IT- und Datenschutzverantwortliche im Mittelstand haben zwei Pflichten: technisch-organisatorische Maßnahmen (TOM) nachweisbar dokumentieren und mit jedem externen Dienstleister mit Datenzugriff einen Auftragsverarbeitungsvertrag (AVV) abschließen. Die Anleitung liefert eine schlanke TOM-Vorlage nach Schutzzielen, die Entscheidung, wann ein AVV nötig ist, die Pflichtinhalte nach Art. 28 als Checkliste und eine zentrale Übersichtsliste als Nachweis der Rechenschaftspflicht bei einer Aufsichtsprüfung.

Voraussetzungen

Sammeln Sie vorab diese Grundlagen, damit TOM und AVV zueinander passen:

Ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO als Pflichtdokumentation, an die Sie AVV-Liste und TOM anbinden.
Eine vollständige Liste aller externen Dienstleister, die auf personenbezogene Daten zugreifen oder zugreifen könnten (auch IT-Wartung und Cloud-Tools).
Überblick über Ihre eingesetzte IT: Server, Endgeräte, Cloud-Dienste, Backup-Lösung, Zutrittssituation der Räume.
Eine festgelegte Person oder Rolle (z. B. Datenschutzkoordination oder externe DSB), die Dokumente pflegt und das jährliche Review verantwortet.
Ein zentraler, zugriffsgeschützter Ablageort für TOM-Dokument, AVV und Übersichtsliste; verstreute Verträge in Postfächern sind ein häufiger Prüfungsbefund.

Schritt 1: Rechtsrahmen verstehen – was Art. 32 verlangt

Art. 32 Abs. 1 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter zu einem dem Risiko angemessenen Schutzniveau. Maßstab sind Stand der Technik, Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen. Einen festen Pflichtkatalog gibt es nicht; Sie wählen risikobasiert aus und müssen die Auswahl begründen können.

Die Verordnung nennt vier Regelbeispiele, an denen Sie sich orientieren:

lit. a – Pseudonymisierung und Verschlüsselung personenbezogener Daten.
lit. b – Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer sicherstellen.
lit. c – Fähigkeit, die Verfügbarkeit nach einem physischen oder technischen Zwischenfall rasch wiederherzustellen.
lit. d – ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen.

TOM sind kein Einmal-Dokument (lit. d). Die Rechenschaftspflicht aus Art. 5 Abs. 2 verlangt, Auswahl und Wirksamkeit nachzuhalten und an geänderte Risiken und den Stand der Technik anzupassen. Verstöße gegen Art. 32 fallen unter Art. 83 Abs. 4 lit. a: bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Verifizieren: Sie können für jedes der vier Regelbeispiele lit. a bis d mindestens eine Maßnahme aus Ihrem Unternehmen benennen und kurz begründen, warum sie zum Risiko passt.

Schritt 2: TOM nach Schutzzielen dokumentieren – die Vorlage

Gängig sind zwei Gliederungen: nach den vier Schutzzielen der DSGVO oder nach den acht Kontrollen aus der Anlage zu § 9 BDSG-alt (Zutritts-, Zugangs-, Zugriffs-, Weitergabe-, Eingabe-, Auftrags-, Verfügbarkeits- und Trennungskontrolle). Beide sind als TOM-Anlage zum AVV weiterhin üblich. Hier gilt die schutzzielorientierte Struktur, die klassischen Kontrollen sind darin eingeordnet.

Mindeststruktur für KMU

Formulieren Sie jede Maßnahme konkret und überprüfbar. „Wir nutzen sichere Systeme“ genügt nicht; Prüfer erwarten Passwortlänge, Backup-Frequenz oder Verschlüsselungsverfahren.

Schutzziel	Kontrolle	Beispielhafte konkrete Maßnahmen
Vertraulichkeit	Zutrittskontrolle	Abschließbarer Serverschrank, elektronisches Schließsystem, Besucherregelung mit Begleitpflicht, Alarmanlage
Vertraulichkeit	Zugangskontrolle	Individuelle Benutzerkonten, Passwortrichtlinie mind. 12 Zeichen, MFA, automatische Bildschirmsperre nach 5 Min., Firewall, aktueller Virenschutz
Vertraulichkeit	Zugriffskontrolle	Need-to-know-Prinzip, rollenbasierte Berechtigungen, dokumentiertes Berechtigungskonzept, Datenträgervernichtung nach DIN/ISO IEC 21964
Vertraulichkeit	Trennungskontrolle	Mandantentrennung, getrennte Test- und Produktivumgebung
Vertraulichkeit	Verschlüsselung / Pseudonymisierung	TLS für Transport, Festplatten- und Geräteverschlüsselung, verschlüsselte Backups
Integrität	Eingabekontrolle	Protokollierung von Änderungen und Zugriffen, ausschließlich persönliche Accounts
Integrität	Weitergabekontrolle	Verschlüsselter Transport und E-Mail, dokumentierte Übertragungswege, Datenschutzschulung der Mitarbeitenden
Verfügbarkeit und Belastbarkeit	Verfügbarkeitskontrolle	Regelmäßige Backups plus getestetes Restore, USV, Monitoring, Notfall- und Wiederanlaufplan, Patch-Management
Verfahren zur Überprüfung	Datenschutzmanagement	Jährliches TOM-Review mit Datum, Prozess zur Datenpannen-Meldung nach Art. 33, dokumentierte Schulungsnachweise
Auftrag	Auftragskontrolle	AVV-Abschluss, dokumentierte Weisungen, Dienstleisterauswahl und -prüfung, regelmäßige Kontrolle

Feinere Orientierung liefert § 64 BDSG (Verarbeitungen zu Strafverfolgungszwecken) mit 14 Maßnahmenbereichen, darunter Datenträger-, Speicher-, Übertragungs- und Transportkontrolle sowie Zuverlässigkeit und Datenintegrität. Die Liste taugt auch außerhalb ihres Anwendungsbereichs als Ideengeber.

Versehen Sie das TOM-Dokument mit Versionsnummer und Stand-Datum; das belegt, dass die Maßnahmen aktuell und nicht generisch kopiert sind.

Verifizieren: Das TOM-Dokument deckt alle vier Schutzziele ab, jede Maßnahme enthält einen prüfbaren Wert (zum Beispiel Passwortlänge oder Backup-Intervall), und Kopfzeile oder Deckblatt zeigen Version und Stand-Datum.

Schritt 3: Auftragsverarbeitung erkennen – brauchen Sie einen AVV?

Ein AVV nach Art. 28 ist nötig, sobald ein externer Dienstleister personenbezogene Daten weisungsgebunden in Ihrem Auftrag verarbeitet, ohne selbst über Zweck und wesentliche Mittel zu entscheiden – der Dienstleister ist dann Ihr „verlängerter Arm“. Entscheiden Sie pro Dienstleister anhand dieser Gegenüberstellung:

AVV nötig (Auftragsverarbeitung)	Kein AVV (eigener Verantwortlicher)
Cloud-Speicher und Hosting	Steuerberater, Wirtschaftsprüfer (weisungsfrei, z. B. § 11 StBerG)
Externe Lohn- und Gehaltsabrechnung	Rechtsanwälte und andere Berufsgeheimnisträger
Newsletter- und E-Mail-Versanddienst	Banken
IT-Wartung und Support mit Datenzugriff	Inkassodienstleister
Aktenvernichtung, Scan- und Digitalisierungsdienst	Reinigungsfirmen, Druckereien, Copyshops (sofern Datenzugriff nur unvermeidliches Beiwerk ist)
Callcenter ohne eigenen Entscheidungsspielraum

Für die eigenen Verantwortlichen rechts wäre ein AVV nach Art. 28 sachlich falsch, da sie eigenständig und weisungsfrei handeln. Nötig ist gegebenenfalls eine eigene Rechtsgrundlage oder andere Vereinbarung.

Verifizieren: In Ihrer Dienstleisterliste steht bei jedem Eintrag eine Einstufung „Auftragsverarbeiter“ oder „eigener Verantwortlicher“, und kein Eintrag ist offen.

Schritt 4: AVV abschließen – die Pflichtinhalte als Checkliste

Der AVV muss schriftlich abgefasst sein, nach Art. 28 Abs. 9 auch in elektronischer Form: Ein per PDF oder Online-Annahme akzeptierter Anbieter-AVV genügt. Bei Standard-Cloud-Diensten schließen Sie den Anbieter-AVV aktiv ab und dokumentieren das; die AGB reichen nicht. Prüfen Sie jeden AVV gegen diese Checkliste nach Art. 28 Abs. 3:

[ ] Gegenstand, Dauer, Art und Zweck der Verarbeitung benannt
[ ] Art der personenbezogenen Daten + Kategorien betroffener Personen
[ ] lit. a  Verarbeitung nur auf dokumentierte Weisung
[ ] lit. b  Vertraulichkeitsverpflichtung der befugten Personen
[ ] lit. c  Massnahmen nach Art. 32 (TOM als Anlage beigefuegt)
[ ] lit. d  Regelung der Unterauftragsverarbeiter
[ ] lit. e  Unterstuetzung bei Betroffenenrechten (Art. 12-23)
[ ] lit. f  Unterstuetzung bei Art. 32-36 (Datenpannen, DSFA)
[ ] lit. g  Loeschung oder Rueckgabe der Daten nach Auftragsende
[ ] lit. h  Bereitstellung von Nachweisen + Audit-/Inspektionsrecht
[ ] Form: schriftlich oder elektronisch (Art. 28 Abs. 9) erfuellt

Fehlt die TOM-Anlage oder ist sie nicht risikoangemessen, ist der AVV nach lit. c unvollständig. Fordern Sie die TOM des Auftragsverarbeiters aktiv an und prüfen Sie, ob sie zu Ihrer Risikolage passen.

Verifizieren: Für jeden Auftragsverarbeiter liegt ein abgeschlossener AVV mit Datum vor, alle Punkte der Checkliste sind angehakt, und die TOM-Anlage ist beigefügt.

Schritt 5: Unterauftragsverarbeiter und Drittlandtransfer prüfen

Setzt Ihr Dienstleister selbst Subdienstleister ein (z. B. einen Hyperscaler hinter einem SaaS-Tool), greift Art. 28 Abs. 2. Es gibt zwei zulässige Wege:

Spezifische Genehmigung: vorherige gesonderte schriftliche Genehmigung für jeden einzelnen Sub-Auftragsverarbeiter.
Allgemeine Genehmigung: der Dienstleister muss jede beabsichtigte Änderung mitteilen und Ihnen ein Widerspruchsrecht einräumen.

In beiden Fällen müssen dem Sub-Auftragsverarbeiter vertraglich dieselben Datenschutzpflichten auferlegt werden (Abs. 4); der Haupt-Auftragsverarbeiter haftet für ihn. Wer diese Kette übersieht, trägt als Verantwortlicher das Haftungsrisiko.

Liegen Server oder Sub-Auftragsverarbeiter außerhalb der EU oder des EWR, reicht ein AVV allein nicht. Dann brauchen Sie zusätzlich Garantien nach Kapitel V DSGVO – etwa EU-Standardvertragsklauseln (SCC) oder einen Angemessenheitsbeschluss wie das EU-US Data Privacy Framework. Halten Sie den Transfermechanismus in Ihrer Übersicht fest.

Verifizieren: Zu jedem Auftragsverarbeiter liegt die aktuelle Liste der Unterauftragsverarbeiter vor, und bei jedem Sitz oder Serverstandort außerhalb von EU/EWR ist der Transfermechanismus (SCC oder Angemessenheitsbeschluss) benannt.

Schritt 6: Zentrale AVV-Übersichtsliste führen

Art. 28 schreibt keine eigene Liste vor, eine zentrale Übersicht aller AV-Verträge ist aber Best Practice und oft entscheidend für den Nachweis der Rechenschaftspflicht. Verknüpfen Sie sie mit dem Verzeichnis nach Art. 30. Bewährte Spalten:

Spalte	Inhalt / Beispiel
Dienstleister / Verantwortlicher	Name und Sitz des Anbieters
Leistung / Verarbeitungstätigkeit	z. B. Hosting, Lohnabrechnung, Newsletter-Versand
Datenarten	z. B. Stammdaten, Kontaktdaten, Abrechnungsdaten
Kategorien Betroffener	z. B. Beschäftigte, Kunden, Interessenten
Drittlandtransfer	ja/nein – Garantie z. B. SCC oder DPF
Unterauftragsverarbeiter	Genehmigungsart (spezifisch / allgemein)
AVV abgeschlossen	ja/nein
Datum / Version	Abschlussdatum, Vertragsversion
Nächste Prüfung	Wiedervorlage-Datum
Ansprechpartner	Kontakt beim Dienstleister

Die kompakte Praxis-Schrittfolge für KMU sieht damit so aus:

Alle externen Dienstleister mit Zugriff auf personenbezogene Daten erfassen.
Pro Dienstleister prüfen: Auftragsverarbeitung (weisungsgebunden) oder eigener Verantwortlicher?
Für jede Auftragsverarbeitung den AVV abschließen – Anbieter-AVV prüfen, TOM-Anlage anfordern, Sub-Auftragsverarbeiter-Liste kontrollieren.
AVV und TOM in der zentralen Übersichtsliste erfassen.
Eigene TOM nach Schutzzielen dokumentieren und mit Datum versehen.
Jährliches Review von TOM und AVV-Liste terminieren (Art. 32 Abs. 1 lit. d).

Verifizieren: Die Übersichtsliste enthält alle Dienstleister aus Schritt 3 mit der Einstufung Auftragsverarbeiter, jede Zeile hat ein Wiedervorlage-Datum, und der Review-Termin steht im Kalender der verantwortlichen Person.

Typische Fehler

AVV mit Berufsgeheimnisträgern abschließen: Steuerberater, Anwälte, Banken und Inkasso sind eigene Verantwortliche (siehe FAQ).
TOM nur einmal erstellen und nie aktualisieren: Art. 32 Abs. 1 lit. d fordert regelmäßige Überprüfung. Generische Copy-Paste-TOM ohne Bezug zur echten IT sind ein klassischer Prüfungsmangel.
Unterauftragsverarbeiter übersehen: Bei allgemeiner Genehmigung müssen Sie Änderungsmeldung und Widerspruchsrecht erhalten; Sub-Auftragsverarbeiter müssen mit denselben Pflichten gebunden sein.
Drittlandtransfer vergessen: Außerhalb der EU/des EWR sind zusätzliche Garantien nach Kapitel V nötig.
TOM-Anlage fehlt oder ist nicht risikoangemessen: Ohne konkrete, geprüft passende TOM des Auftragsverarbeiters ist der AVV nach Art. 28 Abs. 3 lit. c unvollständig.
AVV nur mündlich oder per Handschlag: Art. 28 Abs. 9 verlangt mindestens elektronische Form (siehe FAQ).
Keine zentrale Übersicht: Ohne Liste lässt sich die Rechenschaftspflicht bei einer Prüfung kaum belegen.
TOM zu vage formulieren: Nennen Sie konkrete Werte wie Passwortlänge, Backup-Frequenz oder Verschlüsselungsverfahren.

Häufige Fragen

Muss ein AVV unterschrieben sein?

Nein. Art. 28 Abs. 9 verlangt Schriftform, die auch elektronisch erfolgen kann; eine eigenhändige Unterschrift ist nicht nötig. Ein als PDF oder per Online-Annahme abgeschlossener Anbieter-AVV genügt, sofern Sie den Abschluss dokumentieren und nicht nur die AGB akzeptieren.

Brauche ich für meinen Steuerberater einen AVV?

Nein. Steuerberater handeln weisungsfrei und eigenverantwortlich (z. B. nach § 11 StBerG) und sind damit eigene Verantwortliche, keine Auftragsverarbeiter. Gleiches gilt für Anwälte, Banken und Inkassodienstleister. Ein AVV nach Art. 28 wäre hier sachlich falsch.

Wie ausführlich müssen TOM sein?

So konkret und überprüfbar, dass die Maßnahmen zur tatsächlichen Risikolage passen. Ein KMU-Mindestumfang deckt alle Schutzziele mit benannten Werten ab, etwa Passwortlänge, MFA, Backup-Frequenz mit getestetem Restore und Verschlüsselungsverfahren (Art. 32 Abs. 1).

Was passiert ohne AVV oder ohne TOM?

Ein fehlender AVV verstößt gegen Art. 28, fehlende oder unzureichende TOM gegen Art. 32; beides fällt unter Art. 83 Abs. 4 lit. a (bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes). Schwerere Verstöße, etwa gegen die Verarbeitungsgrundsätze, reichen nach Art. 83 Abs. 5 bis 20 Mio. Euro oder 4 Prozent.

Wie oft sollte ich TOM und AVV-Liste überprüfen?

Mindestens jährlich (Art. 32 Abs. 1 lit. d), zusätzlich bei neuen Dienstleistern, geänderten Risiken oder neuen Systemen. Halten Sie das Prüfdatum im TOM-Dokument und in der Übersichtsliste fest.

Reicht der vom Cloud-Anbieter bereitgestellte AVV aus?

Oft ja, aber prüfen Sie ihn aktiv: Sind alle Pflichtinhalte aus Art. 28 Abs. 3 lit. a–h enthalten, liegt eine passende TOM-Anlage bei, ist die Sub-Auftragsverarbeiter-Regelung klar und sind Drittlandtransfers mit Garantien nach Kapitel V abgesichert? Schließen Sie ihn ausdrücklich ab und dokumentieren Sie das.

Fazit

DSGVO-Konformität bei TOM und Auftragsverarbeitung ist vor allem eine Frage der Struktur: TOM konkret nach Schutzzielen mit Werten und Stand-Datum, pro Dienstleister die Abgrenzung Auftragsverarbeitung oder eigener Verantwortlicher, vollständiger AVV mit TOM-Anlage, zentrale Übersichtsliste und ein fest terminiertes jährliches Review.

Weiterführende Anleitungen und Quellen

DSGVO-Löschkonzept erstellen – ergänzt die TOM-Dokumentation um klare Löschfristen und Prozesse.
Ransomware-Notfallplan: die ersten 60 Minuten – passt zur Verfügbarkeitskontrolle und zum Wiederanlaufplan Ihrer TOM.
Weitere Anleitungen aus der Kategorie Sicherheit

Quellen: Art. 32 DSGVO (Sicherheit der Verarbeitung) und Art. 28 DSGVO (Auftragsverarbeiter) auf dsgvo-gesetz.de; FAQ Auftragsverarbeitung der Landesbeauftragten für den Datenschutz Niedersachsen; AVV-Muster nach Art. 28 Abs. 3 DS-GVO des LfDI Baden-Württemberg. Dieser Beitrag ersetzt keine Rechtsberatung.