TOMs für Softwareunternehmen: Datensicherheit nach Art. 32 DSGVO

Kurz beantwortet: Technische und organisatorische Maßnahmen, kurz TOMs, sind die Sicherheitsvorkehrungen, mit denen Sie personenbezogene Daten tatsächlich schützen (Art. 32 DSGVO). Als SaaS-Anbieter brauchen Sie sie zur Erfüllung Ihrer Verantwortlichen- oder Auftragsverarbeiter-Pflichten und als dokumentierte Anlage zur AVV Ihrer Enterprise-Kunden.

Was verlangt Art. 32 DSGVO konkret?

Datenschutz ist nicht nur Vertragswerk, sondern auch Technik. Die technischen und organisatorischen Maßnahmen sind das, womit Sie die Sicherheit personenbezogener Daten tatsächlich gewährleisten. Für Softwareunternehmen sind sie zugleich ein Verkaufsargument: Ohne belastbare TOM-Dokumentation scheitern viele Enterprise-Deals am Datenschutz-Check.

Nach Art. 32 DSGVO müssen Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Der Maßstab ist ausdrücklich risikobasiert. Berücksichtigt werden der Stand der Technik, die Implementierungskosten sowie Art, Umfang und Zweck der Verarbeitung, ebenso die Eintrittswahrscheinlichkeit und Schwere der Risiken für die Betroffenen. Je sensibler die Daten, desto höher die Anforderungen.

Welche Bausteine nennt das Gesetz?

Art. 32 nennt selbst Beispiele, an denen sich eine gute TOM-Struktur orientiert:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten.
• Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme auf Dauer.
• Wiederherstellbarkeit: die Fähigkeit, Verfügbarkeit und Zugang nach einem Zwischenfall rasch wiederherzustellen.
• Regelmäßige Überprüfung und Bewertung der Wirksamkeit der Maßnahmen.

Pseudonymisierung senkt das Risiko, beseitigt den Personenbezug für Sie als Verantwortlichen aber nicht, solange Sie die Zuordnung wiederherstellen können. Für Empfänger gilt eine differenzierte Sicht: Der EuGH hat zu der für EU-Stellen geltenden Verordnung (EU) 2018/1725 entschieden, dass pseudonymisierte Daten nicht in jedem Fall und für jede Person personenbezogen sind, wenn die Pseudonymisierung andere tatsächlich an einer Identifizierung hindert. Für die Information der Betroffenen bei der Erhebung bleibt dagegen Ihre Sicht als Verantwortlicher zu diesem Zeitpunkt maßgeblich (EuGH, Urt. v. 04.09.2025 – C-413/23 P).

In der Praxis übersetzt sich das in Zugriffskonzepte, Verschlüsselung im Transport und at rest, Protokollierung, Backups, Notfallpläne und die Schulung der Mitarbeiter. Neben Art. 32 verlangt Art. 25 DSGVO, diese Maßnahmen bereits in der Produktentwicklung anzulegen, dazu der Beitrag zu Datenschutz by Design und by Default. Bringen Sie ein Produkt mit digitalen Elementen in Verkehr, verlangt zusätzlich der Cyber Resilience Act durchgehende Sicherheit über den Produktlebenszyklus, dazu der Beitrag zum CRA für KI-Software. Welche Sicherheitsvorfälle Sie als Hersteller seit dem 11. September 2026 melden müssen, zeigt der Beitrag zur CRA-Meldepflicht. Ob NIS2 als Betreiber-Regime zusätzlich greift, ordnet der Beitrag zu NIS2 für Softwareunternehmen ein.

Warum beschleunigen TOMs den Enterprise-Deal?

TOMs sind Pflicht und zugleich Türöffner. Großkunden verlangen deren Beschreibung als Anlage zur Auftragsverarbeitungsvereinbarung und prüfen sie im Vendor Assessment. Eine gepflegte, aktuelle TOM-Dokumentation beantwortet einen Großteil des Sicherheitsfragebogens vorab und macht aus einer typischen Verzögerung einen schnellen Haken auf der Checkliste des Einkaufs. Wie Sie den vollständigen Sicherheitsfragebogen eines Enterprise-Kunden beantworten, zeigt der Beitrag zum Vendor-Assessment aus Anbieter-Sicht.

Wie halten Sie die TOM-Dokumentation aktuell?

Ein typischer Fehler ist die TOM-Beschreibung, die einmal erstellt und dann vergessen wird. Ändern sich Systeme, Dienstleister oder Prozesse, veraltet sie, und im Ernstfall passt die dokumentierte Sicherheit nicht zur gelebten. TOMs gehören deshalb zum laufenden Betrieb, nicht in die Schublade. Als Anlage zu jeder AVV müssen sie außerdem zu deren Pflichtinhalt passen, den der Beitrag zum AVV-Abschluss nach Art. 28 DSGVO einordnet.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Anbieter von Kundensoftware für Hörakustik-Fachgeschäfte mit rund 65 Mitarbeitenden bekommt mit jedem neuen Kunden einen Sicherheitsfragebogen. Die TOM-Beschreibung als Anlage zu den AVVs ist einige Jahre alt und nennt noch den früheren Hosting-Standort und einen ausgeschiedenen Administrator. Zu klären ist, welches Schutzniveau angemessen ist. Der Maßstab ist risikobasiert und berücksichtigt Stand der Technik, Kosten, Art, Umfang und Zweck der Verarbeitung sowie die Risiken für die Betroffenen. Bei Hörtestergebnissen, also Gesundheitsdaten, liegen die Anforderungen entsprechend hoch.

Danach trennen sich die Wege. Wo die Beschreibung nur veraltet ist und die Maßnahmen laufen, wird sie angepasst und mit den bestehenden AVVs abgeglichen. Wo Maßnahmen tatsächlich fehlen, etwa weil die Wiederherstellung aus dem Backup nie getestet wurde, wird zuerst die Maßnahme umgesetzt und dann beschrieben, damit dokumentierte und gelebte Sicherheit übereinstimmen. Verschlüsselung, Zugriffskonzept, Protokollierung und die regelmäßige Überprüfung der Wirksamkeit bilden das Gerüst. Am Ende steht eine TOM-Fassung, die einen Großteil des Fragebogens vorab beantwortet, mit festem Termin für die nächste Durchsicht. Wie die TOMs mit dem Betrieb mitwachsen, zeigt das Rechtssystem.

Häufige Fragen

Was verlangt Art. 32 DSGVO?

Nach Art. 32 DSGVO müssen Verantwortliche und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Der Maßstab ist ausdrücklich risikobasiert und berücksichtigt den Stand der Technik, die Implementierungskosten sowie Art, Umfang und Zweck der Verarbeitung ebenso wie Eintrittswahrscheinlichkeit und Schwere der Risiken.

Welche Bausteine nennt das Gesetz selbst?

Art. 32 DSGVO nennt beispielhaft die Pseudonymisierung und Verschlüsselung, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die Fähigkeit zur raschen Wiederherstellung nach einem Zwischenfall sowie die regelmäßige Überprüfung und Bewertung der Wirksamkeit der Maßnahmen.

Warum beschleunigen TOMs den Enterprise-Deal?

Großkunden verlangen die Beschreibung der TOMs als Anlage zur Auftragsverarbeitungsvereinbarung und prüfen sie im Vendor Assessment. Eine gepflegte, aktuelle TOM-Dokumentation beantwortet einen Großteil des Sicherheitsfragebogens vorab und macht aus einer typischen Verzögerung einen schnellen Haken auf der Checkliste des Einkaufs.

Wie halten Sie die TOM-Dokumentation aktuell?

Ein typischer Fehler ist die einmal erstellte und dann vergessene TOM-Beschreibung. Ändern sich Systeme, Dienstleister oder Prozesse, veraltet sie, und im Ernstfall passt die dokumentierte Sicherheit nicht zur gelebten. TOMs gehören deshalb in den laufenden Betrieb und müssen als Anlage zu jeder AVV zu deren Pflichtinhalt passen.

TOMs werden oft einmal für einen Kunden geschrieben und danach nicht mehr angepasst. Im Rechtssystem entsteht eine Datenschutzorganisation mit TOMs und festem Überprüfungsrhythmus, die mit Ihrem Betrieb mitwächst. Rechtssystem: TOMs, die aktuell bleiben

Sie wollen Ihre TOMs so aufsetzen, dass sie den Kunden-Check bestehen und aktuell bleiben? In einem 60-minütigen Strategiegespräch schauen wir auf Ihren Stand. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen