We generate your technical and organisational measures automatically in minutes. Create them online now and download immediately.
10,000+
Happy users
40,000+
Legal documents created
1,500+
Integrated services
Light current-state review: Dieter asks in plain language what matters technically and organisationally for you – without empty phrases.
Context & risk
Capture company, systems, and processing at a high level – the basis for appropriate measures under Art. 32 GDPR.
Dieter creates your TOM document
Technical measures (e.g. access, availability) and organisational measures (e.g. training, instructions) are documented in a structured way.
Maintain & adapt
Update TOM when tools, locations, or incidents change – your evidence stays current.
Evidence instead of gut feeling
TOM are central for Art. 32, DPAs, audits, and insurance. With Dieter you have documented protection levels instead of a spreadsheet. The full catalogue of measures with examples is in our practical guide to TOM, and how it connects to the records in the article on records of processing activities and deletion concept.
Anyone handling personal data needs technical and organisational measures (TOM) – start-ups, sole traders, small businesses, trades. The GDPR requires appropriate measures under Art. 32 for a level of security matching the risk. Without TOM, fines of up to €10 million or 2% of worldwide annual turnover are possible (Art. 83(4) GDPR). Which measures are actually meant is explained in our practical guide to TOM.
TOM must describe, among other things, the responsible party, technical measures (e.g. encryption, firewall), organisational measures (training, access rights), regular review, incident plans, pseudonymisation, and procedures for reporting security events. Creation often requires a current-state review, risk assessment, and ongoing documentation. Which measures are realistic for a small business and how to prioritise them is shown in our practical guide to technical and organisational measures. A short description of the TOM also belongs in the record of processing activities.
With Dieter you answer simple questions step by step; all mandatory details flow into your TOM document – including an access control concept. TOM can be updated whenever facts or law change.
TOM are mandatory as soon as personal data is processed. Art. 32 GDPR requires a level of security appropriate to risk – regardless of industry or company size.
Many searching for “create TOM” mean documenting technical and organisational measures in a legally sound way. That evidence is decisive in audits and with authorities.
Typical mistake
Individual measures like firewall or backups exist but are not documented as a coherent TOM concept.
Design depends on setup; typically it includes:
Start with a short current-state review: systems, data types, access, vendors, and typical risks. From that you derive appropriate technical and organisational measures.
With Dieter you answer relevant questions step by step, receive a consistent TOM document, and can update it when things change.
A DPA governs the contractual relationship between controller and processor. TOM describe the concrete security level of processing.
In practice you usually need both: the contract as legal framework and TOM as operational security evidence.
Update TOM when processing, tools, locations, access models, or vendors change materially.
Fixed review cycles (e.g. annually and after incidents) keep evidence robust and aligned with records, DPAs, and internal audits.
Recommendation
Define a clear update trigger per type of change so TOM do not go stale.
Start with Dieter now and document a level of protection appropriate to risk – including access control and evidence for authorities and partners.
Dieter führt dich in einem einfachen Schritt-für-Schritt-Prozess durch alle relevanten DSGVO-Themen, erklärt jeden Schritt verständlich und hält Inhalte sowie Anforderungen laufend auf dem aktuellen Stand. So bleibst du datenschutzrechtlich auf der sicheren Seite und kannst dich wieder auf deine eigentliche Arbeit konzentrieren.
Dieter führt dich strukturiert durch alle Pflichtangaben und erstellt daraus eine Datenschutzerklärung, die zu deinem Unternehmen und deinen Prozessen passt.
Use Cases:
Dirk
Owner at Kundegesucht
Use Cases:
Sofie
Founder at Miss Sofie's Coaching
Use Cases:
Larissa
Co-Founder at focus future
Use Cases:
Simon
Co-Founder at Dubly.AI GmbH
Use Cases:
Manuel
CEO at ALMAE Heilarbeitsinstitut GmbH
Use Cases:
Jarod
Sole proprietor at Jarod Schilke – IT Services
Weitere Bewertungen findest du auf OMR Reviews – Dieter und Google Reviews.
Lerne unser Team kennen, nach welchen Werten und Prinzipien wir arbeiten und wo wir uns engagieren.
Wir sind ein kleines engagiertes Team aus Juristen und Techies, das jeden Tag daran arbeitet, Dieter noch besser zu machen.
Transparenz liegt uns am Herzen und in unserer DNA. In einer eigenen Übersicht erfahrt ihr in aller Offenheit, wie wir mit personenbezogenen Daten umgehen – von technischen Maßnahmen und Verträgen bis zu eingesetzten Diensten und euren Rechten.
Wir sind mit anerkannten Verbänden und Initiativen im Datenschutz- und Legal-Tech-Bereich verbunden.
Dieter kennen lernen und den ersten Schritt zum DSGVO-konformen Unternehmen starten.
Wer nach „toms erstellen“ sucht, meint in der Praxis meist zwei Ziele: Sicherheitsniveau verbessern und Nachweise prüffähig machen. TOM nach Art. 32 DSGVO müssen risikoorientiert, konkret und verständlich dokumentiert sein. Damit wird sichtbar, wie Zugriff, Integrität, Verfügbarkeit und Wiederherstellung tatsächlich abgesichert sind.
Belastbare TOM kombinieren technische Controls mit organisatorischen Regeln: Berechtigungen, Rollen, Incident-Prozesse, Schulungen und Prüfzyklen. Entscheidend ist die Verbindung aus Maßnahme und Zuständigkeit, damit aus Sicherheitsabsicht ein reproduzierbarer Betriebsstandard wird. So bleiben Vorgaben auch bei Teamwechseln und Systemänderungen handhabbar.
Sobald Dienstleister, neue Anwendungen oder Standorte hinzukommen, sollten TOM gezielt aktualisiert werden. Die größte Wirkung entsteht, wenn TOM mit AVV-Regelungen und dem Verzeichnis der Verarbeitungstätigkeiten konsistent geführt werden. Das senkt Audit-Aufwand und stärkt die Argumentationsfähigkeit gegenüber Kunden und Aufsicht.
Zu einem erfolgreichen Webauftritt gehört eine rechtssichere Datenschutzerklärung und ein Impressum. DIETER wurde von Datenschutzbeauftragten und Anwälten entwickelt, um dir den Rücken freizuhalten und die Einhaltung der DSGVO sicherzustellen.
DSGVO CHECK-UP STARTENFür größere Unternehmen mit komplexen Anforderungen an Datenschutz und Reporting.
JETZT ANFRAGENDer KI-Rechtsberater für KMU, der aus Regulierung konkrete Umsetzung macht.
Wir möchten dir Klaus vorstellen. Klaus übersetzt den EU AI Act in klare Entscheidungen: Was ist erlaubt, was riskant, was ist sofort zu tun. So bringst du KI schneller produktiv in den Betrieb und reduzierst Haftungs- und Freigaberisiken.
