27. Oktober 2026 · DSGVO
TOM nach DSGVO nachweisen: ein Praxisbeispiel aus dem Exportgeschäft
Wie ein Exporteur aus Lateinamerika seine technischen und organisatorischen Maßnahmen für einen EU-Kunden strukturiert, nachvollziehbar belegt und für künftige Anfragen wiederverwendet.
Ein Exporteur aus Peru beliefert einen Kunden in Deutschland und muss im Rahmen der Auftragsverarbeitung nachweisen, welche technischen und organisatorischen Maßnahmen (TOM) nach DSGVO er umgesetzt hat. Die Anfrage kam per E-Mail, mit einem Fragebogen von rund 60 Punkten: Zugriffskontrolle, Verschlüsselung, Protokollierung, Löschkonzepte, Schulungen und Umgang mit Vorfällen.
Statt die Antworten jedes Mal neu aus Ordnern und Erinnerungen zusammenzusuchen, legte das Team die Anforderungen im DSGVO-Framework der Compliance-Plattform Sightadel ab. Jede Anforderung erhielt eine Aufgabe mit verantwortlicher Person und Fälligkeit, dazu die vorhandenen Nachweise, etwa Richtlinien, Zugriffslisten und Schulungsbelege. Vorlagen für Verarbeitungsverzeichnis und Löschkonzept wurden einmal angepasst und stehen seitdem für alle Kunden bereit.
Die Daten bleiben dabei auf Servern in Deutschland, was für den Kunden in der EU ein Thema war. Für die Sicherheitsseite ergänzte das Team eine unabhängige Prüfung der von außen sichtbaren Angriffsfläche durch den Dienst veyrisk, der einen Bericht zu offenen Diensten, Zertifikaten und DNS- und Mail-Konfiguration liefert. Das ersetzt keinen Penetrationstest, belegt aber den aktuellen Stand nachvollziehbar.
Der Vorteil zeigte sich bei der zweiten Anfrage: Der Fragebogen eines anderen EU-Kunden ließ sich zu großen Teilen aus den bestehenden Nachweisen beantworten, nur die Abweichungen mussten ergänzt werden. Sightadel stellt keine Zertifikate aus; der Nutzen liegt in geordneten, wiederverwendbaren Belegen, die für Audits und Kundenprüfungen bereitstehen. Wer den Ablauf mit eigenen Anforderungen ausprobieren möchte, kann den kostenlosen Test nutzen.
