Datenschutz als Managementsystem

Datenschutzmanagementsystem neben ISO 27001: was sich wiederverwenden lässt — und was nicht

Wer ein ISMS nach ISO 27001 betreibt, hat die Frage schon gestellt: Der Datenschutz verlangt Verzeichnisse, Maßnahmen, Nachweise und Kontrollen — ist das nicht längst da?

Teilweise ja, und größer, als in den meisten Häusern genutzt wird. Der Teil, der fehlt, ist aber ebenfalls nicht klein, und er lässt sich nicht durch mehr Informationssicherheit ersetzen.

Diese Seite trennt beides — bis hin zu der Arbeit, die der Datenschutz Jahr für Jahr erzeugt, wenn alles eingeführt ist.

20 Minuten, ohne Vorbereitung Ihrerseits.
Der Begriff

Was ein Datenschutzmanagementsystem ist

„Datenschutzmanagementsystem“ steht in keinem Gesetz. Die DSGVO kennt den Begriff nicht. Was sie kennt, ist die Pflicht, für die die Praxis ihn geprägt hat: Ein Verfahren, das Wirksamkeit regelmäßig prüft, dokumentiert und daraus Maßnahmen ableitet, ist ein Managementsystem. Die DSGVO verlangt eines, ohne es so zu nennen.

Vier Pflichten, ein System

Art. 5 Abs. 2

Der Verantwortliche ist für die Einhaltung der Grundsätze verantwortlich und muss sie nachweisen können — die Rechenschaftspflicht.

Art. 24 Abs. 1

Geeignete technische und organisatorische Maßnahmen, die erforderlichenfalls überprüft und aktualisiert werden.

Art. 32 Abs. 1 lit. d

Ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit dieser Maßnahmen.

Art. 30

Ein Verzeichnis von Verarbeitungstätigkeiten — ein Dokument, das nur stimmt, wenn es gepflegt wird.

Der Rahmen der Aufsicht: das Standard-Datenschutzmodell

Das SDM der Datenschutzkonferenz übersetzt die Verordnung in sieben Gewährleistungsziele und ordnet ihnen Maßnahmen zu. Version 3.1 wurde von der 107. DSK am 14.05.2024 beschlossen (veröffentlicht als 3.1a); Kapitel D4 beschreibt Datenschutzmanagement als Zyklus aus Planen, Umsetzen, Prüfen und Verbessern. Auch das BSI verweist darauf — Baustein CON.2, Basis-Anforderung CON.2.A1 „Umsetzung Standard-Datenschutzmodell“.

DatenminimierungVerfügbarkeitIntegritätVertraulichkeitNichtverkettungTransparenzIntervenierbarkeit

Bemerkenswert ist, was das SDM nicht sagt: Es spricht durchgängig von Datenschutzmanagement, nie von einem Datenschutzmanagementsystem. DSMS ist Praxissprache — nützlich, aber nicht amtlich.

Schutzgegenstand

Der Unterschied zum ISMS ist kein Formalismus

ISMS

schützt Informationen im Interesse der Organisation

Vertraulichkeit, Integrität, Verfügbarkeit. Das bewertete Risiko ist ein Risiko für das Unternehmen.

DSMS

schützt Menschen vor der Organisation

Artikel 1 Absatz 2 DSGVO nennt den Schutzgegenstand: die Grundrechte und Grundfreiheiten natürlicher Personen. Artikel 24 und 32 fordern die Maßnahmen ausdrücklich mit Blick auf „das Risiko für die Rechte und Freiheiten natürlicher Personen“.

Das ist die Ursache aller Abweichungen. Eine Verarbeitung kann technisch tadellos abgesichert und datenschutzrechtlich unzulässig sein — weil die Rechtsgrundlage fehlt, weil zu lange gespeichert wird, weil niemand widersprechen kann. Verschlüsselung beantwortet keine dieser Fragen.

Dazu kommt eine dritte Partei mit eigenen Ansprüchen: Betroffene verlangen Auskunft, Berichtigung, Löschung oder Widerspruch — auf eigene Initiative, jederzeit, mit gesetzlicher Frist. Ein ISMS kennt keine Anspruchsteller von außen.

Die Überschneidung

DSGVO gegen ISO/IEC 27001:2022

Die ISO/IEC 27001:2022 besteht aus den Management­system-Anforderungen (Kapitel 4–10) und Anhang A mit 93 Maßnahmen in vier Themenfeldern: organisatorisch (A.5, 37), personenbezogen (A.6, 8), physisch (A.7, 14), technologisch (A.8, 34).

Was die DSGVO verlangtFundstelleEntsprechung im ISMSWas übertragbar ist
Sicherheit der VerarbeitungArt. 32 Abs. 1Anhang A, Schwerpunkt A.8Maßnahmen und Nachweise weitgehend
Regelmäßige Prüfung der WirksamkeitArt. 32 Abs. 1 lit. d9.1 Überwachung, 9.2 Audit, 9.3 Managementbewertungder ganze Zyklus
Pseudonymisierung, VerschlüsselungArt. 32 Abs. 1 lit. aA.8.24 Kryptographie, A.8.11 DatenmaskierungMaßnahme und Nachweis
Wiederherstellung nach ZwischenfallArt. 32 Abs. 1 lit. cA.8.13 Sicherung, A.5.29, A.5.30Konzept, Test, Protokoll
Verzeichnis von VerarbeitungstätigkeitenArt. 30A.5.9 Inventar, A.5.12 KlassifizierungInventar als Grundlage, nicht als Ersatz
Meldung von VerletzungenArt. 33A.5.24–A.5.28 VorfallmanagementErkennung, Einstufung, Reaktion
AuftragsverarbeitungArt. 28A.5.19–A.5.23 Lieferanten, CloudBewertungs- und Überwachungsverfahren
Löschung, SpeicherbegrenzungArt. 5 Abs. 1 lit. e, Art. 17A.8.10 Löschung von Informationendie technische Durchführung
Sensibilisierung und SchulungArt. 39 Abs. 1A.6.3 Sensibilisierung, SchulungProgramm, Termine, Nachweise
Rechtliche AnforderungenArt. 5 Abs. 1 lit. aA.5.31 rechtliche/vertragliche Anforderungendie Anforderungsliste
Schutz personenbezogener DatenArt. 24, Art. 32A.5.34 Datenschutzder Anknüpfungspunkt im Anhang A
NachweisfähigkeitArt. 5 Abs. 2dokumentierte Information (7.5), SoAdie Nachweisdisziplin
Rechtsgrundlage, Einwilligung, Betroffenenrechte, Folgenabschätzung, DrittlandArt. 6, 7, 12–22, 35, 44–49keine Entsprechungnichts

Maßnahmenzahlen und deutsche Bezeichnungen nach der Zuordnungstabelle des BSI zum IT-Grundschutz (6. Edition 2023), die den Anhang A zweisprachig führt.

2

Von den 93 Maßnahmen des Anhang A ordnet das BSI genau zwei dem Datenschutz-Baustein CON.2 zu — A.5.34 und A.8.11 Datenmaskierung. Alles andere trägt zum Datenschutz bei, ohne für ihn gemacht zu sein.

Eine Prozentzahl zur Überschneidung nennt diese Seite nicht — solche Zahlen sind weder von der ISO noch von den Aufsichtsbehörden veröffentlicht. Die belastbare Aussage ist nützlicher: Auf der Maßnahmen- und Nachweisebene ist die Überschneidung groß. Auf der Rechtsebene ist sie null.

Die formale Brücke

ISO/IEC 27701 — und was sich 2025 geändert hat

Wer die Verbindung nicht selbst konstruieren will, kann sie normieren. ISO/IEC 27701 beschreibt ein Privacy Information Management System (PIMS) für Verantwortliche und Auftragsverarbeiter.

2019Erweiterung

Schon dem Titel nach eine Erweiterung zu ISO/IEC 27001 und 27002. Sie verwies normativ auf die Fassungen von 2013 — ohne ISMS war Konformität logisch nicht erreichbar, und ein Nachzug auf 2022 kam nie.

2025Eigenständig

Veröffentlicht am 14.10.2025 als eigenständige Managementsystemnorm: eigene Kapitel 4 bis 10 nach der harmonisierten Struktur, ISO/IEC 27001 steht nicht mehr in den normativen Verweisen. Die Verbindung zum ISMS ist eine Möglichkeit, keine Voraussetzung.

Anhang D bleibt

Das „Mapping to the GDPR“ existiert weiterhin — es liefert die Zuordnung mit, die es zwischen DSGVO und ISO/IEC 27001 nicht gibt. Der Grund, warum die Norm als Brücke taugt.

Anhangsstruktur umgebaut

2019 lagen die Maßnahmen nach Rolle getrennt in zwei Anhängen; 2025 führt Anhang A beide Rollen zusammen, Anhang B ist Umsetzungsleitfaden. Wer mit alten Unterlagen arbeitet, arbeitet mit einer überholten Gliederung.

Zertifizierung in Deutschland: aktive Einschränkung

In Deutschland ist die Umstellung noch nicht vollzogen. Die deutsche Fassung liegt als DIN EN ISO/IEC 27701:2026-02 unter dem Titel "Datenschutz-Managementsysteme" vor. Die Akkreditierungsseite ist dagegen unverändert: Das geltende Merkblatt der DAkkS von 2022 bezeichnet eine gesonderte Urkunde nach ISO/IEC 27701 als "irreführend und unzulässig" und sieht stattdessen ein ISO-27001-Zertifikat mit Konformitätszusatz vor. Zur Ausgabe 2025 hat die DAkkS bislang nichts veröffentlicht, und die einzige hierzulande akkreditierte Stelle führt weiterhin die Fassung von 2019 als Aufsatz auf ISO 27001. Wer Ihnen heute ein akkreditiertes, eigenständiges Zertifikat nach ISO/IEC 27701:2025 anbietet, kann es in Deutschland nicht ausstellen. Übergangsfristen, die im Umlauf sind, stammen von der britischen UKAS, nicht von der DAkkS.

Die Norm erspart die DSGVO nicht

Sie ist ein Ordnungsrahmen, kein Konformitätsnachweis, und eine Zertifizierung nach ihr ist keine Zertifizierung nach Artikel 42 DSGVO. Ihr Nutzen ist ein Betriebsnutzen: ein internes Audit statt zwei, eine Managementbewertung statt zwei, eine Maßnahmenliste statt zwei.

Der Rest, der übrig bleibt

Wo sich die Systeme nicht decken

Das ist der Teil, den Anbieter beider Welten gern überspringen. Ein ISMS ersetzt kein DSMS. Fünf Bereiche bleiben vollständig übrig.

Art. 6, 7, 9

Rechtsgrundlagen und Einwilligung

Jede Verarbeitung braucht eine Rechtsgrundlage; besondere Datenkategorien zusätzlich eine nach Artikel 9. Beim berechtigten Interesse ist abzuwägen, die Einwilligung muss nachweisbar und so einfach widerrufbar wie erteilbar sein. Der Anhang A hat dazu nichts.

Art. 12–22

Betroffenenrechte und ihre Fristen

Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch. Die Frist: unverzüglich, in jedem Fall binnen eines Monats nach Eingang, um zwei Monate verlängerbar. Eine Reaktionszusage an Unbekannte, jederzeit, ohne Vorwarnung.

Art. 5 lit. e

Löschkonzept und Aufbewahrung

Selten ein technisches, fast immer ein Abgrenzungsproblem: handels- und steuerrechtliche Aufbewahrungspflichten gegen die Löschpflicht, je Datenart verschieden. A.8.10 löscht Informationen — welche wann, sagt die Maßnahme nicht.

Art. 35

Datenschutz-Folgenabschätzung

Verlangt bei voraussichtlich hohem Risiko für die Rechte und Freiheiten natürlicher Personen. Bewertet wird das Risiko für die betroffene Person, nicht für das Unternehmen — und kein einmaliges Dokument: erforderlichenfalls ist erneut zu prüfen, wenn sich das Risiko ändert.

Art. 44–49

Drittlandtransfer

Ohne Angemessenheitsbeschluss braucht es geeignete Garantien, meist Standarddatenschutzklauseln. Dass zusätzlich das Recht des Ziellandes zu prüfen ist, folgt aus Schrems II und den EDSA-Empfehlungen 01/2020. Ein ISMS registriert den Anbieterwechsel — die Rechtsfolge zieht es nicht.

Und eine Rolle, die das ISMS nicht kennt

Der Datenschutzbeauftragte — die Rolle ist nicht das System

Unter den Voraussetzungen des Artikels 37 Absatz 1 DSGVO ist ein Datenschutzbeauftragter zu benennen; in Deutschland tritt § 38 Absatz 1 BDSG hinzu, der unter anderem greift, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung beschäftigt sind.

Nach Artikel 39 Absatz 1 unterrichtet, berät und überwacht ein Datenschutzbeauftragter — er führt nicht den Betrieb und trägt dessen Verantwortung nicht. Die bleibt nach Artikel 24 bei der Geschäftsleitung. Wer eine Bestellung hat und trotzdem keine gepflegten Verzeichnisse, keine angewandten Löschfristen und keine kontrollierten Auftragsverarbeiter, hat die Rolle besetzt und die Arbeit nicht.

Der Vorfall

Zwei Meldeketten, ein Vorfall

Am härtesten berühren sich beide Welten beim Vorfall. Ein verschlüsselter Dateiserver mit Personaldaten ist beides zugleich: ein Sicherheitsvorfall und eine Verletzung des Schutzes personenbezogener Daten.

DatenschutzNIS2
RechtsgrundlageArt. 33 DSGVO§ 32 BSIG
Adressatzuständige Aufsichtsbehördegemeinsame Meldestelle von BSI und BBK
AuslöserVerletzung des Schutzes personenbezogener Daten, außer sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personenerheblicher Sicherheitsvorfall, § 2 Nr. 11 BSIG
Erste Fristunverzüglich, möglichst binnen 72 Stunden nach KenntnisErstmeldung spätestens 24 Stunden nach Kenntniserlangung (Nr. 1)
Weitere Stufenkeine; später nur mit Begründung der Verzögerung72 Stunden (Nr. 2), Zwischenmeldung auf Ersuchen (Nr. 3), Abschlussmeldung binnen eines Monats nach der 72-Stunden-Meldung (Nr. 4)
ZusätzlichBenachrichtigung der Betroffenen bei hohem Risiko, unverzüglich (Art. 34)Fortschrittsmeldung, solange der Vorfall andauert (Abs. 2)
Dokumentationalle Verletzungen, auch die nicht gemeldeten (Art. 33 Abs. 5)Ursache, Abhilfemaßnahmen, Auswirkungen

Drei Feinheiten, die im Betrieb den Unterschied machen

01

Die Monatsfrist im BSIG läuft ab der 72-Stunden-Meldung, nicht ab Kenntnis. Und die Zwischenmeldung ist keine Regelstufe, sondern kommt nur auf Anforderung.

02

Der Auftragsverarbeiter hat keine 72-Stunden-Frist. Artikel 33 Absatz 2 DSGVO verpflichtet ihn, „unverzüglich“ zu melden. Wessen Uhr davon abhängt, ist trotzdem die des Verantwortlichen — die Frist gehört deshalb in den Auftragsverarbeitungsvertrag.

03

Keine Meldung ersetzt die andere. Artikel 35 der NIS2-Richtlinie verpflichtet die Behörden, die Datenschutzaufsicht zu unterrichten, und schließt ein zweites Bußgeld für dasselbe Verhalten aus (§ 61 Abs. 11, § 65 Abs. 11 BSIG). Von der eigenen Meldung nach Artikel 33 DSGVO befreit das nicht.

In den ersten 24 Stunden muss also jemand nicht nur den Vorfall bearbeiten, sondern zwei rechtliche Bewertungen treffen und beide dokumentieren, auch wenn sie negativ ausfallen.

Wie NIS2 im Übrigen wirkt, steht auf unserer NIS2-Seite.

Der Dauerbetrieb

Was Datenschutz jedes Jahr erzeugt

Verzeichnis anlegen, Verträge schließen, Richtlinien schreiben, schulen — das ist Einführungsarbeit. Endlich und abhakbar. Was danach kommt, ist es nicht: „regelmäßig überprüfen“, „erforderlichenfalls aktualisieren“, „unverzüglich“.

Laufend, ohne Termin

  • Das Verzeichnis nachführen — jedes neue Werkzeug ist eine Verarbeitungstätigkeit.
  • Betroffenenanfragen beantworten, Uhr aus Art. 12 Abs. 3 ab Eingang.
  • Meldefähigkeit vorhalten — 72 Stunden, 24 Stunden, auch am Freitagabend.
  • Einwilligungen und Widerrufe in allen Systemen nachhalten.
  • Neue Auftragsverarbeiter aufnehmen: Prüfung, Vertrag, Eintrag, ggf. Drittlandfrage.

Anlassbezogen

  • Eine neue Verarbeitung: Rechtsgrundlage, Zweck, Löschfrist, Verzeichnis, Schwelle für DSFA.
  • Ein Vorfall: zwei Meldeketten, zwei Bewertungen, Doku auch ohne Meldung.
  • Eine Änderung beim Dienstleister: neuer Unterauftragnehmer, Standort, Vertrag — Einspruchsrecht (Art. 28 Abs. 2).
  • Eine Anfrage der Aufsichtsbehörde — ohne Vorlauf.
  • Eine Veränderung im Unternehmen: Zukauf, neue Gesellschaft, neues Land.

Im Jahresrhythmus

  • Die TOM überprüfen — Wirksamkeit bewerten, nicht die Liste lesen (Art. 32 Abs. 1 lit. d).
  • Auftragsverarbeiter kontrollieren: Nachweise, Zertifikate, Berichte, Ergebnis.
  • Löschfristen anwenden — nicht nur beschreiben.
  • Schulen und sensibilisieren, mit Teilnahmenachweis.
  • Folgenabschätzungen aktualisieren (Art. 35 Abs. 11).
  • Der Geschäftsleitung berichten — zugleich das beste Rechenschaftsdokument.

Im Mehrjahresrhythmus

  • Rechtsgrundlagen und Informationstexte neu bewerten.
  • Drittlandtransfers neu bewerten: Beschlüsse, Klauseln, Standorte.
  • Externe Prüfung ansetzen — an die laufenden Zyklen hängen: ISO-27001-Überwachungsaudit, Rezertifizierung, TISAX-Label.

Wie diese Zyklen zueinander stehen, steht auf der Seite zu TISAX und ISO 27001.

Die Kante der Seite

Ein Nachweisbestand, zwei Systeme

Kaum eine dieser Aufgaben ist ausschließlich datenschutzspezifisch. Wirksamkeitsprüfung, Lieferantenbewertung, Schulungsnachweis, Vorfallbearbeitung, Richtlinienpflege, Bericht an die Leitung — dieselben Aufgaben fordern ISO 27001, TISAX und NIS2, in anderer Bezeichnung. Was wirklich nur der Datenschutz fordert, ist die kleinere Hälfte.

Der eine Weg

Zwei getrennte Betriebe

Eine eigene Ablage, ein eigener Kalender, eine eigene Maßnahmenliste. Derselbe Dienstleister zweimal bewertet — einmal als Lieferant, einmal als Auftragsverarbeiter. Dieselbe Schulung zweimal nachgewiesen, derselbe Vorfall zweimal aufgearbeitet. Der Weg, der zu der Frage führt, wer das alles noch machen soll.

Der andere Weg

Ein Nachweis, mehrfach gezählt

Ein Betrieb, in dem ein Nachweis einmal entsteht und über beide Anforderungen hinweg zählt. Die rechtlichen Unterschiede bleiben — sie sind der Grund, warum die Datenschutzseite eigene Fachkenntnis braucht. Aber sie sind kein Grund für eine zweite Organisation.

Genau diesen Betrieb übernimmt VIAMA

Nicht die Einführung, nicht das Projekt: Verzeichnisse pflegen, Nachweise anfordern und prüfen, wiederkehrende Kontrollen terminieren und dokumentieren, Auftragsverarbeiter nachhalten, Löschfristen anwenden, Fristen bei Betroffenenanfragen und Meldungen überwachen, Fachbereiche einbinden, Prüfungen vorbereiten — und Nachweise über ISO 27001, TISAX, NIS2 und Datenschutz hinweg wiederverwenden.

Technologie übernimmt das Wiederkehrende. Menschen übernehmen das Urteil. Entscheidungen und Verantwortung bleiben bei Ihnen — die Verantwortlichkeit nach Artikel 24 DSGVO ist ohnehin nicht übertragbar. Die Arbeit nicht.

Häufige Fragen

Was oft gefragt wird

Zum Schluss

Zwei Auswertungen derselben Organisation — mit unterschiedlichem Maßstab und Adressaten

Datenschutz und Informationssicherheit sind nicht dasselbe, und sie sind auch nicht zwei Welten. Sie sind zwei Auswertungen derselben Organisation, mit unterschiedlichem Maßstab und unterschiedlichem Adressaten.

Der Unterschied zwischen tragbarem und teurem Betrieb liegt nicht in der Verordnung. Er liegt in der Frage, ob dieselbe Kontrolle einmal erhoben wird und zweimal zählt — und ob jemand die Termine hält, wenn gerade nichts brennt.

Wenn Sie das für Ihr Unternehmen durchgehen möchten: ein Erstgespräch, ohne Vorbereitung Ihrerseits.

oder direkt an kontakt@viama.one

Wer bei uns arbeitet, steht auf der Seite Über uns.

© 2026 VIAMA