Datenschutz · ISO 27001
DSGVO und ISO 27001: Unterschied und Zusammenspiel
Lesezeit etwa 6 Minuten · Stand August 2026
DSGVO und ISO 27001 verfolgen verschiedene Ziele. Die DSGVO schützt personenbezogene Daten als Grundrecht, ISO 27001 sichert alle Informationswerte eines Unternehmens. Beide überschneiden sich bei den technischen und organisatorischen Maßnahmen. Ein zertifiziertes ISMS erfüllt viele DSGVO-Pflichten, ersetzt den Datenschutz aber nicht. Dieser Ratgeber zeigt Unterschiede, Schnittmengen und den gemeinsamen Aufbau.
Ein ISMS liefert das Fundament für den Datenschutz.
Die rechtlichen Pflichten der DSGVO bleiben trotzdem eigenständig.
Worin unterscheiden sich DSGVO und ISO 27001?
Der Unterschied liegt im Schutzgut. Die DSGVO (Verordnung (EU) 2016/679, EUR-Lex) schützt personenbezogene Daten und die Grundrechte der betroffenen Personen. ISO 27001 schützt die Vertraulichkeit, Integrität und Verfügbarkeit aller Informationen in einem Informationssicherheits-Managementsystem, egal ob Kundendaten, Konstruktionsplan oder Vertrag.
Die DSGVO ist unmittelbar geltendes Recht mit Bußgeldandrohung. ISO 27001 ist ein internationaler Standard, dessen Zertifikat freiwillig erworben wird und Vertrauen in der Lieferkette schafft. Die folgende Tabelle stellt beide gegenüber.
| Kriterium | DSGVO | ISO 27001 |
|---|---|---|
| Schutzgut | personenbezogene Daten, Grundrechte | alle Informationswerte (Vertraulichkeit, Integrität, Verfügbarkeit) |
| Rechtsnatur | EU-Verordnung, verpflichtend | internationaler Standard, freiwillig |
| Nachweis | Rechenschaftspflicht (Art. 5 Abs. 2) | Zertifikat einer akkreditierten Stelle |
| Geltung | jede Verarbeitung personenbezogener Daten | definierter Geltungsbereich (Scope) |
| Sanktion | Bußgeld bis 20 Mio. € oder 4 % des Jahresumsatzes | kein Bußgeld, aber Entzug des Zertifikats |
| Aufsicht | Datenschutzaufsichtsbehörden | Zertifizierungsstelle, Auditor |
Deckt eine ISO-27001-Zertifizierung die DSGVO ab?
Teilweise. Ein zertifiziertes ISMS deckt die Sicherheit der Verarbeitung nach Artikel 32 DSGVO weitgehend ab, weil es dieselben technischen und organisatorischen Maßnahmen verlangt. Als grobe Orientierung nennen Beratungshäuser eine Abdeckung von etwa 50 % bis 70 % der DSGVO-Pflichten. Das ist eine Spanne, keine Garantie.
Nicht abgedeckt sind die rein rechtlichen Datenschutzpflichten. Dazu zählen die Rechtmäßigkeit der Verarbeitung (Art. 6), die Betroffenenrechte (Art. 12 bis 22), das Verzeichnis von Verarbeitungstätigkeiten (Art. 30), die Datenschutz-Folgenabschätzung (Art. 35) und die Auftragsverarbeitung (Art. 28). Diese Themen bleiben Aufgabe des Datenschutzmanagements.
Für die Praxis heißt das: Ein ISMS ist ein starkes Fundament, aber kein Freifahrtschein. Die Zertifizierung belegt gegenüber Kunden und Aufsicht, dass Sicherheit systematisch betrieben wird. Den Nachweis der Rechtmäßigkeit, ein sauberes Löschkonzept und die Wahrung der Betroffenenrechte muss der Datenschutz zusätzlich erbringen. Wer beides von Anfang an zusammendenkt, vermeidet doppelte Strukturen und widersprüchliche Vorgaben.
Datenschutz und ISO 27001 auf einer Datenbasis?
Statt zwei Systeme parallel zu pflegen, erfassen Sie Maßnahmen einmal und nutzen sie für beide Normen. Wie das Normen-Mapping funktioniert, zeigen wir Ihnen an Ihrem Fall.
Wie hängen Art. 32 DSGVO und Annex A zusammen?
Artikel 32 DSGVO verlangt technische und organisatorische Maßnahmen (TOM), nennt aber nur Beispiele wie Verschlüsselung oder Pseudonymisierung. Der Anhang A der ISO 27001 (ISO/IEC 27001:2022) liefert dafür 93 konkrete Maßnahmen. Viele TOM lassen sich direkt auf ein Control abbilden, wie die folgende Zuordnung zeigt.
| TOM nach Art. 32 DSGVO | Entsprechung in ISO 27001 Anhang A |
|---|---|
| Verschlüsselung | A.8.24 Nutzung von Kryptografie |
| Pseudonymisierung, Datenminimierung | A.8.11 Datenmaskierung |
| Zugriffskontrolle | A.5.15 Zugangssteuerung |
| Verfügbarkeit und Belastbarkeit | A.5.30 IKT-Bereitschaft, A.8.14 Redundanz |
| Wiederherstellbarkeit | A.8.13 Informationssicherung (Backup) |
| regelmäßige Überprüfung | A.5.35 unabhängige Überprüfung der Informationssicherheit |
Wer diese Zuordnung dokumentiert, kann eine TOM-Liste und das Statement of Applicability aus einer Quelle speisen.
Wichtig ist die Blickrichtung. Die DSGVO fragt, ob die Maßnahme den Schutz personenbezogener Daten angemessen sicherstellt. ISO 27001 fragt, ob sie das bewertete Risiko für die Informationswerte wirksam senkt. Dieselbe Maßnahme, zwei Begründungen. Wer beide dokumentiert, hat den Nachweis für Aufsichtsbehörde und Auditor zugleich in der Hand.
Was ist ISO 27701 und wann lohnt sie sich?
ISO/IEC 27701 erweitert ISO 27001 und ISO 27002 zu einem Datenschutz-Managementsystem, dem Privacy Information Management System (PIMS). Sie ergänzt eigene Maßnahmen für Verantwortliche und Auftragsverarbeiter und enthält eine Zuordnung zu den DSGVO-Artikeln (ISO/IEC 27701).
Die Erweiterung lohnt sich, wenn die Verarbeitung personenbezogener Daten im Zentrum des Geschäfts steht, etwa bei Auftragsverarbeitern oder Dienstleistern mit vielen Datenschutzanforderungen. Ein bestehendes ISMS ist die Voraussetzung, denn ISO 27701 wird auf ISO 27001 aufgesetzt.
Ein weiterer Vorteil: Die Zuordnung von ISO 27701 zu den Artikeln der DSGVO nimmt dem Datenschutzteam viel Übersetzungsarbeit ab. Statt jede Maßnahme einzeln auf einen DSGVO-Artikel zu beziehen, liefert die Norm diese Verknüpfung bereits mit. Das spart Zeit bei Audits und bei Anfragen der Aufsichtsbehörde.
Wo überschneiden sich die Pflichten im Alltag?
Am deutlichsten wird das Zusammenspiel an konkreten Prozessen. Ein Backup dient sowohl der Verfügbarkeit nach ISO 27001 als auch der Wiederherstellbarkeit nach Art. 32 DSGVO. Ein Berechtigungskonzept schützt Geschäftsgeheimnisse und personenbezogene Daten gleichermaßen. Ein Verzeichnis der eingesetzten Dienstleister erfüllt die Lieferantensteuerung der ISO 27001 und liefert zugleich die Basis für die Auftragsverarbeitung nach Art. 28 DSGVO.
Ein häufiger Stolperstein ist das Thema Aufbewahrung und Löschung. Die Informationssicherheit will Daten verfügbar halten, der Datenschutz verlangt ihre Löschung, sobald der Zweck entfällt. Beide Ziele lassen sich nur mit einem gemeinsamen Löschkonzept in Einklang bringen, das Fristen und Verantwortliche klar benennt. Genau solche Konflikte macht ein integriertes Managementsystem früh sichtbar.
Wie führt man Datenschutz und Informationssicherheit auf einer Datenbasis?
Die Antwort ist ein gemeinsames Nachweismanagement. Eine Maßnahme wie Zugriffskontrolle erfüllt gleichzeitig ein Annex-A-Control und eine TOM nach Art. 32 DSGVO. Wird sie nur einmal erfasst und beiden Normen zugeordnet, entfällt die Doppeldokumentation. Genau hier setzt an: Datenbasis einmal pflegen, jede Norm ist eine Sicht darauf.
Ein Hinweis zur Organisation. Die Pflicht zur Benennung eines Datenschutzbeauftragten richtet sich nach der jeweils geltenden Fassung des § 38 BDSG, die in der Regel ab 20 Personen mit ständiger Datenverarbeitung greift (§ 38 BDSG). Ob diese Schwelle bestehen bleibt, war 2026 politisch in Diskussion. Maßgeblich ist stets der aktuelle Gesetzesstand.
Praktisch bedeutet das eine gemeinsame Governance. Der Verantwortliche für Informationssicherheit und der Datenschutzbeauftragte stimmen sich regelmäßig ab, nutzen dieselben Nachweise und berichten an dieselbe Leitung. So entsteht ein Bild statt zwei getrennter Silos. Prüfungen von Aufsicht oder Zertifizierungsstelle laufen dann mit denselben Unterlagen.
Datenschutz und ISO 27001 gemeinsam angehen?
Im Strategiegespräch klären wir, wo Ihr Datenschutz und Ihre Informationssicherheit schon zusammenpassen und wo noch Lücken sind. Ehrlich eingeordnet, ohne Drohkulisse.
Häufige Fragen zu DSGVO und ISO 27001
Ersetzt ISO 27001 den Datenschutzbeauftragten?
Nein. ISO 27001 regelt die Informationssicherheit, benennt aber keinen Datenschutzbeauftragten. Dessen Bestellung richtet sich allein nach der DSGVO und dem BDSG. Ein ISMS liefert dem Datenschutzbeauftragten aber viele Nachweise, die er für seine Arbeit braucht.
Muss ich für die DSGVO nach ISO 27001 zertifiziert sein?
Nein. Die DSGVO schreibt keine Zertifizierung vor. Sie verlangt angemessene technische und organisatorische Maßnahmen. Eine ISO-27001-Zertifizierung ist ein freiwilliger Weg, diese Angemessenheit strukturiert zu belegen, mehr nicht.
Was ist der Unterschied zwischen TOM und Annex-A-Controls?
TOM ist der Begriff der DSGVO für technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Der Anhang A der ISO 27001 ist ein konkreter Katalog aus 93 Maßnahmen für alle Informationen. Viele Controls sind zugleich passende TOM.
Hilft ISO 27701 bei der DSGVO-Compliance?
Ja. ISO 27701 ergänzt das ISMS um ein Datenschutz-Managementsystem und ordnet seine Maßnahmen den DSGVO-Artikeln zu. Das erleichtert den Nachweis, ersetzt die rechtliche Bewertung durch den Datenschutzbeauftragten aber nicht.
Deckt ein ISMS die Meldepflicht bei Datenpannen ab?
Nur den Prozess. Ein ISMS regelt, wie Sicherheitsvorfälle erkannt und behandelt werden. Die datenschutzrechtliche Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Art. 33 DSGVO und die Information der Betroffenen bleiben eigenständige Pflichten der DSGVO.
Brauchen kleine Unternehmen beides?
Die DSGVO gilt für jedes Unternehmen, das personenbezogene Daten verarbeitet, unabhängig von der Größe. ISO 27001 ist optional und dann sinnvoll, wenn Kunden oder Ausschreibungen einen anerkannten Nachweis verlangen. Ein pragmatisches ISMS hilft aber jedem.
Die wichtigsten Fakten auf einen Blick
| Fakt | Kurz |
|---|---|
| Rechtsgrundlage DSGVO | Verordnung (EU) 2016/679, Sicherheit der Verarbeitung nach Art. 32 |
| Norm ISO 27001 | ISO/IEC 27001:2022, 93 Maßnahmen im Anhang A |
| Datenschutz-Erweiterung | ISO/IEC 27701 (PIMS) |
| Bußgeld DSGVO | bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83) |
| Meldefrist Datenpanne | 72 Stunden an die Aufsichtsbehörde (Art. 33) |
| DSB-Pflicht (Vorbehalt) | meist ab 20 Personen ständiger Datenverarbeitung (§ 38 BDSG, geltender Stand) |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.