Datenschutz ISO 27701 & DSGVO
Audits, Beratung und Zertifizierung

Die ISO/IEC 27701:2025 ist der aktuelle internationale Standard für Privacy Information Management Systeme (PIMS). Die neue Ausgabe ersetzt die bisherige ISO/IEC 27701:2019 und definiert Anforderungen und Leitlinien für den systematischen Schutz personenbezogener Daten. Sie unterstützt Unternehmen dabei, Datenschutzrisiken zu steuern, Verantwortlichkeiten klar zu regeln und die Einhaltung relevanter Datenschutzanforderungen, beispielsweise der DSGVO, nachzuweisen.

Im Unterschied zur bisherigen Ausgabe ist die ISO/IEC 27701:2025 als eigenständiger Managementsystemstandard konzipiert und kann unabhängig von einer ISO/IEC 27001 angewendet werden. Gleichzeitig lässt sie sich weiterhin mit bestehenden Informationssicherheitsmanagementsystemen integrieren. Im Mittelpunkt stehen die systematische Steuerung von Datenschutzrisiken, die Rechenschaftspflicht sowie die kontinuierliche Verbesserung des Datenschutzmanagements.

Seit dem 25. Mai 2018 gilt die DSGVO als zentrale Grundlage des europäischen Datenschutzrechts und schafft ein einheitliches Schutzniveau für personenbezogene Daten. Wichtige Anforderungen finden sich unter anderem in Art. 5 und 6 DSGVO zu den Grundsätzen und Rechtsgrundlagen der Verarbeitung. Art. 37–39 DSGVO regeln die Benennung, Stellung und Aufgaben des Datenschutzbeauftragten. Das deutsche BDSG ergänzt die DSGVO, unter anderem durch § 26 zum Beschäftigtendatenschutz und § 38 zur Benennung von Datenschutzbeauftragten.

Für Datenschutz und Privatsphäre bei Telekommunikation und digitalen Diensten gilt ergänzend das TDDDG. Besonders relevant ist § 25 TDDDG für den Zugriff auf Informationen in Endeinrichtungen, beispielsweise bei Cookies. Unternehmen müssen daher DSGVO, BDSG und TDDDG im Datenschutzmanagement zusammenführen und ihre Verantwortlichkeiten, Prozesse und Schutzmaßnahmen regelmäßig überprüfen.

Die DSGVO gilt für alle natürlichen und juristischen Personen. Jeder Bürger, aber auch Unternehmen oder Behörden, unterliegt der Einhaltung der DSGVO mit allen Rechten und Pflichten. Der Verantwortliche für den Datenschutz im Unternehmen unterliegt der Nachweisplicht. Um sicherzugehen und Geldstrafen nach dem Bußgeldkatalog der Datenschutzkonferenz zu vermeiden (oder zu verringern), können Unternehmen und Organisationen ein Datenschutzmanagementsystem implementieren und Ihr Datenschutzniveau mit einer GAP-Analyse ermitteln lassen. Dabei wird während des Datenschutzaudits geprüft, ob die wesentlichen Datenschutzaspekte der DSGVO eingehalten werden.

Ein Datenschutzmanagementsystem hilft jedem Unternehmen und jeder Kommune die Umsetzung des BDSG und der DSGVO zu gewährleisten. Ein Datenschutzmanagementsystem erfüllt alle nötigen Voraussetzungen, um jederzeit entsprechende Nachweise zur Umsetzung der Gesetze zur Hand zu haben. Darüber hinaus hilft einem ein funktionierendes Datenschutzmanagementsystem auch schnell und effektiv auf gesetzliche Auskunftsersuche und Anfragen reagieren zu können.

Um die DSGVO im Betriebsalltag umzusetzen ist es wichtig ein Datenschutzmanagementsystem zu schaffen und zu integrieren, welches einem bei der Umsetzung hilft und die gesetzlichen Anforderungen erfüllt. Der wichtigste Eckpfeiler dafür ist ein gut funktionierendes Datenschutzmanagementsystem mit den drei Kernpunkten TOMs (Technisch Organisatorische Maßnahmen gem. Artikel 32 DSGVO), VVT (Verzeichnis der Verarbeitungstätigkeiten gem. Artikel 30 DSGVO) und dem Datenschutzhandbuch als DSGVO Wegweiser zur Betriebsstruktur. Wenn Sie bei der Umsetzung Unterstützung benötigen, kommen Sie gerne jederzeit auf uns zu.

Dies ist per Gesetz genau geregelt: § 4f Abs. 2 BDSG besagt, dass derjenige zum Datenschutzbeauftragten ernannt werden darf, der „die zur Erfüllung seiner Aufgaben erforderliche Fachkunde und Zuverlässigkeit besitzt“. Hierbei kann man auf einen internen Datenschutzbeauftragten zurückgreifen und einen solchen benennen oder einen Dienstleister (bspw. einen Datenschützer der varISO) als externen Datenschutzbeauftragten einsetzen. Ein interner Datenschutzbeauftragter hat den Vorteil, dass dieser in die vorhandenen Betriebsstrukturen hinein gewachsen ist und die Abläufe daher am besten kennt, was die Umsetzung der DSGVO erleichtert. Der Nachteil ist, in den meisten Fällen ist dies dann keine Vollzeit-Stelle und auch die breit gefächerte Praxiserfahrung eines externen Datenschutzbeauftragten fehlt. Ein externer Datenschutzbeauftragter hat den Vorteil, dass er diese Tätigkeit in Vollzeit und hauptberuflich ausübt, was durch vielseitige Praxiserfahrung und Fortbildungen gestützt wird. Der Nachteil eines externen Datenschutzbeauftragten beruht im ersten Moment auf der fehlenden Kenntnistiefe der Betriebsstruktur gegenüber einem internen Datenschutzbeauftragten. Diese Kenntnisse müssen erst “erlernt” werden, bis sie an das Niveau eines Internen heran reichen.

Es gibt kein einheitliches Datenschutzmanagement System und daher gibt es auch keine Alternativen. Ein gut funktionierendes Datenschutzmanagement System ist ein individuell auf die Betriebsstruktur angepasstes Managementsystem, welches die Gegebenheiten mit den gesetzlichen Vorgaben in Einklang bringt. Hierbei wird berücksichtigt, dass auch entsprechende Strukturen geschaffen werden, die eine Erfüllung der gesetzlichen Anforderungen gewährleisten und darüber hinaus Prozesse geschaffen werden, die einem ständigen Prüfzyklus unterliegen, um stets aktuell zu sein.

varISO hilft bei der Feststellung des IST-Zustandes im Kontext Datenschutz und erarbeitet gemeinsam mit Ihnen pragmatisch alle nötigen Schritte bis hin zum SOLL-Zustand. varISO prüft zuerst alle bei Ihnen vorhandenen Strukturen und Dokumente und gleicht diese mit den gesetzlichen Vorgaben ab. Im Gegensatz zu anderen Dienstleistern, bei denen Sie oftmals die benötigten Dokumentationen selbst und unter Anleitung erstellen müssen, übernimmt an diesem Punkt varISO auch dies für Sie. Sie bekommen am Ende eine vollständige DSGVO-Dokumentation zu Ihrem Unternehmen oder Ihrer Kommune.