Bei kleinen Firmen sollten Sie zuerst nach fehlenden Zuständigkeiten, unzureichend abgesicherten Zugängen, Update-Lücken und ungetesteten Backups suchen. Bei einer Prüfung zählt die nachgewiesene Wirksamkeit, nicht die Länge des TOM-Dokuments. Notariatsvorlagen taugen als Ausgangspunkt für KMU, aber nicht zur unveränderten Übernahme: Maßgeblich sind die konkreten Verarbeitungsrisiken und gegebenenfalls zusätzliche Berufspflichten.
Das Wichtigste in Kürze
- Setzen Sie bei der Prüfung auf Nachweise und Tests statt auf die bloße Beschreibung von Maßnahmen.
- Art. 32 DSGVO verlangt die Fähigkeit zur Wiederherstellung, nicht den Besitz einer Backup-Software.
- Prüfen Sie in fünf Schritten: Risiken verstehen, Behauptungen mit Nachweisen abgleichen, Alltag einbeziehen, Befunde priorisieren, nachprüfen.
- Notariatsregeln eignen sich als Fragenkatalog, aber nicht als Nachweis, dass ein KMU damit automatisch DSGVO-konform ist.
Wo sollten kleine Firmen bei den TOMs zuerst hinschauen?
Eine belastbare Rangliste über sämtliche TOM-Mängel gibt es nicht. Ein Anhaltspunkt: Das BSI sieht bei vielen KMU Defizite beim eigenen Risikoverständnis und beim Angriffsflächenmanagement, insbesondere bei Updates. Selbst elementare Präventionsmaßnahmen werden häufig nicht umgesetzt.
Für einen ersten Check empfehlen wir die folgenden Prüfschwerpunkte. Die Reihenfolge ist eine Empfehlung, keine statistische Häufigkeitsliste.
| Prüfschwerpunkt | Worauf Sie konkret achten sollten |
|---|---|
| Zuständigkeiten | Wer verantwortet Updates, Berechtigungen, Backups und Vorfälle? Was erledigt der IT-Dienstleister tatsächlich, und was setzt die Geschäftsleitung nur voraus? |
| Zugänge und Berechtigungen | Ist Mehrfaktor-Authentifizierung für E-Mail, Cloud und Fernzugriff aktiviert? Gibt es persönliche Konten, getrennte Administratorkonten und einen geregelten Austrittsprozess? |
| Updates und Systemübersicht | Sind alle relevanten Geräte und Anwendungen erfasst? Werden auch Router, NAS, mobile Geräte und selten genutzte Software berücksichtigt? |
| Datensicherung und Wiederherstellung | Existieren geeignete Sicherungen? Wurde eine Wiederherstellung praktisch getestet, statt nur eine erfolgreiche Sicherungsmeldung abzulegen? |
| Gelebte Organisation | Wissen Mitarbeitende, wie sie verdächtige Nachrichten und Datenschutzvorfälle melden? Werden Schutzmaßnahmen regelmäßig kontrolliert? |
Diese Auswahl leitet sich aus den BSI-Empfehlungen zu Verantwortlichkeiten, Updates, MFA, Datensicherung und Sensibilisierung ab, ebenso aus der gesetzlichen Pflicht zur Wiederherstellbarkeit und zur regelmäßigen Wirksamkeitsprüfung.
Maßnahme und Nachweis sind nicht dasselbe
„Wir haben ein Backup“ beschreibt eine Maßnahme. „Wir haben am Datum X Daten in einer Testumgebung innerhalb der vorgesehenen Zeit wiederhergestellt“ belegt ihre Funktion. Genau diese Fähigkeit zur Wiederherstellung verlangt Art. 32 DSGVO, nicht lediglich den Besitz einer Backup-Software.
Wie prüfen wir die TOMs bei Kunden in fünf Schritten?
So gehen wir bei Kunden vor, in fünf Schritten: erst Verarbeitung und Risiken verstehen, dann Behauptungen mit Nachweisen abgleichen, den Alltag einbeziehen, Befunde nach Risiko priorisieren und schließlich nachprüfen, statt abzulegen. Sie können die Schritte genauso für Ihre eigene Prüfung oder die Ihres Dienstleisters nutzen.
Schritt 1: Verarbeitung und Risiken verstehen
- Welche personenbezogenen Daten werden verarbeitet, von wem und wofür?
- Wo liegen sie, einschließlich Papierakten, E-Mail, Cloud, Mobilgeräten und Dienstleistern?
- Was wären die Folgen von Offenlegung, Manipulation, Verlust oder längerem Ausfall für die betroffenen Menschen?
- Welche Systeme und Prozesse sind dafür besonders kritisch?
Diese Reihenfolge ist rechtlich wichtig: Der EuGH beschreibt die Prüfung zweistufig. Erst sind die konkreten Risiken zu ermitteln, dann ist die Angemessenheit der Maßnahmen zu beurteilen. Nur nach der Mitarbeiterzahl oder einem pauschalen „KMU-Standard“ zu prüfen, greift deshalb zu kurz.
Schritt 2: Behauptungen mit Nachweisen abgleichen
| Behauptung im TOM-Dokument | Geeigneter Prüfbeleg beziehungsweise Test |
|---|---|
| „Zugriffe sind beschränkt.“ | Benutzer- und Rollenliste prüfen; mit einem freigegebenen Testkonto einen unzulässigen Zugriff versuchen. |
| „MFA ist aktiviert.“ | Konfiguration und Ausnahmen prüfen, insbesondere für Administratoren und Fernzugänge. |
| „Updates erfolgen regelmäßig.“ | Patch-Bericht und Stichprobe tatsächlicher Versionsstände vergleichen. |
| „Daten werden gesichert.“ | Sicherungsprotokolle ansehen und eine vereinbarte Wiederherstellung durchführen. |
| „Ausscheidende Mitarbeitende verlieren ihren Zugriff.“ | Einen abgeschlossenen Austrittsfall durch Konten, Fernzugänge und Freigaben verfolgen. |
| „Vorfälle werden geregelt bearbeitet.“ | Ein kurzes Szenario durchspielen: Wer entscheidet und handelt bei einem kompromittierten Postfach? |
Damit setzen Sie den Grundsatz um, nicht nur die konzeptionelle Eignung, sondern auch die tatsächliche Anwendung und das erzielte Ergebnis zu prüfen. Das BSI unterscheidet diese Ebenen ausdrücklich.
Führen Sie technische Tests nur mit vorher festgelegtem Umfang und Freigabe durch. Wiederherstellungstests sollten möglichst isoliert laufen und ohne unnötige Einsicht in echte Kundendaten.
Schritt 3: Den Alltag einbeziehen
Gehen Sie zusätzlich zum Dokumentencheck einen normalen Geschäftsprozess durch: Kundenaufnahme, Dokumentenversand, Homeoffice oder das Ausscheiden eines Mitarbeiters. So lässt sich prüfen, ob die beschriebene Maßnahme tatsächlich angewendet wird. Ein unterschriebenes Regelwerk allein beantwortet diese Frage nicht.
Schritt 4: Befunde nach Risiko priorisieren
Halten Sie pro Befund mindestens fest: Soll-Anforderung, festgestellter Zustand, Nachweis, Risiko, Abhilfemaßnahme, verantwortliche Person, Frist und Nachprüfung.
Unterscheiden Sie dabei zwischen „nicht umgesetzt“, „nur teilweise umgesetzt“ und „nicht nachgewiesen“. Fehlende Nachweise sind nicht automatisch der Beweis einer fehlenden Maßnahme, die Prüfung ist dann aber noch nicht abgeschlossen.
Schritt 5: Nachprüfung statt Ablage
Für ein überschaubares KMU bietet sich beispielsweise ein jährlicher Gesamtcheck an, dazu zusätzliche Prüfungen nach wesentlichen Änderungen. Kritische Maßnahmen brauchen gegebenenfalls deutlich häufigere Kontrollen. Das ist eine risikobasierte Empfehlung, keine allgemeine gesetzliche Jahresfrist. Art. 32 verlangt regelmäßige Wirksamkeitsprüfungen, legt dafür aber keinen einheitlichen Kalender fest.
Taugen Notariatsregeln als Vorlage für normale KMU?
Ja, als strukturierter Fragenkatalog. Nein, als vermeintlicher Nachweis, dass ein KMU damit automatisch DSGVO-konform ist. Wie Notariate die Anforderungen umsetzen, zeigt unser Beitrag TOMs im Notariat: So setzen Sie Datenschutz sicher um zu den Verhaltensregeln der Bundesnotarkammer.
Was gut übertragbar ist
Gut übertragbar sind die Fragen nach:
- Vertraulichkeit und angemessenen Zugriffsrechten
- Integrität, also Schutz vor unzulässigen Veränderungen
- Verfügbarkeit und Wiederherstellbarkeit
- Verschlüsselung und gegebenenfalls Pseudonymisierung
- regelmäßiger Kontrolle der Maßnahmen
Das sind keine exklusiven Notariatsanforderungen, sondern zentrale Elemente des Art. 32 DSGVO. Ihre konkrete Ausgestaltung richtet sich nach dem jeweiligen Risiko.
Was gesondert zu behandeln ist
Notariate haben zusätzliche berufsrechtliche Anforderungen. Beispielsweise verlangt § 26a BNotO bei einschlägigen Dienstleistern eine sorgfältige Auswahl und vertragliche Vorgaben zur Verschwiegenheit, zur Begrenzung der Kenntnisnahme und zur Einbindung weiterer Personen. Solche besonderen Pflichten gelten nicht automatisch für jedes gewöhnliche KMU.
Auch den Schutzbedarf dürfen Sie nicht blind übertragen: Eine Vorlage kann für einen bestimmten Betrieb unnötige Maßnahmen enthalten und gleichzeitig dessen tatsächliche Risiken übersehen. Umgekehrt ist „Wir sind nur fünf Leute“ kein hinreichender Grund für ein niedriges Schutzniveau, wenn die Verarbeitung erhebliche Risiken für Betroffene verursacht. Entscheidend sind Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere möglicher Schäden.
Die Vorlage in drei Teile zerlegen
- Allgemeine Schutzmaßnahmen: übernehmen, soweit sie zum Betrieb passen.
- Notariatsspezifische Pflichten: separat kennzeichnen und auf Anwendbarkeit prüfen.
- Eigene Prozesse und Risiken: ergänzen und mit konkreten Nachweisen hinterlegen.
Ein schlanker technischer Einstieg
Für einen schlanken technischen Einstieg bietet sich der BSI-CyberRisikoCheck nach DIN SPEC 27076 an. Er betrachtet 27 Anforderungen aus sechs Themenbereichen und liefert priorisierte Handlungsempfehlungen. Er ist ausdrücklich keine IT-Sicherheitszertifizierung und ersetzt keine vollständige datenschutzrechtliche TOM-Prüfung.
Was das für Ihr Unternehmen bedeutet
Der praktische Prüfmaßstab lautet nicht „Steht es in der Vorlage?“, sondern „Passt es zum Risiko, ist es umgesetzt und lässt sich seine Funktion belegen?“ Daraus ergeben sich diese nächsten Schritte:
- Benennen Sie für Updates, Berechtigungen, Backups und Vorfälle jeweils eine verantwortliche Person und klären Sie, was Ihr IT-Dienstleister tatsächlich übernimmt.
- Prüfen Sie, ob Mehrfaktor-Authentifizierung für E-Mail, Cloud und Fernzugriff aktiv ist, auch für Administratoren.
- Führen Sie eine Wiederherstellung aus der Datensicherung praktisch durch und dokumentieren Sie Datum und Ergebnis.
- Gleichen Sie die Aussagen Ihres TOM-Dokuments mit Nachweisen ab und halten Sie Befunde mit Risiko, Verantwortlichem und Frist fest.
- Legen Sie einen Termin für die Nachprüfung fest, mindestens nach wesentlichen Änderungen.
Wie wir Unternehmen bei der Umsetzung unterstützen, beschreiben wir auf der Seite EU-DSGVO-Compliance.
Mehr zum Thema: alle Beiträge in der Rubrik Datenschutz und DSGVO. Fragen zur Umsetzung in Ihrem Unternehmen beantworten wir gern: Nehmen Sie Kontakt auf.
FAQ
Eine belastbare Rangliste lässt sich aus den verfügbaren Quellen nicht ableiten. Das BSI sieht bei vielen KMU Defizite beim Risikoverständnis und bei Updates. Prüfen sollten Sie Zuständigkeiten, Zugänge, Updates, Datensicherung und gelebte Organisation.
Nein. Art. 32 DSGVO verlangt die Fähigkeit zur Wiederherstellung, nicht den Besitz einer Backup-Software. Belegt wird sie durch eine praktisch getestete Wiederherstellung mit Datum und Ergebnis.
In fünf Schritten: Verarbeitung und Risiken verstehen, Behauptungen mit Nachweisen abgleichen, den Alltag einbeziehen, Befunde nach Risiko priorisieren und nachprüfen statt ablegen.
Für ein überschaubares KMU bietet sich ein jährlicher Gesamtcheck plus Prüfungen nach wesentlichen Änderungen an. Das ist eine risikobasierte Empfehlung, keine gesetzliche Jahresfrist. Art. 32 verlangt regelmäßige Wirksamkeitsprüfungen ohne einheitlichen Kalender.
Nicht nachgewiesen heißt nicht automatisch, dass die Maßnahme fehlt. Die Prüfung ist dann aber noch nicht abgeschlossen. Unterscheiden Sie zwischen nicht umgesetzt, nur teilweise umgesetzt und nicht nachgewiesen.
Als Fragenkatalog ja, als Nachweis der DSGVO-Konformität nein. Notariate haben zusätzliche berufsrechtliche Pflichten, etwa nach § 26a BNotO, die nicht automatisch für jedes KMU gelten.
Nein. Bei erheblichen Risiken für Betroffene ist das kein hinreichender Grund für ein niedriges Schutzniveau. Entscheidend sind Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere möglicher Schäden.
Nein. Er betrachtet 27 Anforderungen aus sechs Themenbereichen und eignet sich als schlanker technischer Einstieg. Er ist keine IT-Sicherheitszertifizierung und ersetzt keine vollständige datenschutzrechtliche TOM-Prüfung.
