßnahmen gehört nach Art. 30 wenn möglich in das Verarbeitungsverzeichnis. Zudem müssen Verantwortliche die Einhaltung der DSGVO nachweisen können, weshalb eine kurze Dokumentation sinnvoll ist.

Wie oft muss ich Backups und Updates prüfen?

Feste Fristen nennt die DSGVO nicht. Das BSI empfiehlt, das Sicherungsintervall nach der Menge der anfallenden Daten zu wählen, und rät, Sicherheitsupdates einzuspielen, sobald der Hersteller sie bereitstellt.

Datenschutz im Büro

Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO im kleinen Büro

Art. 32 DSGVO verlangt keine feste Maßnahmenliste, sondern ein dem Risiko angemessenes Schutzniveau. Für ein kleines Büro heißt das: Zugriff begrenzen, Geräte und Backups verschlüsseln und prüfen, Updates einspielen, Beschäftigte unterweisen und alles knapp dokumentieren.

Stand: 11. November 2026 · ca. 5 Min. Lesezeit · 7 Quellen

Was verlangt Art. 32 DSGVO?

Verantwortliche und Auftragsverarbeiter müssen unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos für natürliche Personen geeignete technische und organisatorische Maßnahmen treffen. Der Artikel nennt als mögliche Maßnahmen unter anderem Pseudonymisierung und Verschlüsselung, die dauerhafte Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit, die rasche Wiederherstellung nach einem physischen oder technischen Zwischenfall und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit. (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679, Art. 32 Abs. 1)

Bei der Beurteilung sind insbesondere Risiken durch Vernichtung, Verlust, Veränderung, unbefugte Offenlegung oder unbefugten Zugang zu berücksichtigen, auch wenn sie unbeabsichtigt entstehen. Eine Ausnahme für kleine Betriebe sieht der Artikel nicht vor. (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679, Art. 32 Abs. 2)

Gibt es eine feste Liste, die ich abarbeiten kann?

Eine verbindliche Liste gibt es nicht. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat eine Checkliste für kleine und mittlere Unternehmen veröffentlicht (Stand: 13. Oktober 2020). Sie soll eine Auswahl an Maßnahmen für gängige Verarbeitungstätigkeiten bieten, behandelt typische Punkte wie bauliche Schutzmaßnahmen, mobile Endgeräte, internetfähige Arbeitsplätze und Sensibilisierung, und ist ausdrücklich nicht abschließend. Spezialisierte Anwendungen wie Cloud-Dienste bräuchten spezifischere Maßnahmen. (Quelle: lda.bayern.de/media/checkliste/baylda_checkliste_tom.pdf) Details wie Passwortlängen oder Verfahrensbeispiele stammen aus dem Jahr 2020; sie sollten mit dem aktuellen Herstellerstand abgeglichen werden.

Wie gehe ich vor: erst das Risiko, dann die Maßnahme

Der Europäische Datenschutzausschuss empfiehlt kleinen Organisationen, die Risiken für den Datenschutz zu erfassen, etwa Verlust oder Diebstahl von Geräten, Beobachtung von Bildschirmen, Beschädigung, Überlastung oder mangelnde Verfügbarkeit etwa durch Ransomware. Anschließend sollen vorhandene oder geplante Maßnahmen je Risiko festgelegt, Schwere und Wahrscheinlichkeit geschätzt, die Maßnahmen umgesetzt und überwacht und regelmäßig Sicherheitsaudits durchgeführt werden. (Quelle: edpb.europa.eu/sme/be-compliant/secure-personal-data_de)

Praktisch bedeutet das: Notieren Sie, welche personenbezogenen Daten im Büro liegen (Kundenstamm, Personalakten, E-Mails, Fotos), wo sie liegen (Laptop, NAS, Cloud, Papier) und was passiert, wenn dieser Ort ausfällt, gestohlen oder verschlüsselt wird. Daraus ergibt sich, welche der folgenden Maßnahmen bei Ihnen Priorität haben.

Welche Maßnahmen sind für ein kleines Büro typisch?

Zugriff und Rechte

Nutzen Sie persönliche Konten statt gemeinsamer Zugänge, vergeben Sie nur die Rechte, die für die Aufgabe nötig sind, und entziehen Sie ausgeschiedenen Beschäftigten den Zugang am letzten Arbeitstag. Erledigen Sie die tägliche Arbeit mit einem normalen Benutzerkonto und verwenden Sie Administratorkonten nur für Administration.

Der Landesbeauftragte für den Datenschutz Baden-Württemberg ordnet die Authentifizierung mit Benutzername und Passwort als technische und organisatorische Maßnahme nach Art. 32 ein und empfiehlt Passwörter mit zwölf oder mehr Zeichen sowie Dienste, die Zwei-Faktor-Authentifizierung anbieten. (Quelle: baden-wuerttemberg.datenschutz.de/hinweise-zum-umgang-mit-passwoertern/) Das BayLDA nennt Zwei-Faktor-Authentifizierung für Administratorkonten bei Anwendungen. (Quelle: lda.bayern.de/media/checkliste/baylda_checkliste_tom.pdf)

Verschlüsselung

Das BayLDA führt als Maßnahme die starke Verschlüsselung der mobilen Endgeräte auf, zum Beispiel per Festplattenverschlüsselung oder Container-Lösung, und Backup- oder Synchronisierungsmechanismen, um bei Verlust oder Diebstahl einen größeren Datenverlust zu verhindern. (Quelle: lda.bayern.de/media/checkliste/baylda_checkliste_tom.pdf) Für Büros heißt das vor allem: Laptops, Smartphones und externe Datenträger, die das Haus verlassen, verschlüsseln. Den Wiederherstellungsschlüssel verwahren Sie getrennt vom Gerät.

Updates und Schutz vor Schadsoftware

Das BSI empfiehlt, Betriebssystem und alle verwendete Software zu aktualisieren, sobald der Hersteller ein Update bereitstellt, vor allem bei Systemen mit Internetanschluss, und die automatischen Update-Funktionen der Anbieter zu aktivieren. Zu spät oder nicht installierte Updates seien einer der häufigsten Gründe für erfolgreiche Cyberangriffe auf Unternehmen. (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Cybersicherheit_KMU.pdf…) Software, für die der Hersteller keine Updates mehr liefert, gehört nicht mehr an Rechner mit Kundendaten. Welche Systeme betroffen sind, behandelt der Bereich Windows und Microsoft 365.

Datensicherung und Wiederherstellung

Art. 32 nennt ausdrücklich die Fähigkeit, Daten nach einem Zwischenfall rasch wiederherzustellen. Das BSI rät, das Sicherungsintervall nach der Menge der in einem Zeitraum anfallenden Daten festzulegen; bei einem Kleinstunternehmen im Handwerk könne eine monatliche Sicherung von Rechnungen und Kundendatei genügen, ein Onlineshop brauche dagegen häufigere Sicherungen. (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Cybersicherheit_KMU.pdf…) Das BayLDA empfiehlt Backups nach der 3-2-1-Regel: drei Datenspeicherungen, zwei verschiedene Backupmedien und eine davon an einem externen Standort. (Quelle: lda.bayern.de/media/checkliste/baylda_checkliste_tom.pdf) Einzelheiten stehen in der 3-2-1-Backup-Regel; ob die Sicherung im Ernstfall funktioniert, zeigt ein Restore-Test.

Räume, Geräte und Papier

Der Europäische Datenschutzausschuss nennt auch das sichere Löschen der Daten auf einem Arbeitsplatz, bevor er einer anderen Person zugewiesen wird. (Quelle: edpb.europa.eu/sme/be-compliant/secure-personal-data_de) Wie das bei Festplatten, SSDs und Smartphones geht, steht in Datenträger sicher löschen. Schlüssel, Besucherzugang und der Platz von Druckern und Aktenschränken gehören ebenfalls dazu: Besucher sollten keine Bildschirme oder Unterlagen mit Kundendaten einsehen können.

Schulung und Regeln

Das BayLDA nennt regelmäßige Auffrischungsschulungen für bestehendes Personal, als Beispiel einmal pro Jahr, sowie regelmäßige Informationen an alle zu Neuigkeiten bei Datenschutz und IT-Sicherheit und Richtlinien etwa zur E-Mail- und Internetnutzung und zum Umgang mit Schadcodemeldungen. (Quelle: lda.bayern.de/media/checkliste/baylda_checkliste_tom.pdf) In einem Zwei-Personen-Büro genügt dafür eine einseitige Regelsammlung mit Ansprechperson und der Anweisung, Auffälligkeiten sofort zu melden. Der Ratgeber zu Phishing liefert dafür Material.

Wie dokumentiere ich die TOM?

Die DSGVO verlangt keine bestimmte Form. Im Verarbeitungsverzeichnis soll, wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen stehen. Die Datenschutzkonferenz (DSK) hält fest, dass sich der Detailgrad nicht unmittelbar aus der DSGVO ergibt; die Beschreibung soll aber so konkret sein, dass die Aufsichtsbehörden eine erste Rechtmäßigkeitsprüfung vornehmen können. (Quelle: datenschutzkonferenz-online.de/media/kp/dsk_kpnr_1.pdf) Die DSK erlaubt außerdem, in den einzelnen Beschreibungen auf bestehende Dokumente zu verweisen, etwa ein einmal erstelltes Sicherheitskonzept; nur zusätzliche oder abweichende Maßnahmen müssen verarbeitungsspezifisch ergänzt werden. (Quelle: baden-wuerttemberg.datenschutz.de/wp-content/uploads/2018/06/dsk_hinweise_vov.pdf)

Für ein kleines Büro hat sich ein knappes Dokument bewährt, in dem je Maßnahme steht:

welche Verarbeitung oder welches System sie schützt,
welches Risiko sie abdeckt,
wie sie tatsächlich umgesetzt ist (Produkt, Einstellung),
wer zuständig ist,
wann sie zuletzt geprüft wurde und mit welchem Ergebnis.

Als Belege legen Sie die Berechtigungsliste, den Updatestand, Backup- und Restore-Protokolle und Schulungsnachweise ab. Der Verantwortliche muss die Einhaltung der Grundsätze der Verarbeitung nachweisen können; diese Rechenschaftspflicht regelt Art. 5 Abs. 2. (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679) Das Verzeichnis ist laut DSK nur ein Baustein davon und erfüllt nicht alle Dokumentationspflichten. (Quelle: datenschutzkonferenz-online.de/media/kp/dsk_kpnr_1.pdf) Einen Überblick über die weiteren Pflichten gibt die Seite Datenschutz im Büro.

Häufige Fragen

Gibt es eine amtliche TOM-Checkliste zum Abhaken?: Nein. Die bayerische Aufsichtsbehörde bietet eine Auswahl an Maßnahmen für kleine und mittlere Unternehmen an, betont aber, dass sie nicht abschließend ist und zum jeweiligen Betrieb passen muss.
Gilt Art. 32 auch für Einzelunternehmer und Freiberufler?: Ja. Der Artikel enthält keine Ausnahme für kleine Betriebe. Er verpflichtet Verantwortliche und Auftragsverarbeiter, geeignete Maßnahmen entsprechend dem Risiko für die betroffenen Personen zu treffen.
Muss ich die TOM schriftlich festhalten?: Eine allgemeine Beschreibung der Maßnahmen gehört nach Art. 30 wenn möglich in das Verarbeitungsverzeichnis. Zudem müssen Verantwortliche die Einhaltung der DSGVO nachweisen können, weshalb eine kurze Dokumentation sinnvoll ist.
Wie oft muss ich Backups und Updates prüfen?: Feste Fristen nennt die DSGVO nicht. Das BSI empfiehlt, das Sicherungsintervall nach der Menge der anfallenden Daten zu wählen, und rät, Sicherheitsupdates einzuspielen, sobald der Hersteller sie bereitstellt.