TOMs (Technische und Organisatorische Maßnahmen) nach Art. 32 DSGVO sind 2026 für jedes deutsche KMU Pflicht — und werden bei HmbBfDI-Anhörungen oft als erstes verlangt. Wer nur leere Vorlagen vorzeigt ohne tatsächliche Umsetzung, riskiert Bußgelder. Dieser Guide liefert die 14-Punkte-TOMs-Vorlage für Klein-KMU mit konkreten Formulierungen. Für strukturiertes Management lohnt der Blick auf Hugo DSB mit TOMs-Vorlagen.
Art. 32 DSGVO
TOMs-Pflicht für alle Verantwortliche und Auftragsverarbeiter.
Stand der Technik
EDR, MFA, immutable Backup sind 2026 Mindeststandards.
Dokumentation
Schriftlich, aktuell, nachweisbar — bei Audit-Bedarf sofort verfügbar.
Aktualisierung
Mindestens jährlich, bei wichtigen Änderungen sofort.
Die 14-Punkte-TOMs-Vorlage Art. 32 DSGVO
| Schutzziel | Konkrete Maßnahme 2026 |
|---|---|
| 1. Vertraulichkeit (Zutrittskontrolle) | Schließanlage, alarmierte Türen, dokumentierter Schlüssel-Plan, Besucher-Anmeldung |
| 2. Vertraulichkeit (Zugangskontrolle) | Komplexe Passwörter min. 12 Zeichen, MFA mit FIDO2 für privilegierte Accounts |
| 3. Vertraulichkeit (Zugriffskontrolle) | Rollen-basierte Berechtigungen, Need-to-know-Prinzip, Audit-Logs |
| 4. Trennungs-Gebot | Mandantentrennung in Software, getrennte Speicherbereiche |
| 5. Pseudonymisierung | Bei Forschungs- oder Statistik-Daten, wo möglich |
| 6. Integrität (Eingabekontrolle) | Audit-Logs für Änderungen, Versions-Kontrolle bei Dokumenten |
| 7. Integrität (Weitergabekontrolle) | Verschlüsselte E-Mails bei sensiblen Daten, SFTP für Datei-Versand |
| 8. Verfügbarkeit (Backup) | 3-2-1-1-0-Regel mit immutable Storage, quartalsweise Recovery-Tests |
| 9. Verfügbarkeit (Notfall) | Incident-Response-Plan, USV für Serverraum, Tabletop-Übungen jährlich |
| 10. Belastbarkeit | EDR auf Endgeräten, Defender for Cloud / Sentinel SIEM |
| 11. Wiederherstellbarkeit | Backup-Recovery dokumentiert, RTO < 8 h, RPO < 1 h für kritische Systeme |
| 12. Mitarbeiter-Schulungen | Jährlich + bei Onboarding, Phishing-Simulation 2-4× pro Jahr |
| 13. Auftragskontrolle | AVV-Verträge mit allen Subprozessoren, Audit-Rechte |
| 14. Datenschutz-Folgenabschätzung | DSFA bei Hochrisiko-Verarbeitungen, dokumentierter Workflow |
Wichtig: TOMs müssen tatsächlich umgesetzt sein, nicht nur dokumentiert. Bei HmbBfDI-Audit werden Stichproben gemacht — z.B. Backup-Recovery-Tests, MFA-Aktivierung, Schulungs-Nachweise. Inkonsistenz zwischen Dokumentation und Realität ist Bußgeld-Risiko.
„TOMs werden 2026 von HmbBfDI als erstes verlangt. Wir empfehlen Klein-KMU strukturierte 14-Punkte-Vorlage mit jährlicher Aktualisierung. Hugo DSB-Plattform liefert Vorlagen plus automatisches Update-Tracking — bei Subprozessor- oder Hardware-Änderungen wird die Vorlage automatisch angepasst.“
— Nils Oehmichen, Geschäftsführer der frag.hugo Informationssicherheit GmbH
FAQ — TOMs Vorlage Art. 32 DSGVO
Wie aktuell müssen TOMs sein?
Mindestens jährlich aktualisiert. Bei wichtigen Änderungen (neuer Cloud-Anbieter, neue Hardware, neue Software) sofort anpassen.
Reicht eine schriftliche Vorlage?
Nur wenn TOMs tatsächlich umgesetzt sind. Stichproben bei HmbBfDI-Audit prüfen Realität gegen Dokumentation.
Brauchen Klein-KMU alle 14 Punkte?
Ja, grundsätzlich. Manche Punkte können „nicht anwendbar mit Begründung“ sein (z.B. Pseudonymisierung bei reiner Verwaltungs-Datenverarbeitung).
Was ist „Stand der Technik“ 2026?
EDR statt Antivirus, MFA mit FIDO2, immutable Backup nach 3-2-1-1-0, Conditional Access. Klassisches Antivirus reicht 2026 nicht mehr.
Wo bekomme ich kostenlose TOMs-Vorlagen?
BfDI, IHK, BvD veröffentlichen Vorlagen. Hugo DSB-Plattform liefert Vorlagen integriert mit jährlicher Aktualisierung.
Was kostet ein TOMs-Audit?
Mit DSB-Beratung 1.500-4.000 € einmalig, plus jährliche Updates 500-1.500 €. Plattform-basierte Verwaltung deutlich effizienter.
Fazit: TOMs 2026 ist Dokumentation + Umsetzung gleichzeitig
14-Punkte-Vorlage plus jährliche Aktualisierung sind 2026 für deutsche KMU Standard. Plattform-basiertes Management spart Aufwand. Lohnt der Blick auf Hugo DSB mit TOMs-Vorlagen.