ISO 27001 und DSGVO: Wie sie sich ergänzen

Einführung

ISO 27001 und DSGVO sind zwei der prominentesten Rahmenwerke, die Informationssicherheit und Datenschutz in Europa regeln. Viele fragen: "Wenn wir ISO 27001 zertifiziert sind, sind wir dann DSGVO-konform?" Die kurze Antwort ist nein — aber die Beziehung ist komplementär.

Zwei Frameworks im Vergleich

ISO 27001 ist ein freiwilliger internationaler Standard für ISMS. DSGVO ist eine verbindliche EU-Verordnung zum Schutz personenbezogener Daten. Verstöße können Bußgelder bis zu 4% des globalen Jahresumsatzes oder 20 Mio. € nach sich ziehen.

Wichtige Überschneidungsbereiche

Artikel 32 DSGVO: Verlangt "geeignete technische und organisatorische Maßnahmen". ISO 27001 bietet genau dafür den strukturierten Rahmen.

Zugangskontrolle: Beide erfordern Zugang nur für berechtigtes Personal.

Incident Response: 72-Stunden-Meldepflicht bei Datenverletzungen — A.5.24–A.5.28 etabliert den nötigen Prozess.

Lieferantenmanagement: DSGVO erfordert AV-Verträge — A.5.19–A.5.22 bietet den Rahmen.

Wo sie sich unterscheiden

ISO 27001 bedeutet nicht automatisch DSGVO-Konformität:

Rechtsgrundlage: DSGVO erfordert eine Rechtsgrundlage für jede Verarbeitungstätigkeit.

Betroffenenrechte: Auskunft, Berichtigung, Löschung und Portierung.

Datenschutz durch Technik: Art. 25 erfordert eingebetteten Datenschutz.

DSFA: Für risikoreiche Verarbeitungstätigkeiten.

Datenschutzbeauftragter: Für bestimmte Organisationen vorgeschrieben.

Wie ISO 27001 die DSGVO-Compliance unterstützt

Nutzen Sie ISO 27001 als Sicherheitsfundament und bauen Sie DSGVO-spezifische Verpflichtungen darauf auf.

Risikobewertung: Identifizieren Sie personenbezogene Daten-Assets und ihre Risiken.

Annex A als Checkliste: Kartieren Sie DSGVO-Sicherheitsanforderungen auf Annex A-Kontrollen.

DSGVO-spezifische Verfahren hinzufügen: Betroffenenrechte, DSFA-Methodik — typischerweise 20–40% Zusatzaufwand.

Brauchen Sie beide?

Für Organisationen, die EU/EWR-personenbezogene Daten verarbeiten, ist DSGVO-Konformität verpflichtend. ISO 27001 ist der effizienteste Weg, die "geeigneten Maßnahmen" nachzuweisen.

Organisationen, die ISO 27001 zuerst implementieren, decken ca. 60–70% der technischen DSGVO-Anforderungen ab.

Wichtige Erkenntnisse

ISO 27001 und DSGVO sind komplementär, nicht konkurrierend. Behandeln Sie sie als ein integriertes Compliance-Programm, nicht zwei separate Projekte.