NORMATIVO

DSGVO - Datenschutz-Grundverordnung

Datenschutz rechtssicher nachweisen:  Die Symbiose aus DSGVO und ISO/IEC 27701

Während die europäische Datenschutz-Grundverordnung (DSGVO) den rechtlichen Rahmen für den Schutz personenbezogener Daten unmissverständlich vorgibt, lässt sie Unternehmen bei einer entscheidenden Frage oft allein: Wie setze ich diese Vorgaben in der täglichen Praxis technisch und organisatorisch fehlerfrei um?
 
Genau hier schließt die ISO/IEC 27701 die Lücke. Als internationaler Standard für das Datenschutz-Managementsystem (PIMS) übersetzt sie die komplexen Paragrafen der DSGVO in konkrete, prüfbare Prozesse.

Was fordert die DSGVO? (Das rechtliche "Was")
Die DSGVO verlangt von Unternehmen den lückenlosen Schutz von Kundendaten, Mitarbeiterdaten und Partnerinformationen. Das Gesetz droht bei Verstößen mit empfindlichen Bußgeldern (bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes) und fordert:
  • Rechenschaftspflicht (Accountability): Sie müssen jederzeit nachweisen können, dass Sie datenschutzkonform handeln.
  • Privacy by Design & by Default: Datenschutz muss bereits bei der Entwicklung von Systemen und in den Standardeinstellungen verankert sein. 
  • Sicherheit der Verarbeitung: Angemessene technische und organisatorische Maßnahmen (TOM) zum Schutz der Daten vor Verlust oder Diebstahl.
Was liefert die ISO 27701? (Das praktische "Wie")
Die ISO 27701:2025 folgt der modernen Harmonized Structure der ISO und liefert den exakten, globalen Fahrplan, um die gesetzlichen Anforderungen der DSGVO strukturiert zu erfüllen:
  • Präzise Rollentrennung: Der Standard enthält maßgeschneiderte, klare Kontrollen (Annex A), je nachdem, ob Ihr Unternehmen als Verantwortlicher (Controller) oder als Auftragsverarbeiter (Processor) agiert.
  • Garantierte Betroffenenrechte: Feste Prozesse für den Umgang mit Auskunftsbegehren, Datenlöschungen („Recht auf Vergessenwerden“) oder Datenübertragungen werden nahtlos ins Tagesgeschäft integriert.
  • Risikobasiertes Denken: Sie fordert systematische Datenschutz-Folgenabschätzungen (DSFA) für risikoreiche Datenverarbeitungen direkt auf Führungsebene.
  • Integrierter Basisschutz: Um standalone zu funktionieren, bringt die Norm 29 eigene, verpflichtende Sicherheitsmaßnahmen direkt im Regelwerk mit, um Datenlecks auch ohne separates ISMS technisch zu blockieren
Der entscheidende Vorteil auf dem Markt und im Audit
Egal, ob Sie die ISO 27701 als Standalone-Zertifizierung nutzen oder sie effizient mit einer bestehenden ISO 27001 oder ISO 9001 kombinieren – die Vorteile sind unschlagbar: 
 
  1. Unumstößliche Rechenschaftspflicht: Das ISO-Zertifikat ist gegenüber Datenschutzbehörden und Wirtschaftsprüfern der stärkste, international anerkannte Beweis, dass Sie die Rechenschaftspflicht der DSGVO (Art. 5 Abs. 2) proaktiv und lückenlos erfüllen.
  2. Wettbewerbsvorteil im B2B-Geschäft: Großkonzerne und öffentliche Auftraggeber fordern im Rahmen des Risikomanagements der Lieferkette immer häufiger den Nachweis einer ISO 27701, bevor sie Auftragsdaten verarbeiten lassen.
  3. Schutz vor Haftung: Durch die regelmäßige, unabhängige Auditierung der Prozesse minimieren Sie das Risiko von Datenpannen drastisch und schützen die Geschäftsführung vor persönlicher Haftung oder Organisationsverschulden.
Was versteht man unter dateschutzkonformen handeln
Datenschutzkonformes Handeln nach der Datenschutz-Grundverordnung (DSGVO) bedeutet, dass jegliche Verarbeitung personenbezogener Daten im Einklang mit den gesetzlichen Vorgaben der Europäischen Union erfolgt.
 
Es basiert auf dem Prinzip des Verbots mit Erlaubnisvorbehalt, was bedeutet, dass die Erhebung und Nutzung von Daten grundsätzlich verboten ist, es sei denn, ein Gesetz erlaubt es ausdrücklich oder die betroffene Person willigt freiwillig ein.
 
Die 7 Grundsätze datenschutzkonformen Handelns
Wer datenschutzkonform handelt, muss im Arbeitsalltag die sieben Grundprinzipien des Artikel 5 DSGVO strikt beachten:
  • Rechtmäßigkeit, Transparenz, Treu und Glauben: Datenverarbeitung benötigt eine gültige Rechtsgrundlage (z. B. Vertragserfüllung oder Einwilligung). Der Betroffene muss genau wissen, was mit seinen Daten geschieht. 
  • Zweckbindung: Daten dürfen nur für den konkreten, vorab festgelegten Zweck erhoben werden (z. B. E-Mail-Adresse nur für den Newsletter-Versand).
  • Datenminimierung: Es dürfen nur so viele Daten erhoben werden, wie für den Zweck absolut notwendig sind. 
  • Richtigkeit: Personenbezogene Daten müssen sachlich richtig und aktuell gehalten werden.
  • Speicherbegrenzung: Daten müssen gelöscht oder anonymisiert werden, sobald der Zweck erfüllt ist und keine gesetzlichen Aufbewahrungsfristen mehr gelten. 
  • Integrität und Vertraulichkeit: Daten müssen durch technische und organisatorische Maßnahmen (TOM) – wie Verschlüsselung, starke Passwörter und Zugriffsbeschränkungen – vor Verlust und Missbrauch geschützt werden. 
  • Rechenschaftspflicht: Unternehmen müssen die Einhaltung all dieser Regeln jederzeit schriftlich nachweisen können (z. B. durch ein Verzeichnis von Verarbeitungstätigkeiten).

  
Was sind personenbezogene Daten?
Der Schutz greift bei allen Daten, die Rückschlüsse auf eine lebende, natürliche Person zulassen. Dazu gehören laut DSGVO-Begriffsbestimmungen unter anderem Name, Anschrift, E-Mail-Adresse, Telefonnummer, IP-Adressen, Standortdaten, Kundennummern und Kfz-Kennzeichen. 
  
Konkrete Pflichten im Alltag
Um datenschutzkonform zu agieren, müssen Organisationen und Mitarbeiter im Alltag bestimmte Abläufe einhalten: 
  1. Datenschutzerklärungen bereitstellen: Kunden und Nutzer müssen transparent informiert werden.
  2. Einwilligungen (Opt-in) einholen: Bei Formularen, Cookies oder Marketing-Aktionen müssen Nutzer aktiv zustimmen.
  3. Betroffenenrechte wahren: Anfragen auf Auskunft, Berichtigung oder Löschung von Daten müssen zügig beantwortet werden.
  4. Auftragsverarbeitungsverträge (AVV) schließen: Bei der Weitergabe von Daten an externe Dienstleister (z. B. Cloud-Anbieter) sind Verträge gesetzlich vorgeschrieben.
  5. Datenpannen melden: Verletzungen des Datenschutzes müssen innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden
Opt-In oder Double-Opt-In
Opt-In und Double Opt-In sind Verfahren im Onlinemarketing und Datenschutz, mit denen Nutzer ihre ausdrückliche Einwilligung zur Zusendung von Werbung oder Newslettern geben. Sie stellen sicher, dass Unternehmen Verbraucher nicht unerwünscht kontaktieren (Spam-Schutz) und erfüllen die strengen Vorgaben der DSGVO.
 
Hier sind die Unterschiede und Funktionsweisen im Detail:
 - Was ist das Opt-In-Verfahren?
Beim einfachen Opt-In (auch Single Opt-In) trägt ein Nutzer seine Daten in ein Formular ein und bekundet damit sein Interesse. 
    • Der Ablauf: Der Nutzer trägt seine E-Mail-Adresse auf einer Website ein und klickt auf „Abonnieren“. Ab diesem Moment ist er im Verteiler und erhält Werbe-E-Mails.
    • Das Problem: Es gibt keine Identitätsprüfung. Jeder kann die E-Mail-Adresse einer fremden Person eintragen, was zu ungewolltem Spam führt. 
    • Rechtliche Lage: Ein einfaches Opt-In reicht im deutschen und europäischen Recht für den Newsletter-Versand nicht aus, da Unternehmen im Streitfall nicht beweisen können, dass der tatsächliche Inhaber der E-Mail-Adresse zugestimmt hat.

 - Was ist das Double Opt-In-Verfahren (DOI)?
Das Double Opt-In ist ein zweistufiges Bestätigungsverfahren und der aktuelle rechtliche Standard für datenschutzkonformes E-Mail-Marketing.
    • Schritt 1: Der Nutzer trägt seine E-Mail-Adresse in das Anmeldeformular ein.
    • Schritt 2: Das System sendet automatisch eine Bestätigungs-E-Mail an diese Adresse. Diese Mail enthält einen individuellen Aktivierungslink (oft mit dem Text: "Bitte bestätigen Sie Ihre Anmeldung").
    • Schritt 3: Erst wenn der Empfänger aktiv auf diesen Link klickt, wird die Einwilligung wirksam und die Adresse in den aktiven Werbeverteiler aufgenommen. Reagiert der Nutzer nicht, wird die Adresse nach einer Frist gelöscht.

Warum ist das Double Opt-In unter der DSGVO Pflicht?
Die DSGVO fordert in Artikel 7 eine Nachweispflicht (Rechenschaftspflicht) für Einwilligungen. Unternehmen müssen jederzeit lückenlos beweisen können, dass der Inhaber der E-Mail-Adresse der Zusendung von Werbung zugestimmt hat.
Beim Double Opt-In protokolliert das System dafür im Hintergrund:
    • Den Zeitstempel der Erstanmeldung
    • Den Zeitstempel des Klicks auf den Bestätigungslink
    • Die IP-Adresse, über die die Bestätigung erfolgte
    • Den genauen Einwilligungstext, den der Nutzer gesehen hat.

Wichtig für die Praxis
Die Bestätigungs-E-Mail beim Double Opt-In darf selbst noch keine Werbung (wie Logos, Angebote oder Slogans) enthalten. Sie gilt rechtlich als rein funktionale System-E-Mail und dient ausschließlich der Verifizierung. Enthält sie bereits Werbung und der Nutzer hat das DOI noch nicht abgeschlossen, kann dies als abmahnfähiger Spam gewertet werden.
Sind Ihre Prozesse rechtssicher für das nächste ISO-Audit?
Die Verknüpfung von gesetzlichen Vorgaben und ISO-Standards ist komplex. Ein einziger Fehler bei den Compliance-Nachweisen kann das Zertifikat gefährden oder zu Haftungsrisiken für die Geschäftsführung führen.
 
Machen Sie Ihr Unternehmen auditsicher. 
Haben Sie Fragen zu den gesetzlichen Anforderungen für Ihre ISO 9001 oder ISO 27001 Zertifizierung? Sichern Sie sich jetzt Ihr unverbindliches Erstgespräch. Gemeinsam prüfen wir Ihre Compliance-Struktur und bereiten Sie optimal auf das Audit vor.
Kontaktieren Sie uns für eine unverbindliche Erstberatung oder eine strukturierte GAP-Analyse.