ISO 27701 und DSGVO: was ist der Unterschied?
Die DSGVO ist ein EU-Gesetz, das jede Organisation einhalten muss, die personenbezogene Daten von Menschen in der EU verarbeitet; Bußgelder reichen bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes. ISO/IEC 27701:2025 ist eine freiwillige internationale Norm für ein Datenschutz-Managementsystem, das zertifiziert werden kann. Beide ergänzen sich: ISO 27701 liefert das System (Rollen, Risikobeurteilung, Maßnahmen, Aufzeichnungen, Audits), um die DSGVO-Einhaltung zu ordnen und nachzuweisen, aber eine Zertifizierung allein belegt nicht, dass Sie die DSGVO einhalten.
Direkter Vergleich
| DSGVO | ISO/IEC 27701:2025 | |
|---|---|---|
| Was es ist | EU-Verordnung (Gesetz) | Internationale Managementsystemnorm |
| Pflicht? | Ja, wenn sie auf Sie anwendbar ist | Nein, freiwillig |
| Wer prüft | Datenschutzaufsichtsbehörden und Gerichte | Zertifizierungsstellen (Audits) |
| Ergebnis | Einhaltung oder Sanktionen | Zertifikat mit drei Jahren Gültigkeit und Überwachungsaudits |
| Geltungsbereich | EU und alle, die Menschen in der EU ansprechen (das Vereinigte Königreich hat die eigene UK GDPR) | Jede Organisation in jedem Land, als Verantwortlicher und/oder Auftragsverarbeiter |
| Inhalt | Grundsätze, Rechtsgrundlagen, Rechte, Pflichten, Meldung von Datenpannen, Übermittlungen, Bußgelder | Abschnitte 4 bis 10 plus 78 Referenzmaßnahmen (A.1 Verantwortliche, A.2 Auftragsverarbeiter, A.3 Sicherheit) |
Wo sie sich überschneiden
| Thema | DSGVO-Artikel | ISO/IEC 27701:2025 |
|---|---|---|
| Grundsätze und Rechenschaftspflicht | 5, 24 | Abschnitte 4 bis 10, Tabelle A.1 |
| Rechtsgrundlage und Einwilligung | 6, 7 | A.1 Bedingungen für Erhebung und Verarbeitung |
| Transparenz und Rechte | 12 bis 22 | A.1 Pflichten gegenüber betroffenen Personen |
| Datenschutz durch Technikgestaltung und Voreinstellungen | 25 | A.1 und A.2 Datenschutz durch Technikgestaltung |
| Auftragsverarbeiter und Verträge | 28, 29 | A.1 und A.2 Verträge und Weisungen |
| Verzeichnis von Verarbeitungstätigkeiten | 30 | A.1 und A.2 Verzeichnisse |
| Sicherheit und Datenpannen | 32 bis 34 | A.3 Sicherheit personenbezogener Daten |
| Datenschutz-Folgenabschätzung | 35 | A.1 Folgenabschätzung |
| Übermittlungen | 44 bis 49 | A.1 und A.2 Übermittlungen und Offenlegungen |
Die Artikelnummern dienen nur zur Orientierung. Prüfen Sie den offiziellen Text beider Dokumente.
ISO 27701 Toolkit: Dokumentation für Ihr Datenschutz-Managementsystem
34 Word-Dokumente · 14 Excel-Werkzeuge · 78 Maßnahmen aus Anhang A
Zum ISO 27701 Toolkit mit DSGVO-AnhangWas ISO 27701 allein nicht abdeckt
- Genaue gesetzliche Fristen (72 Stunden für die Meldung von Datenpannen, ein Monat für Anfragen) und ihre Ausnahmen: Schreiben Sie sie in Ihre Verfahren.
- Rechtliche Entscheidungen wie die Wahl der Rechtsgrundlage, die Abwägung berechtigter Interessen oder ob Sie einen Datenschutzbeauftragten oder einen Vertreter in der EU brauchen.
- Länderspezifische Regeln (zum Beispiel das BDSG in Deutschland, die Änderungen der UK GDPR 2025 oder nationale Regeln zum Beschäftigtendatenschutz).
- Bußgelder und die Auslegung der Behörden: Eine Zertifizierung schützt nicht vor Aufsichtsmaßnahmen.
So nutzen Sie beide zusammen
- 1. ISO 27701 als Managementsystem einführen und die DSGVO in die rechtlichen Anforderungen aufnehmen.
- 2. Jeden relevanten DSGVO-Artikel einer Maßnahme und einem Dokument zuordnen (eine Gegenüberstellung).
- 3. Lücken mit DSGVO-spezifischen Vorlagen schließen: Abwägung berechtigter Interessen, Meldung von Datenpannen, Datenschutzbeauftragter und Vertreter, Bewertung von Übermittlungen.
- 4. Beides prüfen: interne Audits nach ISO 27701 und regelmäßige rechtliche Prüfung gegen die DSGVO.
Nächster Schritt
Kostenlos testen oder direkt zur vollständigen Lösung.
ISO 27701 Toolkit: Dokumentation für Ihr Datenschutz-Managementsystem
34 Word-Dokumente · 14 Excel-Werkzeuge · 78 Maßnahmen aus Anhang A
Zum ISO 27701 Toolkit mit DSGVO-Anhang
Kostenloses Muster
Laden Sie kostenlos eine reduzierte Version der Risikomatrix aus dem Toolkit herunter (Excel, 10 Szenarien, Heatmap; Probe auf Englisch). Sehen Sie, wie Risikoniveau und Kategorie berechnet werden, bevor Sie sich entscheiden.
Kostenlose Probe herunterladen (Englisch)Häufige Fragen
Belegt eine ISO-27701-Zertifizierung die DSGVO-Konformität?
Nein. Sie ist ein starker Nachweis für ein gesteuertes Datenschutzprogramm, aber die Einhaltung hängt davon ab, jede gesetzliche Pflicht zu erfüllen; das beurteilen die Behörden.
Brauche ich ISO 27701, um die DSGVO einzuhalten?
Nein. Die DSGVO verlangt keine Zertifizierung. ISO 27701 ist ein Weg, die Einhaltung zu ordnen und nachzuweisen.
Ist ISO 27701 ein Zertifizierungsverfahren nach Artikel 42 DSGVO?
Nicht automatisch. Zertifizierungen nach Artikel 42 müssen von Behörden oder dem Europäischen Datenschutzausschuss genehmigt werden; eine ISO-27701-Zertifizierung ist eine private Managementsystem-Zertifizierung.
Hilft ISO 27701 bei Gesetzen außerhalb der EU?
Ja. Die Maßnahmen sind gesetzesneutral, sodass dasselbe System Nachweise für die UK GDPR, US-Bundesstaatengesetze, das brasilianische LGPD oder das chilenische Gesetz 21.719 ordnen kann.
Verwandte Leitfäden
ISO 27001 Pflichtdokumente: Liste nach Kapiteln
Welche dokumentierten Informationen ISO/IEC 27001:2022 verlangt – Kapitel für Kapitel (Anwendungsbereich, Leitlinie, Risiken, Erklärung zur Anwendbarkeit, Ziele, Audit, Managementbewertung) – und welche Dokumente für Anhang A üblich sind.
Leitfaden lesen →ISO 27701:2025: was neu ist und was jetzt zu tun ist
ISO/IEC 27701:2025 ist jetzt eine eigenständige Managementsystemnorm für Datenschutz. Was sich gegenüber 2019 geändert hat, der neue Anhang A (78 Maßnahmen), Übergangsfristen und die nächsten Schritte.
Leitfaden lesen →ISO 27701:2025 Pflichtdokumente
Welche dokumentierte Information ISO/IEC 27701:2025 für ein Datenschutz-Managementsystem verlangt: Geltungsbereich, Richtlinie, Risiken, Erklärung zur Anwendbarkeit, Aufzeichnungen und Nachweise, jeweils mit Abschnitt.
Leitfaden lesen →Aktualisiert: 2026-10-24