---
title: "veronto Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)"
description: "TOM nach Art. 32 DSGVO: Maßnahmen zum Schutz personenbezogener Daten in den veronto-Diensten, als Markdown."
canonical: "https://veronto.de/compliance-toms"
---

# veronto Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)

Diese Übersicht beschreibt die technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO. Sie ist Anlage zum [Auftragsverarbeitungsvertrag](https://veronto.de/compliance-avv) und wird nach dem Stand der Technik fortlaufend weiterentwickelt. Stand: Juni 2026.

## 1. Vertraulichkeit

### Zutrittskontrolle
Die Verarbeitung erfolgt in Rechenzentren professioneller, in der EU ansässiger Anbieter (Hosting: Hetzner Online GmbH, Deutschland) mit physischer Zutrittssicherung, Zutrittsprotokollierung und ISO/IEC-27001-zertifiziertem Betrieb. Eigene physische Server werden nicht betrieben.

### Zugangskontrolle
Zugang zu Systemen nur über individuelle, personenbezogene Benutzerkonten mit starker Authentifizierung; Mehr-Faktor-Authentifizierung für administrative Zugänge. Keine geteilten Konten. Inaktive Zugänge werden deaktiviert.

### Zugriffskontrolle
Rollenbasiertes Berechtigungskonzept (RBAC) nach dem Prinzip der minimalen Rechtevergabe (Least Privilege). Zugriffe auf personenbezogene Daten werden protokolliert. Administrative Tätigkeiten sind auf einen eng begrenzten Personenkreis beschränkt und werden protokolliert.

### Trennungskontrolle
Logische Trennung der Daten verschiedener Mandanten. Getrennte Umgebungen für Entwicklung, Test und Produktion.

### Pseudonymisierung
Personenbezogene Daten werden anonymisiert oder pseudonymisiert, bevor sie an ein Sprachmodell übergeben werden. Ein nachgelagerter Egress-Scan prüft Ausgaben auf verbliebene Klardaten. Konsistente Platzhalter erhalten die fachlichen Bezüge, ohne Identitäten preiszugeben.

## 2. Integrität

### Weitergabekontrolle
Übertragung personenbezogener Daten ausschließlich über verschlüsselte Verbindungen (Transportverschlüsselung per TLS nach aktuellem Stand der Technik). Ruhende Daten werden verschlüsselt gespeichert (Verschlüsselung at rest). Eine Übermittlung an Dritte erfolgt nur im Rahmen der dokumentierten Auftragsverarbeitung.

### Eingabe- und Nachvollziehbarkeitskontrolle
Jeder Verarbeitungsschritt sowie jede menschliche Freigabe werden durchgängig und manipulationsgeschützt in einem Audit-Trail protokolliert. Es bleibt nachvollziehbar, wer welche Daten wann verarbeitet oder freigegeben hat.

## 3. Verfügbarkeit und Belastbarkeit

### Verfügbarkeitskontrolle
Betrieb auf einer redundant ausgelegten Infrastruktur eines professionellen Anbieters. Überwachung der Systeme auf Verfügbarkeit und sicherheitsrelevante Ereignisse. Schutz vor Schadsoftware und unbefugten Zugriffen durch aktuelle Sicherheitsmaßnahmen.

### Datensicherung und Wiederherstellung
Regelmäßige Datensicherungen nach dokumentiertem Zeitplan. Die Wiederherstellbarkeit der Sicherungen wird durch periodische Wiederherstellungstests überprüft.

### Patch-Management und Systemhärtung
Sicherheitsrelevante Updates werden im Rahmen eines Patch-Management-Prozesses zeitnah eingespielt. Systeme werden nach anerkannten Grundsätzen gehärtet.

## 4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

### Wirksamkeitsüberprüfung (Art. 32 Abs. 1 lit. d DSGVO)
Die Wirksamkeit der technischen und organisatorischen Maßnahmen wird regelmäßig überprüft, bewertet und evaluiert, insbesondere durch interne Audits, technische Überprüfungen der Systeme und anlassbezogene Sicherheitstests. Erkenntnisse fließen in die Fortentwicklung der Maßnahmen ein.

### Datenschutz-Management
Festgelegte Verantwortlichkeiten für den Datenschutz, Verpflichtung der Mitarbeitenden auf die Vertraulichkeit, Verarbeitung ausschließlich auf Weisung des Verantwortlichen.

### Vorfallreaktion
Definierter Prozess zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen. Unverzügliche Information des Verantwortlichen zur Unterstützung seiner Pflichten nach Art. 33 und 34 DSGVO.

### Auftragskontrolle
Einsatz von Unterauftragsverarbeitern nur auf Grundlage von Verträgen nach Art. 28 DSGVO und unter Verpflichtung auf dasselbe Schutzniveau. Die eingesetzten Unterauftragsverarbeiter sind im [Compliance-Center](https://veronto.de/compliance) aufgeführt.

### Privacy und Security by Design
Datenschutzfreundliche Voreinstellungen und Datenminimierung sind fester Bestandteil der Produktentwicklung (Art. 25 DSGVO). Auf Wunsch erfolgt der Betrieb vollständig in der Infrastruktur des Kunden (On-Premise, siehe Ziffer 5).

## 5. Abgrenzung bei On-Premise-Betrieb

Wird veronto in der Infrastruktur des Kunden betrieben (On-Premise), gehen die infrastrukturbezogenen Maßnahmen in die Verantwortung des Kunden über. Dazu zählen insbesondere die physische Zutrittssicherung der Serverumgebung, der Betrieb, die Härtung und das Patch-Management der zugrunde liegenden Systeme, die Netzwerksicherheit, die Datensicherung sowie die Vergabe und Kontrolle der Zugänge innerhalb der Kundenumgebung. In unserer Verantwortung verbleiben die anwendungsbezogenen Maßnahmen, insbesondere die sichere Entwicklung der Software, die Bereitstellung sicherheitsrelevanter Updates sowie die in der Anwendung angelegten Schutzfunktionen, unter anderem Pseudonymisierung, rollenbasiertes Berechtigungskonzept und Audit-Trail. Die konkrete Aufteilung der Verantwortlichkeiten wird im Einzelvertrag festgelegt.

veronto GmbH & Co. KG · Stand August 2026. Der konkrete Umfang der Maßnahmen kann je nach Bereitstellungsform (SaaS / On-Premise) im Einzelvertrag spezifiziert werden.