ToJo NavigatorToJo NavigatorModul: KI Governance
🔍 Demo mit Beispieldaten · alle Felder sind gesperrt – klicken Sie auf „Auswertung", um den fertigen Decision Record zu sehen.

Decision Record bearbeiten — ToJo Navigator · Modul: KI Governance

Sie durchlaufen ein strukturiertes, wissenschaftlich fundiertes Verfahren (Grundlage: promotionsgeprüfte Dissertation, Joswig 2026). Jede Eingabe dient der späteren Nachvollziehbarkeit. Am Ende steht ein auditfähiger Decision Record mit Management-Summary — keine bloße Hosting-Empfehlung.

📂 Decision Record geladen. Die Felder unten sind mit den gespeicherten Angaben vorbelegt — prüfen, ggf. anpassen und unten „Auswerten" für einen aktualisierten Bericht. Ihr bisheriger Bearbeitungsstand (Häkchen, Kennzahlen, Freigabe) wird in den neuen Bericht übernommen.
Geladener Stand: Vollprüfung (IT/DSB/CSO). Prüfen Sie, ob Sie den aktuellen Stand bearbeiten (Datum oben).
🔒 Beim Ausfüllen bleiben Ihre Eingaben lokal in Ihrem Browser — keine Cloud-Ablage. Beim Auswerten werden die Angaben an den Server gesendet, um den Bericht zu erstellen, dort aber nicht gespeichert (zustandsloser Server, kein Konto, keine Datenbank). Automatisch gesichert — aber nur auf diesem Rechner/Browser. Für dauerhaft oder zur Weitergabe: als Datei speichern.
Wer füllt aus? — Bearbeitungs-Sicht wählen ⓘZwei Rollen, ein Dokument. In der Übersicht beantwortet die Geschäftsführung Rahmen, Datenprofil und Richtung; die technische Fachprüfung (Governance-Checks, Security-Kontrollpunkte, Anbieterprüfung) ist ausgeblendet und wird an IT/DSB delegiert. Der Bericht bleibt dann bewusst „vorläufig". In der Vollprüfung ergänzen IT/DSB/CSO die Details — erst dann kann der Record freigabefähig werden. Ablauf: Übersicht ausfüllen → speichern → Datei an IT geben → dort Vollprüfung öffnen.
Die Fach-Blöcke (Governance-Checks ②, Anbieter-Detail & Security-Kontrollpunkte) sind ausgeblendet. Ihre Angaben zu den groben Compliance-Toren bleiben erhalten. Speichern → an IT/DSB übergeben → dort „Vollprüfung" öffnen.
Keine eigene IT/DSB-Abteilung (kleine Firma)? Die Vollprüfung kann auch ein externer Datenschutz-Dienstleister, IT-Partner oder Fachanwalt übernehmen — Sie füllen die Übersicht aus und geben die Datei dorthin.
Alle Blöcke sichtbar. Bitte die Security-Kontrollpunkte, die Anbieterprüfung und die Governance-Checks mit Nachweis ausfüllen — dann kann der Report freigabefähig werden.

Unternehmen & Anwendungsfall ⓘStammdaten und Anwendungsfall. Die Branche steuert die Startwerte in Schritt 3; die übrigen Felder (inkl. Größe) sind überwiegend Dokumentation und beeinflussen das Ranking nicht. (mehr im User Guide, Anhang A)

Mit * markierte Felder sind Pflichtangaben für die Freigabe. Fehlt eine davon (oder steht dort ein Platzhalter wie „test"), wird der Bericht nur als „Vorläufige Empfehlung" ausgewiesen — nicht als „freigabefähig mit Auflagen".

sieht nach Platzhalter aus
Beschreiben Sie die KI-Anwendung in 2–3 Sätzen. *
Typ der KI-Anwendung
Welche Datenkategorien werden verarbeitet?
Daten & Compliance — bitte ausfüllen (steuert die Auflagen) ⓘDiese Felder steuern die Auflagen: Personenbezug erzeugt Dokumentations- und DSFA-Auflagen, Kundendaten oder Geschäftsgeheimnisse eine Vertraulichkeits-Auflage. Besondere Kategorien (Art. 9) ohne eingebundene/n Datenschutzbeauftragte/n stellen die Entscheidung zurück. (mehr im User Guide, Anhang A · B)

Achtung bei „nicht erforderlich": § 203 Abs. 3 StGB erfasst bereits das Zugänglichmachen, nicht erst die tatsächliche Kenntnisnahme. Bei einem Anbieter, der das System betreibt, können Administratoren technisch zugreifen — das genügt. Die bloße Zusage des Anbieters, nicht hineinzusehen, trägt diese Antwort nicht.

Die Schweigepflicht nach § 203 StGB ist eine eigene Rechtsebene neben der DSGVO. Wenn Sie ihr unterliegen und externe IT einsetzen, prüft der Navigator zusätzlich, ob die gesonderte Verpflichtung Ihrer Dienstleister vorliegt.

Wichtig: Besondere Kategorien (Art. 9, z. B. Gesundheitsdaten) ohne eingebundene/n Datenschutzbeauftragte/n stellen die Entscheidung zurück (nicht kompensierbar). Personenbezug, Kundendaten und Geschäftsgeheimnisse erzeugen Auflagen im Bericht.
Welche Hosting-Optionen sollen geprüft werden? (I4)
Nur die hier gewählten Optionen werden in Schritt 3 bewertet.
In welche EU-AI-Act-Risikoklasse fällt die KI-Anwendung?
Der EU AI Act stuft KI nach Risiko ein und knüpft daran Pflichten. Verboten = unzulässige Praktiken (z. B. Social Scoring) → der Navigator stoppt. Hochrisiko = sensible Bereiche wie Kreditvergabe, Personalauswahl, Medizin, kritische Infrastruktur → strenge Auflagen (außerhalb des KMU-Standardrahmens, Sie bekommen einen Warnhinweis). Begrenztes Risiko = z. B. Chatbots → nur Transparenzpflicht (Nutzer müssen wissen, dass es KI ist). Minimal = übliche Büro-/Assistenz-Tools (z. B. Texthilfe, Angebots-Assistent) → keine besonderen Pflichten. Unsicher? Dann diese Option wählen — der Navigator behandelt es vorsichtig. Im Zweifel für einen typischen Mittelstands-Assistenten: meist „Minimal" oder „Begrenztes Risiko".
Unsicher? Geführte Einstufung (EU AI Act) — Schritt für Schritt

Prüfen Sie von oben nach unten — die erste zutreffende Stufe gilt:

1. Verboten (Art. 5)? Trifft eines zu? Sozialbewertung von Personen (Social Scoring) — durch Behörden oder Unternehmen · unterschwellige Manipulation oder Ausnutzung Schutzbedürftiger · biometrische Echtzeit-Fernidentifikation im öffentlichen Raum · Emotionserkennung am Arbeitsplatz oder in Schulen · ungezieltes Sammeln von Gesichtsbildern. → Ja: „Verboten" (unzulässig, der Navigator stoppt).

2. Hochrisiko (Annex III)? Wird die KI eingesetzt für: Personalentscheidungen (Bewerberauswahl, Beförderung, Kündigung) · Kreditwürdigkeit/Bonität · Zugang zu Bildung oder Prüfungsbewertung · kritische Infrastruktur (Strom, Wasser, Verkehr) · Strafverfolgung/Justiz · Migration/Grenzkontrolle · biometrische Identifikation · wesentliche Dienstleistungen (z. B. Sozialleistungen, Notruf)? → Ja: „Hochrisiko" (strenge Auflagen, Fachprüfung nötig).

3. Begrenztes Risiko? Interagiert die KI direkt mit Menschen (Chatbot, Assistent) oder erzeugt sie Inhalte (Texte, Bilder)? → Ja: „Begrenztes Risiko" (Transparenzpflicht — Nutzer müssen erkennen, dass es KI ist).

4. Sonst: „Minimal" — übliche Büro-/Assistenztools ohne die oben genannten Merkmale.

Orientierungshilfe nach EU AI Act (Art. 5 / Annex III), keine Rechtsberatung. Im Zweifel den höheren Rang wählen und fachlich prüfen lassen.

Anbieter- & Security-Prüfung (für die externen Optionen, die Sie prüfen) ⓘDiese Fragen betreffen nur extern gehostete Optionen (Public Cloud / AIaaS), bei denen Daten Ihr Haus verlassen. Sie sind keine Vorentscheidung: Sie bereiten damit den Fall vor, dass am Ende eine externe Option empfohlen wird. Angaben steuern Auflagen — ein klares „Nein" (kein AVV, Region nicht zugesichert, Training nicht ausgeschlossen) wird zum Stopper. „Unklar" gilt als Auflage. (mehr im User Guide, §13)

Sie müssen Ihre Hosting-Entscheidung hier noch nicht kennen. Füllen Sie aus, was Sie für die extern gehosteten Optionen (Public Cloud / AIaaS) schon wissen — der Rest darf offen bleiben. Diese Angaben wirken sich nur dann aus, wenn am Ende eine externe Option empfohlen wird; bei On-Prem bleiben sie folgenlos. Sie können sie auch nach der Auswertung ergänzen und erneut auswerten — offene Punkte erscheinen dann als Auflagen.

Wer füllt das aus? Dieser Abschnitt (Anbieter, AVV, Datenresidenz, die Security-Kontrollpunkte) ist Fachterrain für Ihre IT und Ihre/n Datenschutzbeauftragte/n. Als Geschäftsführung oder Sachbearbeitung dürfen Sie ihn überspringen — wählen Sie oben die Sicht „Übersicht", dann bleibt er ausgeblendet; IT/DSB ergänzen ihn später in der „Vollprüfung".

Fachprüfung (IT/DSB): die Detailfelder unten sind in der Übersicht ausgeblendet. Die groben Tore (AVV, Datenresidenz, Training-Ausschluss, Security-Gesamt) bleiben auch in der Übersicht sichtbar.

Security-Baseline — Kontrollpunkte einzeln (empfohlen) Fachprüfung

Bewerten Sie jeden Kontrollpunkt einzeln. Kritische Punkte (★), die mit „nicht erfüllt" beantwortet werden, machen die Lösung nicht freigabefähig. Leere Punkte gelten als „offen" (Go-live-Auflage). Der Nachweis ist je Punkt separat abzulegen.

Klares „Nein" blockiert die Freigabe: bei externem Hosting personenbezogener Daten ohne AVV, bei geforderter DE-/EU-Residenz ohne Zusicherung oder wenn Training mit Ihren Daten nicht ausgeschlossen ist. „Unklar"/„In Prüfung" und „Teilweise/Offen" werden als Auflage vor Go-live ausgewiesen. Die Security-Baseline umfasst u. a. MFA, Rollen-/Rechtekonzept, API-Key-Speicherung & -Rotation, Verschlüsselung (Transit/Ruhe), Logging, Incident-Kontakt und Notfall-/Fallback — Details als Checkliste im Bericht.

① Rahmenbedingungen — Ist es machbar? ⓘSieben Grundvoraussetzungen (Daten, Verantwortung, Prozesse, Regulatorik, Sektor, Vertrauen, Kapazität). Ein einziges Nicht erfüllt stellt die ganze Entscheidung zurück, bis es geklärt ist. Bedingt ist nur ein Hinweis. (mehr im User Guide, Anhang A · F)

Warum dieser Schritt? Bevor Optionen verglichen werden, sichern wir die sieben Grundvoraussetzungen (Daten, Verantwortung, Prozesse, Regulatorik, Sektor, Vertrauen, Kapazität) — ohne sie ist jede Empfehlung wertlos. Im Decision Record belegt dieser Schritt, dass die Entscheidung auf einer tragfähigen Grundlage steht; ein einziges „Nicht erfüllt" hält die Freigabe an, bis es geklärt ist. Methodik: 7 Feasibility-Prüfungen (TOE + Psychosocial).
Technology — Datenresidenz (Routing)
Müssen die verarbeiteten Daten zwingend in der EU bzw. Deutschland bleiben?
Bestimmt, ob Anbieter außerhalb der EU aussortiert oder nur mit Warnhinweis zugelassen werden.
Technology — Datenverfügbarkeit
Stehen die für die KI benötigten Daten in nutzbarer Qualität und Form bereit (Volumen, Struktur, Lizenz, Rechte)?
Ohne nutzbare Daten kann die KI nicht arbeiten — eine Grundvoraussetzung.
Organisation — Verantwortlicher
Ist eine namentlich verantwortliche Person für die KI-Anwendung benannt oder benennbar (interner Verantwortlicher)?
Ohne benannte Verantwortung bleibt Governance folgenlos.
Organisation — Prozesse
Existieren dokumentierte Geschäftsprozesse rund um den geplanten KI-Einsatz, in die sich die KI integrieren lässt?
Eine KI verstärkt bestehende Abläufe; ohne geregelte Abläufe hat sie nichts, woran sie ansetzen kann.
Environment — Regulatorik
Sind die einschlägigen Regulierungen identifiziert (DSGVO, AI Act, NIS2)?
Unbekannte Vorschriften = unkalkulierbares rechtliches Risiko.
Environment — Sektor
Gibt es sektorspezifische Vorgaben (BaFin / MaRisk, MDR, KRITIS o. ä.), die für diese KI gelten?
Sektorrecht kann eine Hosting-Option faktisch ausschließen.
Psychosocial — Vertrauen
Welches Vertrauen haben Geschäftsleitung und betroffene Fachbereiche in KI-Entscheidungen bei diesem Anwendungsfall?
Geringe Akzeptanz lässt technisch machbare Projekte scheitern.
Psychosocial — Change-Kapazität
Kann Ihre Organisation den Roll-out begleitend stemmen (Kapazität, Aufmerksamkeit, parallele Initiativen)?
Roll-out braucht freie Kapazität neben dem Tagesgeschäft.

② Governance — Verantwortbar & nachweisbar? Fachprüfung ⓘVier Betriebsroutinen mit je vier Checks. Ein einziges Nein hält die Entscheidung an und markiert die Routine. Das Verantwortlichkeits-Feld bei Routine 1 leer zu lassen zählt wie Nein. (mehr im User Guide, Anhang A · G)

Warum dieser Schritt? Eine KI-Entscheidung ist nur belastbar, wenn Verantwortung, Nachweise und Betriebsroutinen geklärt sind. Pro Routine werden die Kernfelder des Dissertations-Templates abgefragt (Auslöser, Aktivitäten, Nachweis, Frequenz). Im Decision Record werden diese Angaben zu nachvollziehbaren Auflagen und Betriebs-Routinen — die Basis für Audit und Freigabe. Ein einziges „Nein" hält die Entscheidung an und markiert die Routine als „Aktion erforderlich". Methodik: 4 Governance-Routinen (COBIT) mit je 4 Readiness-Checks aus dem SOP-Template.
SOP 1 — Algorithmic Risk Assessment (APO13)

Kein KI-Go-live ohne dokumentierte Bias-, Robustheits- und Adversarial-Prüfung. Template-Felder: Entry Condition · Activities · Evidence · RACI.

Ist ein klarer Auslöser definiert — jedes Deployment bzw. Major Update löst die Risikobewertung aus?
Werden vor Produktivnahme Bias-, Robustheits- und Adversarial-Tests durchgeführt?
Werden Schwachstellen dokumentiert und Mitigationsmaßnahmen festgelegt (Risk-Register, Mitigationsplan)?
Liegt prüffähige Evidenz vor (Risk-Report, Bias-Audit-Logs, unterschriebene Freigabe)?
Wer ist verantwortlich (Accountable, RACI)? — Rolle + Name
⚠ Kein/e Verantwortliche/r benannt — diese Routine zählt damit nur als „teilweise erfüllt". Für eine belastbare Freigabe Rolle + Name eintragen.
Leeres Feld zählt als „Teilweise" — ohne benannte verantwortliche Person bleibt die Bewertung folgenlos.
SOP 2 — Fairness & Transparency Monitoring (MEA03)

Laufende Überwachung statt Einmal-Check — mit vorzeigbarem Nachweis. Template-Felder: Activities · Frequency · Evidence.

Werden Fairness- und Transparenzkennzahlen laufend überwacht (Drift, Bias, Erklärbarkeit via SHAP/LIME)?
Ist eine feste Frequenz definiert (z. B. quartalsweise) plus Ad-hoc-Review nach Vorfällen?
Werden Ergebnisse über Nutzergruppen verglichen und Anomalien dokumentiert/eskaliert?
Liegt ein Evidence-Item vor (Compliance-Dashboard, Transparenz-Log, Fairness-Report-Archiv)?
SOP 3 — Data & Model Change Control (BAI06/07)

Kontrollierte, auditierbare Daten-/Modelländerungen — verhindert Regressionen und Bias-Drift. Template-Felder: Activities · Outputs · Evidence.

Existiert ein Change-Control-Prozess (Versionierung, Validierung, Rollback) für Daten- und Modelländerungen?
Wer gibt eine neue Modellversion produktiv frei (Change Advisory Board / benannte Rolle)?
Werden Änderungen gestaffelt ausgerollt (Shadow/Canary) mit Drift- und Offline-Validierung?
Liegen versionierte Artefakte plus CI/CD- und Test-Logs als Nachweis vor?
SOP 4 — Incident Management & Rollback (DSS02)

Detect – Contain – Rollback: schneller, geübter Rückfall auf das letzte funktionierende Modell. Template-Felder: Entry · Activities · Outputs.

Gibt es einen dokumentierten Incident-Pfad mit Severity-Klassifizierung (SEV-1 … SEV-4)?
Ist ein Rollback auf das letzte funktionierende Modell vorhanden und getestet?
Ist die Eskalation bei Compliance-/Kundenimpact definiert (Geschäftsleitung, DSB, Aufsicht)?
Erfolgt ein Post-Incident-Review mit CAPA-Maßnahmen (Corrective/Preventive Actions)?

③ Entscheidungsbewertung — Welche Option ist die richtige? ⓘJede grundsätzlich zulässige Option wird in acht Kriterien mit 1 bis 5 bewertet; die Bewertungen werden mit den hinterlegten Forschungsgewichten (Befragung von 93 Fachleuten) gewichtet und aufsummiert. Methodischer Hinweis: Das Verfahren beruht auf dem Analytic-Hierarchy-Process (AHP). (mehr im User Guide, Anhang A · H)

Warum dieser Schritt? Erst jetzt — wenn Rahmenbedingungen und Governance bestanden sind — vergleichen wir die zulässigen Optionen entlang acht gewichteter Kriterien. Im Decision Record entsteht daraus eine begründete, gewichtete Empfehlung mit Belastbarkeits-Einschätzung (wie eindeutig der Vorsprung ist) — der Kern der Entscheidungsdokumentation. Methodik: Analytic-Hierarchy-Process (AHP), Forschungsgewichte aus einer Befragung von 93 Fachleuten.

In Schritt 3 vergleicht der Navigator die grundsätzlich zulässigen Hosting-Optionen. Bewertet werden technische Passung, Organisation, Wirtschaftlichkeit, Compliance & Sicherheit, Kundenwirkung, Zukunftsoffenheit, Personalbedarf und verbleibendes Restrisiko. Die Felder sind mit branchentypischen Startwerten vorbelegt. Die Gewichtung basiert auf dem zugrunde liegenden Forschungsmodell und kann optional angepasst werden. Der Bericht weist aus, ob Standardwerte oder kundenspezifische Anpassungen verwendet wurden.

Sie können die Startwerte übernehmen oder nur die Werte ändern, bei denen Ihre Situation abweicht.

Die Felder sind mit branchentypischen Startwerten vorbelegt (passen sich automatisch der oben gewählten Branche an). Sie müssen nichts von Grund auf wissen — prüfen Sie die Vorschläge und ändern Sie nur, was bei Ihnen anders ist. Im moderierten Workshop schärfen wir das gemeinsam.

Bewertungs-Modus wählen
Im Einfach-Modus bewerten Sie die fünf wichtigsten Kriterien (inkl. Restrisiko); die übrigen fließen mit dem branchentypischen Startwert ein — die Methode bleibt vollständig, es zählen immer alle acht Kriterien.
Im Standard-Modus werden ausschließlich die Forschungs-Standardgewichte (Befragung von 93 Fachleuten) und branchentypische Startwerte verwendet — Sie tragen nichts ein. Alle acht Kriterien fließen mit diesen Startwerten ein. Die Empfehlung ist dann vorläufig (im Workshop zu bestätigen) und wird im Bericht so gekennzeichnet.
Im Experte-Modus sehen und bewerten Sie alle acht Kriterien und können zusätzlich die Gewichtung anpassen.
Verwendete Kriterien & Branchen-Startwerte ansehen (im Standard-Modus schreibgeschützt)
Technische Passung · Gewicht 30,6 %
Wie gut passt die Option technisch zu Ihrer bestehenden IT-Landschaft, Ihren Schnittstellen, Betriebsprozessen und Skalierungsanforderungen?
Bewertungsskala:
1 = hoher Integrationsaufwand, unsichere technische Passung
2 = größere technische Hürden, Integration nur mit erheblichem Aufwand
3 = grundsätzlich machbar, einzelne Schnittstellen- oder Betriebsfragen offen
4 = gut integrierbar, nur kleinere Anpassungen nötig
5 = gut integrierbar, skalierbar und mit etabliertem Betriebsmodell
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert aus Forschungsmodell (n=93) für Ihre Branche bereits eingetragen — Quelle: SMC-Dissertation Joswig 2026. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud
Private Cloud
On-Prem
Hybrid
AIaaS
Organisatorische Passung · Gewicht 21,4 %
Wie gut passt die Option zu Ihren vorhandenen Rollen, Verantwortlichkeiten, Prozessen und Ihrer Governance-Reife?
Bewertungsskala:
1 = überfordert Organisation, Rollen oder Prozesse
2 = erfordert deutliche organisatorische Anpassungen
3 = teils passend, einzelne Rollen oder Prozesse müssen ergänzt werden
4 = passt überwiegend zu bestehenden Strukturen
5 = passt gut zu bestehenden Verantwortlichkeiten und Abläufen
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert aus Forschungsmodell (n=93) für Ihre Branche bereits eingetragen — Quelle: SMC-Dissertation Joswig 2026. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud
Private Cloud
On-Prem
Hybrid
AIaaS
Wirtschaftlichkeit · Gewicht 16,8 %
Wie wirtschaftlich erscheint die Option im Vergleich zu den Alternativen, unter Berücksichtigung von laufenden Kosten, Einmalaufwänden, internen Aufwänden und Planbarkeit?
Bewertungsskala:
1 = teuer, schwer planbar oder mit hohen versteckten Kosten verbunden
2 = eher teuer oder mit deutlichen Planungsunsicherheiten
3 = wirtschaftlich vertretbar, einzelne Kostenpunkte unklar
4 = überwiegend attraktiv und gut kalkulierbar
5 = wirtschaftlich attraktiv und gut kalkulierbar
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert aus Forschungsmodell (n=93) für Ihre Branche bereits eingetragen — Quelle: SMC-Dissertation Joswig 2026. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud
Private Cloud
On-Prem
Hybrid
AIaaS
Compliance & Sicherheit · Gewicht 11,0 %
Wie gut erfüllt die Option Anforderungen an Datenschutz, Informationssicherheit, Nachweisbarkeit, Zugriffskontrolle und Auditierbarkeit?
Bewertungsskala:
1 = wesentliche Nachweise oder Sicherheitsanforderungen fehlen
2 = deutliche Lücken bei Nachweisen oder Sicherheit
3 = Grundanforderungen erfüllt, einzelne Nachweise noch offen
4 = überwiegend nachweisbar und auditierbar erfüllt
5 = Anforderungen sind gut nachweisbar und auditierbar erfüllt
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert aus Forschungsmodell (n=93) für Ihre Branche bereits eingetragen — Quelle: SMC-Dissertation Joswig 2026. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud
Private Cloud
On-Prem
Hybrid
AIaaS
Kundenwirkung & Marktvertrauen · Gewicht 7,4 %
Wie wirkt die Option auf Kunden, Partner und externe Stakeholder, zum Beispiel hinsichtlich Datenstandort, Vertrauen und Erklärbarkeit?
Bewertungsskala:
1 = erklärungsbedürftig oder vertrauensmindernd
2 = nach außen eher nachteilig
3 = neutral gegenüber Kunden und Partnern
4 = überwiegend vertrauensfördernd
5 = stärkt Vertrauen und ist gut gegenüber Kunden erklärbar
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert aus Forschungsmodell (n=93) für Ihre Branche bereits eingetragen — Quelle: SMC-Dissertation Joswig 2026. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud
Private Cloud
On-Prem
Hybrid
AIaaS
Zukunftsoffenheit · Gewicht 5,9 %
Wie gut hält die Option zukünftige Wechsel, neue Modelle, Erweiterungen und Anbieterwechsel offen?
Bewertungsskala:
1 = starke Anbieterbindung oder technologische Sackgasse
2 = eingeschränkt flexibel, spätere Wechsel schwierig
3 = teils offen, einzelne Abhängigkeiten bleiben
4 = überwiegend flexibel und erweiterbar
5 = flexibel, erweiterbar und zukunftsoffen
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert aus Forschungsmodell (n=93) für Ihre Branche bereits eingetragen — Quelle: SMC-Dissertation Joswig 2026. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud
Private Cloud
On-Prem
Hybrid
AIaaS
Personal & Skills · Gewicht 3,9 %
Wie gut kann die Option mit Ihrem vorhandenen Personal, Know-how und Betriebsmodell umgesetzt und betrieben werden?
Bewertungsskala:
1 = erheblicher Kompetenzaufbau erforderlich
2 = spürbarer Aufbau von Know-how nötig
3 = mit Schulung oder teilweiser Unterstützung machbar
4 = überwiegend mit vorhandenem Personal machbar
5 = mit vorhandenen Fähigkeiten gut beherrschbar
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert aus Forschungsmodell (n=93) für Ihre Branche bereits eingetragen — Quelle: SMC-Dissertation Joswig 2026. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud
Private Cloud
On-Prem
Hybrid
AIaaS
Restrisiko · Gewicht 3,0 %
Wie gering ist das verbleibende Risiko nach technischen, organisatorischen, rechtlichen und betrieblichen Maßnahmen?
Bewertungsskala:
1 = hohes verbleibendes Risiko
2 = erhöhtes Restrisiko
3 = mittleres, handhabbares Restrisiko
4 = überwiegend geringes Restrisiko
5 = geringes und gut beherrschbares Restrisiko
Zwischenstufen (z. B. 2,5) für feinere Abstufungen möglich.
↪ Startwert aus Forschungsmodell (n=93) für Ihre Branche bereits eingetragen — Quelle: SMC-Dissertation Joswig 2026. Bitte anpassen, wo Ihre konkrete Situation abweicht (im Workshop zu diskutieren).
Public Cloud
Private Cloud
On-Prem
Hybrid
AIaaS
Gewichtung der Entscheidungskriterien (optional · nur im Experte-Modus)

Die Standardgewichtung basiert auf dem zugrunde liegenden Forschungsmodell. Sie können die Gewichtung übernehmen oder anpassen, wenn in Ihrem Unternehmen bestimmte Kriterien wichtiger sind, zum Beispiel technische Integrationsfähigkeit, Datensouveränität, Wirtschaftlichkeit oder Personalverfügbarkeit. Die Werte müssen sich nicht exakt auf 100 % summieren; der Navigator normalisiert sie automatisch. Der Bericht weist aus, ob die Standardgewichtung oder eine kundenspezifische Gewichtung verwendet wurde.

% · Standard 30,6 %
% · Standard 21,4 %
% · Standard 16,8 %
% · Standard 11,0 %
% · Standard 7,4 %
% · Standard 5,9 %
% · Standard 3,9 %
% · Standard 3,0 %
100 %
Wirtschaftlichkeit & Kosten

Die Wirtschaftlichkeit fließt in Schritt 3 als qualitatives Bewertungskriterium ein (siehe Kriterium „Wirtschaftlichkeit" oben). Eine detaillierte TCO-/Angebotsprüfung mit konkreten Euro-Beträgen ist nicht Bestandteil dieser Erstbewertung — sie kann später als separates Modul „TCO & Beschaffungsvalidierung" ergänzt werden. Vor einer Beschaffungsentscheidung sollten konkrete Anbieterangebote, interne Aufwände, Integrations-, Security-/Compliance-Aufwände, Support-Level und laufende Betriebskosten separat validiert werden.

KPI-Review (optional — für den Quartals-Check)

Beim regelmäßigen Review den aktuellen Stand je KPI eintragen — die Ampel setzt der Bericht automatisch aus dem Wert (gegen den Zielwert). Nur überschreiben, wenn nötig. Bei der Erst-Entscheidung leer lassen.

%
% vorhanden
Anzahl/Quartal
% mit Owner
Score / %
% geschult
Tage

Der ToJo Navigator ist eine Entscheidungs- und Dokumentationshilfe und ersetzt keine Rechtsberatung, Datenschutzberatung oder technische Sicherheitsprüfung. Die Auswertung beruht auf Ihren Angaben und ist intern zu validieren. User Guide & Start-Checkliste öffnen.

Vertragspartei ist das unter „Unternehmen & Anwendungsfall" genannte Unternehmen. Unternehmensname und verantwortliche Person werden zusammen mit Zeitpunkt und Fassung der Dokumente in Ihrem Decision Record festgehalten — das ist Ihr Nachweis, dass und wann der Vertrag geschlossen wurde. Eine Registrierung ist dafür nicht erforderlich.

© 2026 ToJo · 1.16.0 · Lizenzschlüssel eingeben

Impressum · Datenschutz · Nutzungsbedingungen · Auftragsverarbeitung