DSGVO: Die DSGVO ist die EU-weite Rechtsgrundlage für den Umgang mit personenbezogenen Daten; sie verpflichtet Unternehmen zu Rechtmäßigkeit, Zweckbindung, Datensparsamkeit und zur Nachweisbarkeit jeder Verarbeitung personenbezogener Daten.
Die Datenschutz-Grundverordnung gilt seit dem 25. Mai 2018 unmittelbar in allen EU-Mitgliedstaaten und ersetzte das bis dahin geltende nationale Datenschutzrecht weitgehend. Sie basiert auf den in Artikel 5 verankerten Grundsätzen: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität/Vertraulichkeit und Rechenschaftspflicht.
Für Unternehmen ergeben sich daraus konkrete Pflichten: die Führung eines Verzeichnisses von Verarbeitungstätigkeiten (Art. 30), die Umsetzung technischer und organisatorischer Maßnahmen (Art. 32), Verträge zur Auftragsverarbeitung mit Dienstleistern (Art. 28) sowie die Meldung von Datenschutzverletzungen an die Aufsichtsbehörde innerhalb von 72 Stunden (Art. 33). Ab bestimmten Schwellenwerten ist zusätzlich ein Datenschutzbeauftragter zu benennen.
| Pflicht | Rechtsgrundlage |
|---|---|
| Verarbeitungsverzeichnis | Art. 30 DSGVO |
| TOMs | Art. 32 DSGVO |
| Meldung Datenpanne | Art. 33 DSGVO |
Verstöße können mit Bußgeldern bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden.
Für die praktische Umsetzung ist entscheidend, dass Datenschutz nicht als einmaliges Projekt, sondern als laufender Prozess verstanden wird: Neue Software, neue Kooperationspartner oder veränderte Geschäftsprozesse erfordern jeweils eine Prüfung, ob bestehende technische und organisatorische Maßnahmen sowie das Verarbeitungsverzeichnis noch aktuell sind. Besonders häufig unterschätzt wird die Pflicht zur Datenschutz-Folgenabschätzung nach Art. 35, die bei voraussichtlich hohem Risiko für die Rechte betroffener Personen zwingend vorgeschrieben ist, etwa bei umfangreicher Verarbeitung besonderer Kategorien personenbezogener Daten oder systematischer Überwachung. Auch die Wahl eines EU-ansässigen Cloud-Anbieters ersetzt keine eigene Prüfung: Verantwortlich bleibt stets das Unternehmen, das personenbezogene Daten verarbeitet, unabhängig davon, wo der technische Dienstleister seinen Sitz hat. Auftragsverarbeitungsverträge müssen dafür inhaltlich geprüft und nicht nur unterschrieben abgelegt werden.
Relevanz für die Zertifizierung
Die DSGVO ist gesetzliche Pflicht und keine freiwillige Zertifizierung – ein ISO 27001-Zertifikat ersetzt sie nicht, liefert aber mit einem strukturierten ISMS die technischen und organisatorischen Nachweise, die Artikel 32 DSGVO fordert. Für Unternehmen lohnt sich daher, Datenschutz- und Informationssicherheitsmanagement organisatorisch eng zu verzahnen, statt sie getrennt zu betreiben. Insbesondere kleine Unternehmen ohne eigene Rechtsabteilung profitieren davon, Datenschutzprüfungen fest in bestehende interne Audits zu integrieren, statt sie als separates Parallelsystem zu betreiben. Regelmäßige interne Stichproben zur Auftragsverarbeitung gehören ebenso zur guten Praxis wie die jährliche Aktualisierung des Verarbeitungsverzeichnisses.
Häufige Fragen zu DSGVO
Ja, sie gilt seit dem 25. Mai 2018 unmittelbar für jedes Unternehmen in der EU, das personenbezogene Daten verarbeitet, unabhängig von Größe oder Branche. Konkrete Zusatzpflichten wie die Benennung eines Datenschutzbeauftragten knüpfen jedoch an Schwellenwerte wie die Zahl der mit Datenverarbeitung befassten Personen an.
Verstöße können mit Bußgeldern bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Zusätzlich besteht bei Datenschutzverletzungen eine Meldepflicht an die Aufsichtsbehörde innerhalb von 72 Stunden nach Art. 33 DSGVO.
Nein, die DSGVO ist gesetzliche Pflicht, ISO 27001 eine freiwillige Zertifizierung. Ein ISO-27001-Zertifikat ersetzt die DSGVO nicht, liefert aber mit einem strukturierten ISMS die technischen und organisatorischen Maßnahmen, die Artikel 32 DSGVO fordert. Beide Bereiche lassen sich organisatorisch eng miteinander verzahnen.