ISO 27001 und die DSGVO beantworten unterschiedliche Fragen, auch wenn es einen wichtigen Überschneidungsbereich gibt.
ISO/IEC 27001 ist ein internationaler Standard für das Informationssicherheitsmanagement. Er prüft, ob Ihr Unternehmen Informationssicherheitsrisiken identifiziert, geeignete Maßnahmen zu deren Bewältigung ergreift, Verantwortlichkeiten zuweist und den Schutz von Informationen kontinuierlich verbessert.
Die DSGVO ist das europäische Datenschutzrecht. Sie geht weiter. Sie fragt, ob und warum personenbezogene Daten verarbeitet werden dürfen, wie viele Daten Sie erheben, wie lange Sie diese speichern, wie sicher Sie diese schützen und ob Betroffene ihre Rechte diesbezüglich ausüben können.
Dieser Unterschied ist wichtig. Sie können eine exzellente Sicherheit haben und dennoch personenbezogene Daten unrechtmäßig verarbeiten. Eine perfekt verschlüsselte Datenbank mit personenbezogenen Daten, die ohne Rechtsgrundlage erhoben wurden, kann dennoch ein DSGVO-Problem darstellen.
Das Gegenteil ist ebenfalls wahr. Sie können eine gültige Rechtsgrundlage für die Verarbeitung personenbezogener Daten haben und dennoch daran scheitern, diese Daten angemessen zu schützen.
Obwohl sich DSGVO und ISO 27001 bei der Informationssicherheit erheblich überschneiden, macht eine ISO 27001-Zertifizierung ein Unternehmen also nicht automatisch DSGVO-konform.
Was ist das?
ISO 27001 ist ein internationaler Standard für Informationssicherheitsmanagement. Die DSGVO ist das EU-Datenschutzrecht.
Hauptfokus.
ISO 27001 verwaltet Informationssicherheitsrisiken. Die DSGVO regelt die rechtmäßige, faire und sichere Verarbeitung personenbezogener Daten.
Gilt für.
ISO 27001 deckt Informationen innerhalb des Geltungsbereichs des ISMS ab. Die DSGVO deckt die Verarbeitung personenbezogener Daten innerhalb des Anwendungsbereichs der Verordnung ab.
Zertifizierung.
ISO 27001 kann zertifiziert werden. Die DSGVO sieht zwar Zertifizierungsmechanismen vor, aber es gibt kein allgemeines Zertifikat, das Sie von Ihren DSGVO-Verpflichtungen entbindet.
Individuelle Datenschutzrechte.
Nicht das Hauptziel von ISO 27001. Eine Kernanforderung der DSGVO.
Sicherheitsmaßnahmen.
Ein zentraler Bestandteil von ISO 27001. Von der DSGVO überall dort gefordert, wo personenbezogene Daten verarbeitet werden.
Beweist ISO 27001 die DSGVO-Konformität? Nein.
Die Überschneidungen zwischen der DSGVO und ISO 27001 sind real, und Unternehmen sollten diese nutzen.
Die DSGVO verpflichtet Unternehmen dazu, geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten umzusetzen. Was als „geeignet“ gilt, hängt von Faktoren wie den damit verbundenen Risiken, der Art der Daten und dem Kontext der Verarbeitung ab.
ISO 27001 bietet einen strukturierten Weg zur Verwaltung vieler dieser Maßnahmen. Ein Informationssicherheits-Managementsystem (ISMS) liefert Ihnen einen wiederholbaren Prozess, um Informationssicherheitsrisiken zu identifizieren, Kontrollen auszuwählen, Verantwortlichkeiten zuzuweisen, die Wirksamkeit zu überprüfen und Nachweise darüber zu führen, dass die Maßnahmen tatsächlich angewendet werden.
Dies beweist nicht automatisch, dass alle Anforderungen der DSGVO erfüllt sind. Es bietet jedoch eine solide Managementstruktur für den sicherheitsrelevanten Teil der DSGVO-Konformität.
Wenn eine Aufsichtsbehörde fragt, wie Sie ein Sicherheitsrisiko bewertet haben, warum eine bestimmte Maßnahme ausgewählt wurde, wer dafür verantwortlich war und ob diese überprüft wurde, kann ein gut geführtes ISMS die Beantwortung dieser Fragen erheblich erleichtern.
Die DSGVO enthält zudem spezifische Anforderungen für Verletzungen des Schutzes personenbezogener Daten.
Wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, muss der Verantwortliche die zuständige Aufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden, nachdem ihm die Verletzung bekannt wurde, benachrichtigen.
Wenn die Verletzung voraussichtlich ein hohes Risiko für die betroffenen Personen zur Folge hat, müssen diese unter Umständen ebenfalls informiert werden, vorbehaltlich der in der DSGVO festgelegten Ausnahmen.
ISO 27001 schafft diese Meldepflichten nicht. Ein effektives ISMS kann jedoch den Prozess für das Vorfallmanagement bereitstellen, der einem Unternehmen hilft, einen Vorfall schnell genug zu erkennen, zu untersuchen, zu dokumentieren und zu eskalieren, um diese Anforderungen zu erfüllen.
Die 72-Stunden-Frist wird nur schwer einzuhalten sein, wenn niemand weiß, wer für den Vorfall zuständig ist, wann er begann, welche Informationen betroffen waren oder wer die Entscheidung treffen muss. Genau das ist die Art von betrieblichem Problem, die ein Managementsystem verhindern soll.
Der größte Unterschied besteht darin, dass die DSGVO nicht einfach nur eine Anforderung an die Informationssicherheit ist. Sicherheit ist nur ein Teil des Datenschutzes.
Die DSGVO verlangt von Unternehmen zudem die Klärung von Fragen wie: Was ist der Zweck der Verarbeitung dieser personenbezogenen Daten und was ist die Rechtsgrundlage dafür? Erheben wir mehr personenbezogene Daten, als wir tatsächlich benötigen? Wie lange sollten die Daten aufbewahrt werden? Wer erhält Zugriff darauf oder hat Zugang dazu? Sind die betroffenen Personen ordnungsgemäß informiert? Können Personen ihre Rechte auf Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung wahrnehmen? Können sie, sofern zutreffend, ihr Recht auf Datenübertragbarkeit ausüben oder der Verarbeitung widersprechen? Und wenn eine Einwilligung erforderlich ist, erfüllt diese Einwilligung die Anforderungen der DSGVO?
Je nach Unternehmen und Art der Verarbeitung kann die DSGVO auch Verzeichnisse von Verarbeitungstätigkeiten, Datenschutz-Folgenabschätzungen, Auftragsverarbeitungsverträge sowie weitere datenschutzspezifische Dokumentationen und Prozesse erfordern.
ISO 27001 ersetzt diese Verpflichtungen nicht. Ein Zertifizierungsauditor für ISO 27001 kann zwar bewerten, ob relevante gesetzliche und regulatorische Anforderungen identifiziert und angemessen im ISMS berücksichtigt wurden. Ein ISO 27001-Zertifizierungsaudit ist jedoch keine vollständige Prüfung der DSGVO-Konformität. Eine Datenschutzaufsichtsbehörde kann hier deutlich weiter gehen.
Deshalb ist es ein Fehler, eine ISO 27001-Zertifizierung als Beweis dafür zu betrachten, dass ein Unternehmen automatisch DSGVO-konform ist.
Dies sollte man klar aussprechen, da der Unterschied im Marketing rund um Compliance manchmal verwischt wird. Es gibt kein ISO 27001-Zertifikat, das ein Unternehmen automatisch DSGVO-konform macht.
Die DSGVO gilt unmittelbar für alle Unternehmen, die in ihren Anwendungsbereich fallen. Diese Verpflichtungen bestehen unabhängig davon, welche ISO-Normen ein Unternehmen implementiert oder zertifiziert hat.
Die DSGVO sieht zwar anerkannte Zertifizierungsmechanismen vor, doch eine Zertifizierung entbindet Verantwortliche oder Auftragsverarbeiter nicht von ihrer Pflicht zur Einhaltung der Verordnung. Ein ISO 27001-Zertifikat ist lediglich der Nachweis, dass ein Informationssicherheits-Managementsystem gemäß ISO 27001 geprüft wurde – nicht, dass jede einzelne DSGVO-Anforderung bewertet wurde.
Was ein Managementsystem jedoch bieten kann, ist etwas äußerst Wertvolles: Nachweisbarkeit. Die DSGVO enthält ein Rechenschaftsprinzip. Von Unternehmen wird nicht nur erwartet, dass sie ihre Pflichten erfüllen; sie müssen auch nachweisen können, wie sie dies tun.
Das bedeutet, Nachweise zu führen. Warum wurde eine Entscheidung getroffen? Wer ist für die Maßnahme verantwortlich? Wann wurde sie zuletzt überprüft? Ist die Kontrolle noch wirksam? Was geschah nach einem Vorfall? Wurde das Risiko neu bewertet, wenn sich etwas geändert hat?
Genau hier haben viele Unternehmen auf Dauer Schwierigkeiten. Die Herausforderung besteht oft nicht darin, dass sie die DSGVO bei der ersten Umsetzung falsch verstanden haben. Die Herausforderung liegt darin, die Prozesse, Verantwortlichkeiten, Maßnahmen und Nachweise auch zwei oder drei Jahre später noch aktuell zu halten.
Ein Managementsystem hilft dabei, einmalige Compliance-Aufgaben in einen fortlaufenden Prozess zu verwandeln. Nicht, weil das System an sich für Konformität sorgt, sondern weil es dabei hilft, Compliance steuerbar, nachweisbar und wiederholbar zu machen.
Für Unternehmen, die nach einer Managementsystem-Norm suchen, die speziell auf Datenschutz ausgerichtet ist, ist ISO/IEC 27701 die relevantere Wahl. Wichtig ist, dass sich dies mit der Veröffentlichung von ISO/IEC 27701:2025 geändert hat.
Die vorherige Ausgabe von 2019 war als Erweiterung zu ISO/IEC 27001 und ISO/IEC 27002 konzipiert. Die Ausgabe von 2025 ist nun eine eigenständige Managementsystem-Norm für den Aufbau, die Implementierung, die Aufrechterhaltung und die kontinuierliche Verbesserung eines Datenschutz-Managementsystems (PIMS). Sie kann daher unabhängig implementiert werden, ist aber dennoch so gestaltet, dass sie sich effektiv in ISO 27001 integrieren lässt.
ISO 27701 kann Unternehmen dabei helfen, Datenschutzverantwortlichkeiten, Risiken, Kontrollen und Nachweise zu strukturieren und den Nachweis der Einhaltung von Datenschutzvorschriften wie der DSGVO zu unterstützen. Doch es gilt dasselbe Prinzip: Die Implementierung oder Zertifizierung eines Managementsystems überträgt Ihre rechtliche Verantwortung nicht auf die Norm oder die Software, die Sie zu deren Verwaltung nutzen.
Hier beginnt die praktische Herausforderung. Datenschutz und Informationssicherheit betreffen oft dieselben Systeme, Lieferanten, Vermögenswerte, Risiken und Mitarbeiter. Dennoch werden sie in vielen Unternehmen getrennt voneinander verwaltet.
Das Datenschutzverzeichnis befindet sich in einer Tabelle oder einem Tool. Das Asset-Inventar liegt woanders. Sicherheitskontrollen sind im ISMS dokumentiert. Maßnahmen werden in einer anderen Anwendung nachverfolgt. Nachweise liegen in SharePoint oder Teams. Informationen zu Vorfällen werden wiederum separat gepflegt. Das Ergebnis ist eine Dublettenbildung, und mit der Zeit können diese unterschiedlichen Beschreibungen der Organisation anfangen, sich zu widersprechen.
ISOPlanner™ ist keine Lösung zur DSGVO-Compliance, und wir würden es auch nicht als solche bezeichnen. Kein Softwareprodukt kann Ihre Rechtsgrundlage für die Verarbeitung personenbezogener Daten bestimmen, entscheiden, ob eine bestimmte Verarbeitungstätigkeit rechtlich zulässig ist, oder das juristische Urteilsvermögen ersetzen, das zur Erfüllung der DSGVO-Verpflichtungen erforderlich ist.
Was ISOPlanner™ jedoch bietet, ist eine strukturierte Umgebung für das operative Management rund um die Compliance. Verzeichnisse von Verarbeitungstätigkeiten können zusammen mit Assets und anderen Compliance-Informationen verwaltet werden. Technische und organisatorische Maßnahmen lassen sich mit Verantwortlichkeiten, Aufgaben und Nachweisen verknüpfen. Risiken können Eigentümern zugewiesen und im Zeitverlauf überprüft werden. Vorfälle, Kontrollen und Folgemaßnahmen werden Teil desselben Managementzyklus, anstatt separate Compliance-Übungen zu sein.
Für Organisationen, die bereits mit Microsoft 365 arbeiten, kann dies zudem die Notwendigkeit verringern, eine völlig separate Arbeitsweise für die Compliance aufzubauen.
Der Wert liegt nicht darin, dass ein Tool Sie DSGVO-konform macht. Der Wert liegt darin, dass die Entscheidungen, Verantwortlichkeiten, Maßnahmen und Nachweise, die Ihre Compliance stützen, weniger wahrscheinlich in unverbundenen Tabellen, Dokumenten und Posteingängen verschwinden.
Die Reihenfolge ist entscheidend. Beginnen Sie damit zu verstehen, was die DSGVO von Ihrer Organisation verlangt und warum Sie personenbezogene Daten verarbeiten. Bestimmen Sie Ihre Zwecke, Rechtsgrundlagen, Verantwortlichkeiten, Aufbewahrungsfristen und die geltenden Rechte.
Stellen Sie dann sicher, dass die Maßnahmen, die zur Unterstützung dieser Verpflichtungen erforderlich sind, an einem Ort verwaltet werden, an dem sie auch in Jahren noch sichtbar, zugeordnet und überprüfbar sind.
ISO 27001 kann ein starkes Managementfundament für Informationssicherheit bieten. ISO 27701 kann diese Managementdisziplin auf den Datenschutz ausweiten. Keines von beiden ersetzt die DSGVO. Aber zusammen mit einem gut geführten Managementsystem können sie es erheblich erleichtern, Compliance von einer einmaligen Dokumentationsübung in etwas zu verwandeln, das Ihre Organisation tatsächlich aufrechterhalten und nachweisen kann.
Dieser Artikel enthält allgemeine Informationen zur DSGVO sowie zu ISO-Normen und sollte nicht als Rechtsberatung betrachtet werden.
Log in to your ISOPlanner™ workspace, or start a free trial.
Log in Start your free trial