Ratgeber
TOMs in der Kanzlei: Technische und organisatorische Maßnahmen
TOMs sind die technischen und organisatorischen Maßnahmen, mit denen eine Kanzlei personenbezogene Daten schützt — von der Festplattenverschlüsselung über Berechtigungskonzepte bis zur Mitarbeiterschulung. Art. 32 DSGVO verlangt solche Maßnahmen ausdrücklich, und zwar angemessen zum Risiko der Verarbeitung; für Kanzleien kommt die Verschwiegenheitspflicht nach § 9 RAO als zweiter Grund hinzu. Kurz gesagt: TOMs sind die praktische Antwort auf die Frage, wie Datenschutz und Verschwiegenheit im Alltag tatsächlich abgesichert werden.
In Kürze
- TOMs (technische und organisatorische Maßnahmen) sind die konkreten Schutzvorkehrungen für personenbezogene Daten nach Art. 32 DSGVO.
- Technische Maßnahmen wirken über Technik (Verschlüsselung, Zugriffskontrolle, Backups); organisatorische über Regeln und Abläufe (Berechtigungskonzept, Schulung, Richtlinien).
- Für Kanzleien haben TOMs doppeltes Gewicht: Sie erfüllen die DSGVO und stützen zugleich die Verschwiegenheitspflicht nach § 9 RAO.
- Der Maßstab ist risikoangemessen — je sensibler die Daten, desto stärker die Maßnahmen; Mandatsdaten liegen am oberen Ende.
- Eine schriftliche TOM-Dokumentation ist der übliche Nachweis gegenüber Behörden und Vertragspartnern.
- Jedes neue System — auch jedes KI-Werkzeug — muss in die TOMs eingeordnet werden, bevor es mit echten Daten arbeitet.
Was genau sind technische und organisatorische Maßnahmen?
Die DSGVO verpflichtet Verantwortliche in Art. 32, „geeignete technische und organisatorische Maßnahmen“ zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; der Verordnungstext ist auf EUR-Lex abrufbar. Der Begriff klingt nach Verwaltungsprosa, beschreibt aber etwas sehr Praktisches: alles, was eine Kanzlei tatsächlich tut, damit Daten nicht verloren gehen, nicht in falsche Hände geraten und nicht unbemerkt verändert werden.
Die Zweiteilung ist dabei das Ordnungsprinzip. Technische Maßnahmen sind in Technik gegossen und wirken unabhängig vom Tagesverhalten: eine verschlüsselte Festplatte schützt auch dann, wenn das Notebook im Zug liegen bleibt. Organisatorische Maßnahmen wirken über Menschen und Abläufe: Ein Berechtigungskonzept legt fest, wer welche Akten sehen darf; eine Schulung sorgt dafür, dass Phishing-Mails erkannt werden.
Beide Ebenen brauchen einander. Die beste Verschlüsselung nützt wenig, wenn Passwörter auf Zetteln kleben; die beste Richtlinie nützt wenig, wenn die Technik unsichere Wege offenlässt. Zur Einordnung: Dieser Artikel ist keine Rechtsberatung — welche Maßnahmen im Einzelfall angemessen sind, bewertet die Kanzlei selbst.
Welche TOMs sind in einer Kanzlei typisch? (Beispieltabelle)
Die folgende Tabelle zeigt bewährte Maßnahmen, geordnet nach Schutzziel. Sie ist eine Orientierung, kein abschließender Katalog:
| Schutzziel | Technische Maßnahmen | Organisatorische Maßnahmen |
|---|---|---|
| Vertraulichkeit | Festplatten- und Geräteverschlüsselung; verschlüsselte Übertragung (TLS); Zwei-Faktor-Authentifizierung; Bildschirmsperre | Berechtigungskonzept nach Need-to-know; Verschwiegenheitsverpflichtung aller Mitarbeitenden; Clean-Desk-Regel; Besucherregelung |
| Integrität | Protokollierung von Änderungen; Virenschutz; eingeschränkte Installationsrechte | Vier-Augen-Prinzip bei kritischen Änderungen; definierte Freigabeprozesse für ausgehende Dokumente |
| Verfügbarkeit | Regelmäßige, automatisierte Backups; getrennte Aufbewahrung (Offsite); unterbrechungsfreie Stromversorgung für Server | Wiederherstellungsplan mit Zuständigkeiten; regelmäßige Rücksicherungs-Tests; Vertretungsregelungen |
| Zugangs-/Zugriffskontrolle | Individuelle Benutzerkonten; starke Passwörter mit Passwortmanager; automatische Sperren; abgesicherte Fernzugänge (VPN) | Onboarding-/Offboarding-Checkliste für Konten; jährliche Berechtigungsprüfung; Schlüssel- und Zutrittsregelung |
| Trennung & Datenminimierung | Mandantenbezogene Datentrennung im Kanzleisystem; Testdaten statt Echtdaten in Testumgebungen | Lösch- und Aufbewahrungskonzept; Regeln, welche Daten in welche Systeme dürfen |
| Belastbarkeit & Reaktion | Zeitnahe Sicherheitsupdates; Firewall; Monitoring | Meldeprozess für Datenpannen; Notfallkontakte; Übung des Ernstfalls |
Wer diese Tabelle mit der eigenen Kanzlei abgleicht, findet fast immer schnelle Verbesserungen: Zwei-Faktor-Authentifizierung aktivieren, Backups testen (nicht nur einrichten), Berechtigungen ausgeschiedener Mitarbeitender entziehen. Solche Maßnahmen kosten wenig und heben das Schutzniveau spürbar.
Warum sind TOMs für Kanzleien mehr als eine DSGVO-Pflicht?
Für die meisten Unternehmen sind TOMs eine datenschutzrechtliche Anforderung. Kanzleien haben einen zweiten, älteren Grund: die Verschwiegenheitspflicht nach § 9 RAO. Sie schützt das Mandatsverhältnis umfassend — und sie lässt sich im digitalen Alltag nur halten, wenn die technische und organisatorische Basis stimmt. Ein ungeschütztes Notebook mit Aktenkopien ist nicht nur ein Datenschutzproblem, sondern ein Verschwiegenheitsproblem.
Dazu kommt die Außenwirkung: Mandantinnen und Mandanten, Versicherungen und Kooperationspartner fragen zunehmend nach dokumentierten Sicherheitsmaßnahmen. Eine gepflegte TOM-Übersicht ist dann kein Bürokratieprodukt, sondern ein Vertrauensbeleg — und als Anlage zum Auftragsverarbeitungsvertrag ohnehin Standard, wenn die Kanzlei selbst Dienstleister beauftragt.
Wie kommen KI-Systeme in die TOMs?
Jedes neue Werkzeug ist ein neuer Datenweg — und gehört deshalb in die TOM-Betrachtung, bevor es mit echten Daten arbeitet. Bei KI-Systemen heißt das konkret: klären, wo das System läuft (On-Premise auf Servern in der Kanzlei oder Cloud eines Anbieters), wer es nutzen darf, welche Datenkategorien eingegeben werden dürfen und wie Ergebnisse geprüft werden.
Zwei Punkte verdienen besondere Aufmerksamkeit. Erstens die Systemwahl selbst als Maßnahme: Ein On-Premise betriebenes KI-System auf Servern in der Kanzlei ist gewissermaßen eine technische Maßnahme in Reinform — Dokumente und Datenbanken bleiben in der kontrollierten Umgebung, an ein Sprachmodell geht nur ein minimierter Ausschnitt (bei lokal betriebenem Modell gar nichts nach außen), ein Training durch Dritte ist technisch oder zumindest vertraglich ausgeschlossen, und öffentliche Consumer-Chatbots bleiben für Mandantendaten tabu. Zweitens die organisatorische Flanke: Eine kurze KI-Richtlinie mit Positivliste erlaubter Werkzeuge, die Pflicht zur menschlichen Prüfung aller KI-Ergebnisse und Schulungen gehören genauso zu den TOMs wie jede Firewall. Wie eine solche abgesicherte KI-Umgebung aufgebaut ist, zeigt unsere Seite zu DSGVO und Datensicherheit. Ein Beispiel ist eine Kanzlei-Wissensdatenbank auf einem Server in der Kanzlei, deren Berechtigungen und Zugriffsprotokolle in die TOM-Dokumentation gehören.
Auch die Grenzen gehören ins Konzept: KI-Systeme liefern Entwürfe zur Freigabe, nichts verlässt die Kanzlei automatisch, und bei Fristen unterstützen Systeme die Kontrolle durch Erinnerungen — die Verantwortung für die Fristenwahrung bleibt bei der Kanzlei. Solche Festlegungen sind organisatorische Maßnahmen im besten Sinn: Sie regeln, wie Technik verantwortungsvoll benutzt wird.
Wie dokumentieren und pflegen Sie TOMs mit vertretbarem Aufwand?
Der pragmatische Weg führt über vier Schritte:
- Bestandsaufnahme: Erfassen Sie, welche Systeme mit personenbezogenen Daten arbeiten — Kanzleisoftware, E-Mail, Dokumentenablage, mobile Geräte, KI-Werkzeuge — und welche Schutzmaßnahmen je System bereits bestehen.
- Lücken schließen nach Risiko: Beginnen Sie bei den Maßnahmen mit dem größten Hebel: Zwei-Faktor-Authentifizierung, Verschlüsselung mobiler Geräte, getestete Backups, Offboarding-Prozess für Benutzerkonten.
- Dokumentieren: Halten Sie die Maßnahmen in einer strukturierten Übersicht fest — gegliedert etwa nach den Schutzzielen der Tabelle oben. Zwei bis vier Seiten genügen den meisten Kanzleien.
- Regelmäßig prüfen: Einmal jährlich durchgehen, zusätzlich anlassbezogen bei neuen Systemen oder nach Vorfällen. Ein fixer Termin im Kanzleikalender verhindert, dass die Übersicht veraltet.
Wie TOMs mit den übrigen Datenschutz-Bausteinen des KI-Einsatzes zusammenspielen — Anbieterprüfung, Auftragsverarbeitungsverträge, interne Richtlinien —, behandelt ausführlich unser Leitfaden zu KI und DSGVO in der Kanzlei.
Wenn Sie Ihre TOMs auf den Stand bringen möchten, bevor das erste KI-System in den Echtbetrieb geht, unterstützen wir Sie gerne — der einfachste Einstieg ist ein unverbindliches Erstgespräch: Kontakt aufnehmen.
Quellen
- Datenschutz-Grundverordnung, Verordnung (EU) 2016/679, Art. 32: EUR-Lex
- Rechtsanwaltsordnung (RAO), § 9: RIS Bundesrecht konsolidiert
- Datenschutzgesetz (DSG), § 6: RIS Bundesrecht konsolidiert
Häufige Fragen
Was sind TOMs nach der DSGVO?
TOMs sind technische und organisatorische Maßnahmen, mit denen ein Unternehmen personenbezogene Daten schützt. Technische Maßnahmen wirken über Technik — etwa Verschlüsselung, Zugriffskontrolle und Backups. Organisatorische Maßnahmen wirken über Regeln und Abläufe — etwa Berechtigungskonzepte, Schulungen und Richtlinien. Art. 32 DSGVO verlangt Maßnahmen, die dem Risiko der Verarbeitung angemessen sind.
Welche TOMs braucht eine Rechtsanwaltskanzlei mindestens?
Als Grundausstattung gelten: verschlüsselte Geräte und Übertragungswege, individuelle Benutzerkonten mit starken Passwörtern und Zwei-Faktor-Authentifizierung, ein Berechtigungskonzept nach dem Need-to-know-Prinzip, regelmäßige geprüfte Backups, zeitnahe Updates, eine Regelung für den Umgang mit E-Mail-Anhängen sowie Schulungen und eine klare Richtlinie für digitale Werkzeuge einschließlich KI.
Müssen TOMs schriftlich dokumentiert werden?
Die DSGVO verlangt, dass der Verantwortliche die Wirksamkeit seiner Maßnahmen nachweisen kann — eine schriftliche TOM-Übersicht ist dafür das übliche Mittel und wird auch von Vertragspartnern regelmäßig angefragt, etwa als Anlage zum Auftragsverarbeitungsvertrag. Ohne Dokumentation lässt sich im Ernstfall kaum belegen, dass angemessene Maßnahmen bestanden.
Wie hängen TOMs und KI-Einsatz in der Kanzlei zusammen?
Jedes KI-System ist ein neuer Verarbeitungsweg für Daten und muss deshalb in die TOMs aufgenommen werden: Wo läuft das System, wer darf es nutzen, welche Daten dürfen hinein, wie werden Ergebnisse geprüft? KI im eigenen Haus (On-Premise) lässt sich besonders sauber einbinden, weil die Kanzlei alle technischen Maßnahmen selbst kontrolliert.
Wie oft sollten TOMs überprüft werden?
Die DSGVO nennt keine starre Frist, verlangt aber ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit. In der Praxis hat sich eine jährliche Durchsicht bewährt, ergänzt um anlassbezogene Prüfungen — etwa bei neuen Systemen, nach Vorfällen oder bei personellen Veränderungen in Schlüsselfunktionen.