---
title: "Maßnahmen nach Art. 32 dokumentieren statt beschreiben"
description: "Art. 32 DSGVO verlangt angemessene Maßnahmen und ihren Nachweis. Maßnahmen dokumentieren mit einem Katalog, der sie an Risiken bindet."
canonical: "https://www.dsb-datenschutz.de/software/features-technisch-organisatorische-massnahmen/"
---

# Technische und organisatorische Maßnahmen dokumentieren

Kaum ein Dokument wird so oft verlangt und so selten gepflegt wie die Beschreibung der technischen und organisatorischen Maßnahmen. Sie hängt an jedem Auftragsverarbeitungsvertrag, an jedem Kundenfragebogen und an jeder Prüfung – und liegt in den meisten Unternehmen als Datei vor, deren letzte Änderung Jahre zurückliegt. Wer seine **Maßnahmen dokumentieren** will, braucht deshalb kein weiteres Dokument, sondern einen Katalog, der mit den Systemen mitwächst.

## Was Art. 32 tatsächlich verlangt

Nicht einen Katalog, sondern **Angemessenheit**: Maßnahmen, die dem Risiko entsprechen, unter Berücksichtigung von Stand der Technik, Implementierungskosten sowie Art, Umfang, Umständen und Zwecken der Verarbeitung.

Daraus folgt etwas, das eine statische Datei nicht abbilden kann: Die Angemessenheit lässt sich nur beurteilen, wenn die Maßnahme neben dem Risiko steht, gegen das sie wirken soll. Ein Katalog ohne diesen Bezug ist eine Aufzählung, keine Begründung.

Ausdrücklich verlangt wird außerdem ein **Verfahren zur regelmäßigen Überprüfung der Wirksamkeit** – Absatz 1 Buchstabe d. Das ist die Anforderung, an der die meisten Beschreibungen scheitern: Sie sagen, was eingerichtet wurde, nicht, ob es wirkt und wann das zuletzt geprüft wurde.

## Maßnahmen dokumentieren: was ein geführter Katalog anders macht

**Maßnahmen hängen an Objekten.** An einem System aus der [Systemlandschaft](https://www.dsb-datenschutz.de/software/features-systemlandschaft/), an einer Verarbeitung im [Verzeichnis](https://www.dsb-datenschutz.de/software/features-verarbeitungsverzeichnis/), an einem [Risiko](https://www.dsb-datenschutz.de/software/features-risikoanalysen/). Damit ist sichtbar, welche Maßnahmen eine bestimmte Verarbeitung schützen – genau die Auskunft, die eine Behörde verlangt.

**Sie haben einen Zustand.** Geplant, umgesetzt, überprüft – mit Datum und Verantwortlichem. „Wir verschlüsseln" ist keine Aussage; „seit dem 12.03. verschlüsselt, zuletzt geprüft am 08.09." ist eine.

**Ihre Überprüfung ist eine Aufgabe.** Wiederkehrend, mit Termin, über das [Aufgabensystem](https://www.dsb-datenschutz.de/software/features-aufgabensystem/).

**Sie lassen sich ausgeben.** Für den Auftragsverarbeitungsvertrag, den Kundenfragebogen oder die Behördenanfrage entsteht ein [PDF](https://www.dsb-datenschutz.de/software/features-pdf-exporte/) mit dem aktuellen Stand – statt einer Datei, die jemand von Hand aktualisiert, wenn er daran denkt.

## Warum das für Dienstleister der Verkaufsvorteil ist

Wer selbst Auftragsverarbeiter ist, bekommt diese Beschreibung mehrfach im Jahr abverlangt – siehe [Datenschutz für IT-Dienstleister](https://www.dsb-datenschutz.de/datenschutz/branchen-it-serviceprovider/). Eine gepflegte, jederzeit ausgebbare Fassung verkürzt Beschaffungsprozesse, in denen andere hängen bleiben. Umgekehrt fordern Sie dieselbe Beschreibung von Ihren [Dienstleistern](https://www.dsb-datenschutz.de/software/features-dienstleister-lieferanten/) an.

## Grenzen

**Ein Katalog ist keine Sicherheit.** Dokumentierte Maßnahmen, die niemand umsetzt, sind schlechter als undokumentierte – sie belegen die Kenntnis der Lücke. Ob eine Maßnahme wirkt, zeigt eine Prüfung: [Schwachstellenscan oder Pentest](https://www.dsb-datenschutz.de/informationssicherheit/wissen-vulnerability-scan-pentest/), eine [Phishing-Simulation](https://www.dsb-datenschutz.de/informationssicherheit/phishing-kampagne/), ein internes [Audit](https://www.dsb-datenschutz.de/software/features-audit/).

**Vorlagen ersetzen die Abwägung nicht.** Ein übernommener Katalog beschreibt ein fremdes Unternehmen. Was inhaltlich hineingehört, steht unter [Technische und organisatorische Maßnahmen](https://www.dsb-datenschutz.de/datenschutz/beratung-technisch-organisatorische-massnahmen/).

## Kontakt

- Telefon: [+49 6188 99 04 36](tel:+496188990436)
- E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de)
- Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns)
- [Demo vereinbaren](https://www.dsb-datenschutz.de/software/preise-demo/)