TOM für soziale Träger: was in die Dokumentation gehört

„Bitte übersenden Sie Ihre TOM-Dokumentation." Dieser Satz kommt von Aufsichtsbehörden, von Kostenträgern und von jedem Datenschutzbeauftragten am ersten Arbeitstag. Die meisten Träger haben längst gute Maßnahmen – abgeschlossene Schränke, Passwörter, Backups. Was fehlt, ist das Dokument, das sie auflistet. Hier ist die Struktur, mit der ihr eure TOM an einem Nachmittag aufschreibt.

Stand: Juli 2026. Grundlage: Art. 32 DSGVO. Muster-Struktur und fachliche Orientierung, keine Rechtsberatung – die Maßnahmen sind an euer tatsächliches Risiko anzupassen.

Was TOM sind – und was „angemessen" heißt

Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. „Angemessen" ist die Gnade der Vorschrift: Ein Drei-Personen-Dienst muss kein Rechenzentrum betreiben. Aber: Je sensibler die Daten, desto höher die Messlatte – und ihr verarbeitet Gesundheits- und Sozialdaten von Kindern und Menschen in Krisen. Das Minimum liegt für euch also spürbar über dem eines Handwerksbetriebs. Ausdrücklich genannt werden Verschlüsselung und Pseudonymisierung, die Sicherung von Vertraulichkeit, Integrität und Verfügbarkeit, die Wiederherstellbarkeit nach Zwischenfällen und – gern übersehen – ein Verfahren zur regelmäßigen Überprüfung der Maßnahmen.

Die Gliederung, die sich bewährt hat

Prüfer und DSB denken in Schutzzielen. Diese vier Blöcke decken sie ab:

1. Vertraulichkeit

• Zutritt: abschließbare Büros und Aktenschränke, Schlüsselregelung, Besucherregelung
• Zugang: individuelle Konten (keine Sammel-Logins!), starke Passwörter, Zwei-Faktor-Anmeldung, automatische Bildschirmsperre
• Zugriff: Rollen- und Rechtekonzept nach dem Need-to-know-Prinzip, dokumentierter Prozess für Ein- und Austritte (Rechte am letzten Arbeitstag entziehen!)
• Trennung: Klientendaten getrennt von Personal- und Bewerberdaten

2. Integrität

• Weitergabekontrolle: verschlüsselte Übertragung (TLS), keine Falldaten als offener E-Mail-Anhang, sichere Alternativen für den Berichtsversand
• Eingabekontrolle: Protokollierung, wer wann was erfasst oder geändert hat (Audit-Log), Versionierung der Dokumentation

3. Verfügbarkeit und Belastbarkeit

• Automatische Backups mit getesteter (!) Wiederherstellung
• Virenschutz, Updates zeitnah eingespielt, Firewall
• Notfallplan: Was tun bei Ransomware, Serverausfall, Datenpanne?

4. Organisation und Überprüfung

• Verpflichtung aller Mitarbeitenden auf Vertraulichkeit, regelmäßige kurze Schulungen
• Löschkonzept mit hinterlegten Fristen
• AVVs mit allen Dienstleistern, TOM der Anbieter als Anlage
• Jährlicher TOM-Review mit Datum und Unterschrift – das ist das „Verfahren zur regelmäßigen Überprüfung"

Das Träger-Spezifikum: mobile Arbeit

Ambulante Arbeit heißt: Die Daten verlassen das Büro – im Diensthandy, im Laptop, früher in der Papiermappe auf dem Beifahrersitz. Genau hier passieren die realen Pannen. In eure TOM gehören deshalb ausdrücklich: Geräteverschlüsselung und Fernlöschung für mobile Geräte, Bildschirmsperre-Pflicht, Verbot privater Geräte für Falldaten (oder eine klare, abgesicherte Regelung), keine lokalen Kopien und Exporte, Regeln fürs Arbeiten in Bahn und Homeoffice, Transport- und Vernichtungsregeln für Papier. Eine Cloud-Fachsoftware, bei der Daten gar nicht erst lokal liegen, entschärft diesen Block erheblich – das Argument gehört dann in eure DSFA.

So dokumentiert ihr: die Muster-Struktur

Mehr braucht es nicht: Nummer, Maßnahme, Status, Verantwortliche:r, Prüftermin. Dieses eine Dokument verwendet ihr dann dreifach – als Anlage im VVT, als Abgleich mit den TOM eurer Dienstleister im AVV und als Maßnahmenkatalog in der DSFA. Einmal schreiben, dreimal ernten.

Weiterlesen

• Datenschutz-Folgenabschätzung (DSFA): wann sie Pflicht ist
• Verzeichnis von Verarbeitungstätigkeiten (VVT): das Muster für Träger
• Datenpanne: die 72-Stunden-Meldung nach Art. 33 DSGVO

Stand: 15. Juli 2026. Muster und fachliche Orientierung, keine Rechtsberatung. Welche Maßnahmen angemessen sind, hängt von eurem konkreten Risiko ab; im Zweifel Datenschutzbeauftragte:n einbeziehen.