Fragebögen

Fragebogen-Vorlagen für Audits, Selbstauskünfte und TOM-Audits aufbauen und freigeben

0 Kurzkarte: Fragebogen anlegen und freigeben in 5 Schritten

Für alle, die gelegentlich einen Fragebogen für ein Audit vorbereiten.

Ein Audit braucht immer mindestens einen freigegebenen Fragebogen. Der Fragebogen ist die wiederverwendbare Vorlage: Er legt fest, welche Bereiche und Fragen im Audit gestellt werden und welche Antworten möglich sind.

  1. Anlegen – Audit → Fragebögen → Neu, Titel des Fragebogens und Art des Fragebogens (Audit Fragebogen, AV-Selbstauskunft oder TOM-Fragebogen) eintragen, Speichern.
  2. Bereiche anlegen – im Reiter Bereiche + Fragen über Bereich hinzufügen die Kapitel anlegen, z. B. „Organisation“.
  3. Fragen anlegen – je Bereich über Frage hinzufügen die Fragen mit Kurzbezeichnung, Antworttyp und dem Fragetext anlegen; bei TOM-Fragebögen zusätzlich den Anforderungsbezug setzen.
  4. Antwortoptionen anlegen – bei Auswahlfragen über Option hinzufügen die möglichen Antworten mit Bewertung, Ergebnistext und Auditmaßnahme hinterlegen. Speichern nicht vergessen.
  5. Prüfen und freigeben – Pflichtfelder prüfen klicken, fehlende Angaben ergänzen, dann im Reiter Stammdaten Freigegeben zur Verwendung einschalten und Speichern.

Wichtig: Nur freigegebene Fragebögen stehen beim Anlegen eines Audits zur Auswahl. Ein Audit erhält beim Anlegen eine eigene Kopie des Fragebogens – spätere Änderungen an der Vorlage wirken sich auf bereits angelegte Audits nicht aus.

1 Einführung

1.1 Wofür ist das Modul da?

Im Modul Fragebögen pflegen Sie die Fragebogen-Vorlagen für Audits, Selbstauskünfte und TOM-Audits. Eine Vorlage wird einmal aufgebaut und danach für beliebig viele Audits verwendet, etwa für die jährliche Wiederholungsprüfung, für die Prüfung mehrerer Auftragsverarbeiter mit demselben Fragenkatalog (Art. 28 Abs. 1 DS-GVO) oder für die Angemessenheitsprüfung der technischen und organisatorischen Maßnahmen (Art. 32 DS-GVO).

Das Modul

  • bildet einen Fragenkatalog in Bereichen, Fragen und Antwortoptionen ab,
  • hinterlegt zu jeder Antwort eine Bewertung, einen Ergebnistext und eine Maßnahmenempfehlung,
  • ordnet Fragen auf Wunsch Anforderungen aus Anforderungskatalogen zu (Anforderungsbezug), z. B. „DS-GVO + BDSG (bewährt): Zutrittskontrolle“,
  • kann an Antworten Folgefragen und automatische Aktionen knüpfen, z. B. eine Aufgabe anlegen,
  • prüft die Vorlage auf Vollständigkeit und gibt sie für Audits frei.

Die Audits selbst führen Sie im Modul Audits durch, die Angemessenheitsprüfung der TOM-Kataloge im Modul TOM. Wiederverwendbare Bausteine liegen in der Bibliothek (jeweils eigene Handbücher).

1.2 Die drei Arten von Fragebögen

ArtWofürWo auswählbar
Audit FragebogenKlassische Audits, z. B. Datenschutzorganisation oder DienstleisterauditAudits vom Typ Audit und Selbstauskunft
AV-SelbstauskunftSelbstauskunft eines Auftragsverarbeiters, meist über einen externen Link ausgefülltAudits vom Typ Audit und Selbstauskunft
TOM-FragebogenPrüffragen zur Angemessenheit der technischen und organisatorischen MaßnahmenNur in Audits vom Typ TOM-Audit und als Standard-Prüfkatalog Angemessenheitsprüfung in der TOM-Konfiguration

Mitgeliefert wird der TOM-Fragebogen „TOM-Prüfung DS-GVO + BDSG“ (siehe Die Systemvorlage „TOM-Prüfung DS-GVO + BDSG“).

1.3 Begriffe

BegriffBedeutung im audatis MANAGER
Fragebogen (Vorlage)Wiederverwendbarer Fragenkatalog. Wird beim Anlegen eines Audits in das Audit kopiert.
Art des FragebogensAudit Fragebogen, AV-Selbstauskunft oder TOM-Fragebogen; bestimmt, in welchen Audits die Vorlage zur Auswahl steht.
BereichKapitel des Fragebogens, z. B. „Technische Maßnahmen“. Im Audit erscheint jeder Bereich als eigener Reiter.
FrageEine Prüffrage mit Antworttyp (Auswahl, Freitext, Datei, Zahl oder reiner Hinweistext).
AntwortoptionEine auswählbare Antwort einer Auswahlfrage, z. B. „angemessen“ oder „nicht angemessen“. Trägt Bewertung, Ergebnistext und Maßnahmenempfehlung.
BewertungBewertungsstufe einer Antwortoption mit Punktwert, z. B. Angemessen (100) oder Nicht angemessen (0).
AnforderungsbezugZuordnung einer Frage zu Anforderungen eines Anforderungskatalogs (Framework). Im TOM-Audit zeigt die Frage dadurch die Maßnahmen mit diesen Anforderungen.
FolgefrageFrage, die im Audit nur erscheint, wenn eine bestimmte Antwortoption gewählt wurde.
AktionFolgehandlung, die eine Antwortoption auslöst, z. B. eine Aufgabe oder eine technische und organisatorische Maßnahme anlegen.
FreigegebenDie Vorlage steht beim Anlegen eines Audits zur Auswahl.
PflichtfrageFrage, die im Audit beantwortet werden muss. Fragen sind Pflicht, solange Die Frage ist optional zu beantworten. nicht eingeschaltet ist.

1.4 Der Ablauf im Überblick

SchrittWerWas passiertErgebnis
1. AnlegenVorlagen-VerantwortlicheTitel und Art festlegen, neu oder Neu aus BibliothekVorlage, nicht freigegeben
2. AufbauenVorlagen-VerantwortlicheBereiche, Fragen, Antwortoptionen, ggf. Anforderungsbezug, Folgefragen und Aktionen anlegenVollständige Struktur
3. PrüfenVorlagen-VerantwortlichePflichtfelder prüfen, VorschauListe fehlender Angaben und Hinweise
4. FreigebenVorlagen-VerantwortlicheSchalter Freigegeben zur Verwendung oder Massenaktionen → FreigebenVorlage in der Audit-Auswahl
5. VerwendenAuditoren, DSB, ISBAudit mit der Vorlage anlegen (Modul Audits) bzw. TOM-Katalog zur Prüfung einreichen (Modul TOM)Audit mit eigener Kopie
6. PflegenVorlagen-VerantwortlicheVorlage überarbeiten, Freigabe entziehen, archivierenNeue Audits nutzen den neuen Stand

1.5 Rollen und Rechte

Die Rechte vergibt die Administration in der Benutzer- und Rollenverwaltung für die Fragebogenverwaltung.

StufeWas sie sieht und darf
LesenFragebögen ansehen, in der Vorschau öffnen und exportieren; die Bibliothek lesend öffnen.
SchreibenFragebögen anlegen, bearbeiten, freigeben, archivieren und auf andere Mandanten kopieren.
LöschenZusätzlich Fragebögen löschen.
SonderrechtZusätzlich Fragebögen konfigurieren (Schlagwörter).

Hinweis: Die Bibliothek (Audit → Bibliothek) öffnet jeder mit Leserecht in der Fragebogenverwaltung. Bausteine der Bibliothek anlegen, ändern oder per Massenaktion bearbeiten kann nur die Systemadministration; alle anderen sehen die Bibliothek ohne diese Schaltflächen.

2 Fragebögen finden und ansehen

Für alle, die eine vorhandene Vorlage suchen oder prüfen möchten.

2.1 Die Übersicht

Öffnen Sie in der Navigation Audit → Fragebögen. Die Übersicht zeigt alle Vorlagen des Mandanten mit Bezeichnung, Art (z. B. Audit Fragebogen oder AV-Selbstauskunft), Anzahl der Bereiche, Fragen (einschließlich Folgefragen) und verknüpften Aktionen, dem Status Freigegeben und den Schlagwörtern.

Abbildung 1: Übersicht der Fragebögen

  • Der Reiter Aktiv zeigt die Vorlagen in Gebrauch, Archiv die archivierten Vorlagen.
  • Über Filter grenzen Sie nach Art, Freigegeben (Ja/Nein) und Schlagwort ein. Der Filter Art bietet nur die Arten an, die im Mandanten vorkommen.
  • Suche in Tabelle durchsucht die angezeigten Einträge.
  • Über das Spaltensymbol rechts im Tabellenkopf blenden Sie Spalten ein und aus.
  • Rechts in jeder Zeile öffnen Sie die Vorlage zum Anzeigen (Auge) oder Bearbeiten (Stift). Ein Klick auf die Bezeichnung öffnet die Anzeige.

2.2 Eine Vorlage ansehen

Die Anzeigeansicht zeigt die Reiter Stammdaten und Bereiche + Fragen schreibgeschützt. In der Werkzeugleiste stehen Bearbeiten, Löschen, Vorschau, Exportieren und Abbrechen zur Verfügung, je nach Ihren Rechten. Pflichtfelder prüfen finden Sie im Bearbeitungsmodus.

Tipp: Die Vorschau zeigt, wie der Fragebogen für die ausfüllende Person im Audit aussieht – ohne dass Eingaben gespeichert werden.

3 Einen Fragebogen aufbauen

Für alle, die eine Vorlage anlegen oder anpassen: Datenschutzbeauftragte, ISB, Auditoren.

3.1 Schritt 1: Vorlage anlegen

  1. Klicken Sie in der Übersicht auf Neu.
  2. Tragen Sie im Fenster Neue Fragebogen-Vorlage den Titel des Fragebogens ein, z. B. „Basisprüfung Datenschutzorganisation 2026“. Der Titel erscheint im Audit und im Auditbericht.
  3. Wählen Sie die Art des Fragebogens: Audit Fragebogen, AV-Selbstauskunft oder TOM-Fragebogen (siehe Die drei Arten von Fragebögen).
  4. Klicken Sie auf Speichern. Die Vorlage öffnet sich im Bearbeitungsmodus.

Abbildung 2: Neue Fragebogen-Vorlage anlegen

Tipp: Mit Neu aus Bibliothek legen Sie eine Vorlage als Kopie eines fertigen Fragebogens aus der Bibliothek an, z. B. aus der Systemvorlage „TOM-Prüfung DS-GVO + BDSG“ (siehe Vorlagen pflegen).

3.2 Schritt 2: Stammdaten prüfen

Der Reiter Stammdaten enthält:

FeldBedeutung
Titel des FragebogensÜberschrift im Audit und im Auditbericht.
Art des FragebogensBestimmt, in welchen Audits die Vorlage zur Auswahl steht. Sobald die Vorlage in einem Audit verwendet wird, lässt sich die Art nicht mehr ändern; der Hinweis darunter nennt die Zahl der Verwendungen.
Freigegeben zur VerwendungSchaltet die Vorlage für neue Audits frei. Während des Aufbaus ausgeschaltet lassen.
Erweiterte Optionen anzeigenBlendet die Felder für Reifegrad- und Risikobewertung ein (siehe Erweiterte Optionen).

Über das Symbol rechts in der Werkzeugleiste öffnen Sie die Seitenleiste mit den Reitern Aufgaben, Schlagwörter, Kommentare, Links und Aktivitätslog. Änderungen an den Stammdaten übernehmen Sie mit Speichern.

Abbildung 3: Reiter Stammdaten mit Seitenleiste „Schlagwörter“

3.3 Schritt 3: Bereiche anlegen

  1. Wechseln Sie in den Reiter Bereiche + Fragen. Links sehen Sie die Übersicht (Strukturbaum) mit Suchfeld, rechts den Bearbeitungsbereich für das gewählte Element.
  2. Klicken Sie auf Bereich hinzufügen. Im Fenster legen Sie den Bereich unter Neu erstellen an oder übernehmen ihn unter Aus Bibliothek samt seinen Fragen.
  3. Tragen Sie die Bezeichnung ein, z. B. „Physische Sicherheit“, und klicken Sie auf Speichern.
  4. Ergänzen Sie rechts bei Bedarf die Anmerkung / Einleitung – sie erscheint im Audit oberhalb der Fragen und im Auditbericht. Die Bemerkung (intern) sieht nur, wer die Vorlage bearbeitet.

Abbildung 4: Reiter Bereiche + Fragen mit Strukturbaum

Tipp: Im Strukturbaum ändern Sie die Reihenfolge von Bereichen, Fragen und Optionen per Drag & Drop. Mit dem Kopier-Symbol neben einem Bereich oder einer Frage legen Sie eine Kopie an, mit dem Papierkorb-Symbol löschen Sie das Element.

3.4 Schritt 4: Fragen anlegen

  1. Klicken Sie im Bereich auf Frage hinzufügen. Unter Neu erstellen tragen Sie die Kurzbezeichnung ein – den kurzen Namen für den Strukturbaum, z. B. „RZ.01 Zutritt Serverraum“ – und wählen den Antworttyp. Unter Aus Bibliothek übernehmen Sie eine fertige Frage.
  2. Klicken Sie auf Speichern. Die Frage erscheint im Strukturbaum.
  3. Wählen Sie die Frage im Strukturbaum aus und formulieren Sie rechts unter Frage den Text, den die ausfüllende Person im Audit sieht.
  4. Optional: Hilfetext (erscheint im Audit über das Hilfe-Symbol), Anmerkung / Erläuterung (erscheint unter der Frage), Bemerkung (intern) und Die Frage ist optional zu beantworten.
  5. Klicken Sie auf Speichern.
AntworttypGeeignet für
EinzelauswahlGenau eine Antwort, z. B. angemessen / teilweise angemessen / nicht angemessen
MehrfachauswahlMehrere zutreffende Antworten
Einzelauswahl mit Freitext, Mehrfachauswahl mit FreitextAuswahl plus ergänzende Erläuterung
FreitextOffene Beschreibung
ZahlenwertKennzahlen, Mengen
DateiuploadNachweise, z. B. Konzepte oder Protokolle
Bemerkungstext (nur Anzeige)Reiner Hinweistext ohne Antwort

Abbildung 5: Frage bearbeiten

Hinweis: Den Antworttyp einer Frage können Sie nur ändern, solange sie keine Antwortoptionen hat. Entfernen Sie die Optionen zuerst.

Bei Freitext-Fragen legen Sie unter Bewertungsvorgaben (Freitext) eine Vorbelegung für Bewertung, Ergebnistext und Auditmaßnahme fest. Sie wird beim Anlegen eines Audits übernommen und kann dort angepasst werden.

Tipp: Neue Bereiche, Fragen und Optionen sowie Änderungen am Strukturbaum werden sofort gespeichert. Texte und Felder im Bearbeitungsbereich übernehmen Sie mit Speichern – die Schaltfläche ist hervorgehoben, solange ungespeicherte Änderungen vorliegen.

3.5 Schritt 5: Anforderungsbezug setzen

Unter Anforderungsbezug ordnen Sie eine Frage oder Folgefrage einer oder mehreren Anforderungen aus den Anforderungskatalogen (Frameworks) des Mandanten zu. Bei TOM-Fragebögen ist der Anforderungsbezug die Grundlage der Prüfung: Im TOM-Audit zeigt jede Prüffrage unter Maßnahmen zur Prüffrage alle Maßnahmen der geprüften TOM-Kataloge, die im Anforderungs-Mapping dieselbe Anforderung tragen (Handbuch „TOM“). Fragen ohne Anforderungsbezug zeigen dort keine Maßnahmen.

  1. Wählen Sie die Frage im Strukturbaum aus und blättern Sie im Bearbeitungsbereich nach unten zu Anforderungsbezug.
  2. Klicken Sie auf Anforderung hinzufügen.
  3. Wählen Sie unter Frameworks einen oder mehrere Anforderungskataloge, z. B. DSGVO_BDSG – DS-GVO + BDSG (bewährt).
  4. Wählen Sie unter Anforderungen die passenden Anforderungen; das Suchfeld grenzt die Liste ein, z. B. auf „Zutritt“.
  5. Klicken Sie auf Hinzufügen. Die Zuordnung wird sofort gespeichert und erscheint mit Kürzel des Frameworks, Anforderungs-ID und Bezeichnung.

Abbildung 6: Anforderung hinzufügen

Abbildung 7: Frage mit Anforderungsbezug

Zur Auswahl stehen aktive Frameworks mit Kürzel und deren aktive Anforderungen (Konfiguration im Modul TOM, Reiter Anforderungskataloge (Frameworks)). Über das Papierkorb-Symbol entfernen Sie einen Bezug wieder.

Hinweis: Gespeichert werden Kürzel und Anforderungs-ID. Dadurch bleibt der Bezug beim Kopieren in andere Mandanten und beim Anlegen von Audits erhalten. Fehlt ein Framework im Ziel-Mandanten, bleibt der Bezug bestehen und ist mit „im Mandanten nicht vorhanden“ gekennzeichnet.

3.6 Schritt 6: Antwortoptionen anlegen

Für Auswahlfragen legen Sie die möglichen Antworten an:

  1. Klicken Sie im Strukturbaum unter der Frage auf Option hinzufügen.
  2. Tragen Sie im Fenster Antwortoption hinzufügen die Bezeichnung ein, z. B. „nicht angemessen“, und klicken Sie auf Speichern.
  3. Wählen Sie die Option im Strukturbaum aus und hinterlegen Sie rechts die Bewertungsgrundlage. Klicken Sie danach auf Speichern.
FeldWirkung
BewertungBewertungsstufe mit Punktwert, z. B. Angemessen (100), Teilweise angemessen (50), Nicht angemessen (0) oder Nicht anwendbar (0). Sie wird beim Bewerten des Audits vorgeschlagen und fließt in die Reifegrad-Berechnung ein. Die Stufen gelten für den ganzen Mandanten.
ErgebnistextBeschreibt den festgestellten Ist-Zustand; wird bei Auswahl in die Bewertung und in den Auditbericht übernommen.
AuditmaßnahmeEmpfohlene Maßnahme bei dieser Antwort.
Nutzen / ZieleBegründung, warum die Maßnahme umgesetzt werden sollte. Nur sichtbar, wenn die erweiterten Optionen eingeschaltet sind.
VorauswahlDie Option ist im Audit bereits angekreuzt.
Vorgabetext (Freitext)Vorbelegung des Freitextfelds bei Fragen mit Freitext.

Abbildung 8: Antwortoption bearbeiten

Tipp: Formulieren Sie Ergebnistext und Auditmaßnahme so, dass sie ohne Nacharbeit in den Bericht passen, z. B. bei „nicht angemessen“: „Der Serverraum ist nicht gegen unbefugten Zutritt gesichert.“ und „Elektronisches Schließsystem mit Protokollierung einführen.“

3.7 Schritt 7: Folgefragen und Aktionen (optional)

  • Folgefrage hinzufügen unter einer Antwortoption legt eine Frage an, die im Audit nur erscheint, wenn diese Option gewählt wurde – etwa die Nachfrage „Seit wann?“ nach „ja“. Folgefragen haben dieselben Felder wie Fragen, einschließlich Anforderungsbezug.
  • Unter Verknüpfte Aktionen einer Option verbinden Sie eine Aktion mit der Antwort. Über Verknüpfen wählen Sie eine vorhandene Aktion, über + Neue Aktion erstellen legen Sie eine neue an. Mehrere Aktionen einer Option werden in der Reihenfolge (1–100) ausgeführt.
AktionstypWas die Aktion auslöst
Aufgabe erstellenLegt eine Aufgabe mit Betreff, Zuständigkeit und Fälligkeit an.
ProjektaufgabeLegt einen Eintrag im Maßnahmenplan an.
Technische und org. MaßnahmenLegt eine technische und organisatorische Maßnahme an.
DateiablageLegt eine hinterlegte Datei in einem Zielordner ab.
Vorlagen importierenImportiert Vorlagen aus einem Vorlagenpaket.

Hinweis: Aktionen und Folgefragen sind nur an Antwortoptionen von Einzel- und Mehrfachauswahl-Fragen möglich.

3.8 Schritt 8: Prüfen und freigeben

  1. Klicken Sie auf Pflichtfelder prüfen. Das Fenster listet fehlende Pflichtangaben auf. Ist alles vollständig, erscheint Alle Pflichtfelder ausgefüllt. Darunter stehen ggf. Hinweise, z. B. Bereiche ohne Fragen, Fragen oder Folgefragen ohne Antwortoptionen und bei TOM-Fragebögen Fragen ohne Anforderungsbezug, jeweils mit dem Pfad im Strukturbaum.
  2. Prüfen Sie den Fragebogen mit Vorschau aus Sicht der ausfüllenden Person.
  3. Schalten Sie im Reiter Stammdaten Freigegeben zur Verwendung ein und klicken Sie auf Speichern. Alternativ markieren Sie die Vorlage in der Übersicht und wählen Massenaktionen → Freigeben.

Abbildung 9: Pflichtfelder prüfen mit Hinweisen auf Bereiche ohne Fragen

Abbildung 10: Vorschau im Ausfüllmodus

Die Vorlage steht nun beim Anlegen eines Audits zur Auswahl. In der Übersicht zeigt die Spalte Freigegeben „Ja“.

Wichtig: Eine Vorlage mit fehlenden Pflichtangaben lässt sich nicht freigeben. Die Meldung weist dann auf Pflichtfelder prüfen hin. Hinweise verhindern die Freigabe nicht.

4 TOM-Fragebögen

Für DSB und ISB, die die Angemessenheitsprüfung der technischen und organisatorischen Maßnahmen vorbereiten.

Ein TOM-Fragebogen enthält die Prüffragen der Angemessenheitsprüfung: Reichen die Maßnahmen eines oder mehrerer TOM-Kataloge gemessen am Risiko aus (Art. 32 Abs. 1 DS-GVO)? Aufbau und Bearbeitung entsprechen jedem anderen Fragebogen. Drei Dinge sind besonders.

4.1 Wo TOM-Fragebögen verwendet werden

VerwendungVoraussetzung
TOM-Audit über Audit → Audits → Neu mit Typ TOM-AuditDer TOM-Fragebogen ist freigegeben oder ist der Standard-Prüfkatalog (dieser steht immer zur Auswahl). Die Auswahl Fragebögen zeigt bei diesem Typ nur TOM-Fragebögen; zusätzlich wählen Sie die Geprüften TOM-Kataloge.
Standard-Prüfkatalog Angemessenheitsprüfung in der TOM-Konfiguration, Reiter EinstellungenZur Auswahl stehen alle TOM-Fragebögen des Mandanten. Mit diesem Fragebogen entsteht das TOM-Audit, wenn ein TOM-Katalog über Zur Prüfung einreichen eingereicht wird.

In Audits vom Typ Audit und Selbstauskunft sowie im Online-AV-Vertrag erscheinen TOM-Fragebögen nicht. Umgekehrt bietet ein TOM-Audit keine Audit-Fragebögen oder AV-Selbstauskünfte an.

Abbildung 11: Neues TOM-Audit: nur TOM-Fragebögen, darunter der Standard-Prüfkatalog

Abbildung 12: TOM-Konfiguration: Standard-Prüfkatalog Angemessenheitsprüfung

Hinweis: Ist ein Fragebogen in der TOM-Konfiguration ausdrücklich als Standard-Prüfkatalog gewählt und der Prüfworkflow eingeschaltet, lässt er sich nicht löschen oder archivieren. Wählen Sie zuerst einen anderen Prüfkatalog.

4.2 Prüffragen mit Anforderungsbezug

Jede Prüffrage eines TOM-Fragebogens sollte einen Anforderungsbezug haben (siehe Schritt 5: Anforderungsbezug setzen). Er verbindet die Frage mit den Maßnahmen: Hat eine Maßnahme der geprüften TOM-Kataloge im Anforderungs-Mapping dieselbe Anforderung, erscheint sie im TOM-Audit unter der Frage mit Umsetzung, Wirksamkeit und TOM-Katalogen. Maßnahmen ohne passende Prüffrage stehen dort im Reiter Maßnahmen ohne Prüffrage.

Tipp: Verwenden Sie für eigene TOM-Fragebögen dieselben Anforderungen, die Sie auch im Anforderungs-Mapping der Maßnahmen nutzen – z. B. „DS-GVO + BDSG (bewährt)“. Sonst bleibt der Block Maßnahmen zur Prüffrage leer.

4.3 Antwortoptionen und Bewertung

Für die Angemessenheitsprüfung sind vier Antwortoptionen üblich, jeweils mit der passenden Bewertung:

AntwortoptionBewertung
angemessenAngemessen (100)
teilweise angemessenTeilweise angemessen (50)
nicht angemessenNicht angemessen (0)
nicht anwendbarNicht anwendbar (0) – zählt nicht in die Bewertung

Aus den Bewertungen ergibt sich nach Abschluss des TOM-Audits das Gesamtergebnis am TOM-Katalog (Spalte Angemessenheit). Die Bewertungsstufen gelten für den ganzen Mandanten und stehen in der Auswahl Bewertung jeder Antwortoption.

4.4 Die Systemvorlage „TOM-Prüfung DS-GVO + BDSG“

Jeder Mandant erhält eine Kopie der Systemvorlage „TOM-Prüfung DS-GVO + BDSG“ (englisch „TOM review GDPR + BDSG“). Sie enthält 19 Prüffragen (M.1.01 bis M.4.04) in vier Bereichen – M.1 Vertraulichkeit, M.2 Integrität, M.3 Verfügbarkeit und Belastbarkeit und M.4 Regelmäßige Überprüfung, Bewertung und Evaluierung – mit Hilfetexten, Rechtsgrundlage, den vier Antwortoptionen und dem Anforderungsbezug auf „DS-GVO + BDSG (bewährt)“. Solange in der TOM-Konfiguration kein anderer Standard-Prüfkatalog gewählt ist, prüft der audatis MANAGER eingereichte TOM-Kataloge mit dieser Vorlage.

Abbildung 13: Systemvorlage „TOM-Prüfung DS-GVO + BDSG“ im Strukturbaum

So passen Sie die Prüfung an, ohne die mitgelieferte Vorlage zu verändern:

  1. Klicken Sie in der Übersicht auf Neu aus Bibliothek.
  2. Wählen Sie unter Quelle System (oder Alle) und in der Liste TOM-Prüfung DS-GVO + BDSG (System).
  3. Klicken Sie auf Übernehmen. Es entsteht eine neue Vorlage mit allen Bereichen, Fragen, Antwortoptionen und verknüpften Aktionen.
  4. Passen Sie die Kopie an, prüfen Sie sie mit Pflichtfelder prüfen und geben Sie sie frei.
  5. Wählen Sie die Kopie in der TOM-Konfiguration unter Standard-Prüfkatalog Angemessenheitsprüfung, wenn eingereichte Kataloge künftig damit geprüft werden sollen.

Abbildung 14: Neu aus Bibliothek: Systemvorlagen

5 Vorlagen pflegen

Für Vorlagen-Verantwortliche und Datenschutzbeauftragte.

5.1 Massenaktionen

Markieren Sie in der Übersicht eine oder mehrere Vorlagen und öffnen Sie Massenaktionen:

MassenaktionWirkung
FreigebenGibt die Vorlagen für neue Audits frei. Vorlagen mit fehlenden Pflichtangaben werden nicht freigegeben.
Freigabe entziehenBlendet die Vorlagen aus der Audit-Auswahl aus. Laufende Audits sind nicht betroffen.
Auf Mandanten kopierenLegt je Vorlage eine vollständige Kopie in den gewählten Mandanten an – mit Bereichen, Fragen, Optionen, Folgefragen, Anforderungsbezügen und Aktions-Verknüpfungen. Aktionen, die es im Ziel-Mandanten nicht gibt, werden übersprungen.
ArchivierenVerschiebt die Vorlagen in den Reiter Archiv. Im Archiv steht Wiederherstellen zur Verfügung.

Abbildung 15: Massenaktionen in der Übersicht

Über Schlagwörter in der Werkzeugleiste ordnen Sie den markierten Vorlagen Schlagwörter zu oder entfernen sie. Löschen entfernt die markierten Vorlagen nach einer Rückfrage.

5.2 Eine freigegebene Vorlage ändern

Änderungen an einer Vorlage gelten nur für Audits, die danach angelegt werden. Bereits angelegte Audits behalten ihren Stand.

  1. Öffnen Sie die Vorlage mit Bearbeiten.
  2. Nehmen Sie die Änderungen vor und prüfen Sie mit Pflichtfelder prüfen.
  3. Wenn bis zum Abschluss der Überarbeitung niemand die Vorlage für ein neues Audit nutzen soll, entziehen Sie vorher die Freigabe.

Achtung: Bereiche, Fragen, Optionen und Folgefragen werden beim Löschen im Strukturbaum endgültig gelöscht. Es gibt dafür keinen Papierkorb.

5.3 Bausteine wiederverwenden

  • Neu aus Bibliothek in der Übersicht legt eine ganze Vorlage als Kopie eines Fragebogens aus der Bibliothek an. Unter Quelle wählen Sie Alle, System (mitgelieferte Vorlagen) oder Eigene.
  • Aus Bibliothek beim Hinzufügen eines Bereichs, einer Frage oder einer Aktion übernimmt einen fertigen Baustein. Mehrere Einträge lassen sich auf einmal markieren und übernehmen.
  • In Bibliothek übernehmen im Bearbeitungsbereich eines Bereichs oder einer Frage legt eine Kopie in der Bibliothek ab, damit Sie sie in anderen Vorlagen verwenden können.

Abbildung 16: Bereich aus der Bibliothek übernehmen

5.4 Erweiterte Optionen

Mit Erweiterte Optionen anzeigen in den Stammdaten blenden Sie Felder für Audits mit Reifegrad- oder Risikobewertung ein:

FeldWirkung
Optional nicht anwendbarAuditoren dürfen den ganzen Fragebogen im Audit als nicht anwendbar markieren. Er wird dann nicht ausgewertet.
Maßnahmen risikobasiert aufteilenJe Bereich lassen sich drei Maßnahmenempfehlungen hinterlegen (geringes, normales, hohes Risiko). Im Audit wird die passende Empfehlung zur Risikoeinstufung vorgeschlagen.
Zielwert Fragebogen (Reifegrad)Soll-Reifegrad je Risikostufe (Geringes Risiko, Normales Risiko, Hohes Risiko); wird im Auditbericht als Soll-Wert verwendet.

Im Bereich erscheinen dann zusätzlich Max. Reifegradpunkte sowie die Risikobasierten Empfehlungen mit Allgemeine Anforderung zu Maßnahmen und Priorität Maßnahmenempfehlung je Risikostufe. An den Antwortoptionen erscheint das Feld Nutzen / Ziele.

5.5 Export

Exportieren öffnet den Export-Assistenten in drei Schritten: Umfang (Alle, Auswahl oder Gefiltert), Exportform (Datenliste) und Format (CSV, JSON oder XML). Die Datenliste enthält die Vorlagen einschließlich der Fragen, Antwortoptionen und Folgefragen. Im Bearbeitungsmodus exportiert Exportieren die geöffnete Vorlage.

5.6 Hilfe in der Anwendung

Das Fragezeichen oben rechts öffnet die Hilfe zur aktuellen Ansicht mit Erste Schritte, So funktioniert's, Tipps für Fortgeschrittene – darunter Hinweise zu TOM-Fragebögen und zum Anforderungsbezug – und Verwandte Seiten.

Abbildung 17: Hilfe im Bearbeitungsmodus mit Tipps für Fortgeschrittene

6 Konfiguration

Zugriff: Erreichbar über Fragebögen konfigurieren oben rechts in der Übersicht. Bearbeiten dürfen die Konfiguration Personen mit dem Sonderrecht in der Fragebogenverwaltung. Die Einstellungen gelten für den ganzen Mandanten.

Die Konfiguration hat den Reiter Schlagwörter. Den Standard-Prüfkatalog für die Angemessenheitsprüfung legen Sie nicht hier fest, sondern in der TOM-Konfiguration (siehe TOM-Fragebögen).

6.1 Schlagwörter

Schlagwörter gruppieren Vorlagen, z. B. „DS-GVO“, „ISO 27001“ oder „Dienstleister“, und dienen als Filter in der Übersicht. Die Liste zeigt Bezeichnung, Status und Erstellt.

  1. Öffnen Sie Fragebögen konfigurieren, Reiter Schlagwörter.
  2. Legen Sie mit Neu ein Schlagwort an oder öffnen Sie ein vorhandenes über das Stift-Symbol, um es umzubenennen.
  3. Nicht mehr benötigte Schlagwörter archivieren Sie über Massenaktionen; an bestehenden Vorlagen bleiben sie sichtbar.

Abbildung 18: Fragebögen konfigurieren: Schlagwörter

Tipp: Archivieren statt löschen: Ein gelöschtes Schlagwort wird von allen Vorlagen entfernt.

7 Glossar

BegriffErklärung
AnforderungsbezugZuordnung einer Frage zu Anforderungen eines Anforderungskatalogs; im TOM-Audit Grundlage für die Maßnahmen zur Prüffrage.
AngemessenheitsprüfungTOM-Audit, das prüft, ob die Maßnahmen eines oder mehrerer TOM-Kataloge gemessen am Risiko ausreichen.
AuditmaßnahmeMaßnahmenempfehlung, die einer Antwortoption hinterlegt ist.
AV-SelbstauskunftFragebogen, den ein Auftragsverarbeiter selbst ausfüllt, meist über einen externen Link.
BereichKapitel einer Vorlage; im Audit ein eigener Reiter.
BewertungBewertungsstufe einer Antwortoption mit Punktwert, z. B. Angemessen (100).
ErgebnistextBeschreibung des Ist-Zustands zu einer Antwort; erscheint im Auditbericht.
FolgefrageFrage, die nur nach einer bestimmten Antwort erscheint.
FrameworkAnforderungskatalog im Modul TOM, z. B. „DS-GVO + BDSG (bewährt)“, mit Kürzel wie DSGVO_BDSG.
FreigabeSchaltet eine Vorlage für neue Audits frei.
ReifegradPunktwert, der aus den Bewertungen der gewählten Antworten berechnet wird.
Standard-PrüfkatalogTOM-Fragebogen, mit dem eingereichte TOM-Kataloge geprüft werden; festgelegt in der TOM-Konfiguration.
StrukturbaumGliederung der Vorlage aus Bereichen, Fragen, Optionen und Folgefragen im Reiter Bereiche + Fragen.
SystemvorlageMitgelieferter Fragebogen in der Bibliothek, gekennzeichnet mit „(System)“, z. B. „TOM-Prüfung DS-GVO + BDSG“.
TOM-AuditAudit-Typ für die Angemessenheitsprüfung; verwendet ausschließlich TOM-Fragebögen.
TOM-FragebogenArt des Fragebogens für die Angemessenheitsprüfung der technischen und organisatorischen Maßnahmen.

8 Häufige Fragen

Mein Fragebogen erscheint beim Anlegen eines Audits nicht. Warum? Entweder ist er nicht freigegeben, oder Art und Audit-Typ passen nicht zusammen: TOM-Fragebögen erscheinen nur beim Typ TOM-Audit, Audit-Fragebögen und AV-Selbstauskünfte nur bei Audit und Selbstauskunft. Geben Sie den Fragebogen über Freigegeben zur Verwendung oder Massenaktionen → Freigeben frei.

Ändert sich ein laufendes Audit, wenn ich die Vorlage anpasse? Nein. Jedes Audit arbeitet mit der Kopie, die beim Anlegen entstanden ist.

Warum kann ich die Art des Fragebogens nicht mehr ändern? Weil die Vorlage bereits in Audits oder Selbstauskünften verwendet wird. Legen Sie bei Bedarf eine neue Vorlage an oder kopieren Sie eine vorhandene über Neu aus Bibliothek.

Muss der Standard-Prüfkatalog freigegeben sein? Nein. Beim Einreichen eines TOM-Katalogs gilt der Fragebogen, der in der TOM-Konfiguration gewählt ist. Auch über Audit → Audits → Neu steht der Standard-Prüfkatalog beim Typ TOM-Audit immer zur Auswahl; andere TOM-Fragebögen nur, wenn sie freigegeben sind.

Im TOM-Audit stehen unter einer Prüffrage keine Maßnahmen. Woran liegt das? Die Frage hat keinen Anforderungsbezug, oder keine Maßnahme der geprüften Kataloge trägt im Anforderungs-Mapping dieselbe Anforderung. Prüfen Sie beides – den Anforderungsbezug im Fragebogen, das Mapping im Modul TOM.

Kann ich die Systemvorlage „TOM-Prüfung DS-GVO + BDSG“ anpassen? Ja. Empfehlenswert ist eine Kopie über Neu aus Bibliothek, die Sie anpassen, freigeben und in der TOM-Konfiguration als Standard-Prüfkatalog wählen. Die mitgelieferte Vorlage bleibt so als Referenz erhalten.

Wie übernehme ich einen Fragebogen in einen anderen Mandanten? Markieren Sie ihn in der Übersicht und wählen Sie Massenaktionen → Auf Mandanten kopieren. Zur Auswahl stehen Mandanten, in denen Sie Schreibrechte für Fragebögen haben. Anforderungsbezüge werden mitkopiert.

Kann ich eine gelöschte Frage wiederherstellen? Nein. Bereiche, Fragen und Optionen werden im Strukturbaum endgültig gelöscht. Prüfen Sie vor dem Löschen, ob Sie die Vorlage stattdessen kopieren oder archivieren.

 

Last updated: 18.10.26, 16:25