Sicherheitsartikel der DSGVO (GDPR) im Überblick
Die DSGVO (GDPR) regelt vor allem die rechtmäßige Verarbeitung personenbezogener Daten, doch einige ihrer Artikel sind de facto Sicherheitsanforderungen. Hier zeigt sich, wie sie zu den Frameworks passen, die Security-Teams bereits nutzen.
Die DSGVO (GDPR) ist ein Datenschutzgesetz. Der größte Teil befasst sich damit, ob Sie personenbezogene Daten überhaupt verarbeiten dürfen, wie Sie die Betroffenen darüber informieren und welche Rechte diese haben. Mehrere Artikel begründen jedoch Sicherheitspflichten, und genau dort treffen Security-Teams auf die Verordnung. ControlMapping bildet nur diese Artikel ab: Integrität und Vertraulichkeit (Artikel 5 Abs. 1 Buchst. f), Rechenschaftspflicht (24), Datenschutz durch Technikgestaltung (25), Auftragsverarbeiter (28), Verzeichnisse von Verarbeitungstätigkeiten (30), Sicherheit der Verarbeitung (32), Meldung von Datenschutzverletzungen (33 und 34), Datenschutz-Folgenabschätzungen (35) und Datenschutzbeauftragte (37 bis 39).
Wie ISO 27001 sie abdeckt
Von den 13 GDPR-sicherheitsrelevante Artikel sind 12 (92%) auf etwas in ISO 27001 zugeordnet, 0 sind nur lose verwandt und 1 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →
Fast jeder sicherheitsbezogene DSGVO-Artikel lässt sich auf ISO 27001 abbilden. Ein ISMS liefert risikobasierte Sicherheitsmaßnahmen (Artikel 32), ein Incident-Management, das die Meldung von Datenschutzverletzungen speisen kann (Artikel 33 und 34), Lieferantenkontrollen für Auftragsverarbeiter (Artikel 28) und dokumentierte Verantwortlichkeiten. Der einzige Artikel ohne ISO-Zuordnung ist Artikel 38, die Stellung des Datenschutzbeauftragten. Dabei geht es um Unabhängigkeit und Berichtswege, die ISO 27001 nicht regelt.
Artikel für Artikel
| GDPR | Anforderung | Abgleich | ISO 27001 |
|---|---|---|---|
| Art.5(1)(e) | Principles relating to processing of personal data | Redaktionell | A.5.14A.8.10A.8.11A.5.31 |
| Art.24(1) | Responsibility of the controller | Redaktionell | Clause 6.1.1Clause 6.1.3A.5.37Clause 5.2 |
| Art.25(1) | Data protection by design and by default | Redaktionell | A.8.25A.8.26A.8.28A.8.29 |
| Art.28(1) | Processor | Redaktionell | A.5.19A.5.20A.5.21A.5.22 |
| Art.29 | Processing under the authority of the controller or processor | Redaktionell | A.6.1A.6.4A.8.16 |
| Art.30(1) | Records of processing activities | Redaktionell | A.5.9A.5.11A.7.14 |
| Art.32(1)(a) | Security of processing | Redaktionell | A.8.24A.5.16A.5.18A.5.29 |
| Art.33(1) | Notification of a personal data breach to the supervisory authority | Redaktionell | A.5.5A.5.24A.5.25A.5.26 |
| Art.34(1) | Communication of a personal data breach to the data subject | Redaktionell | A.5.5A.5.26A.6.8Clause 7.4 |
| Art.35(1) | Data protection impact assessment | Redaktionell | Clause 6.1.2Clause 6.1.3 |
| Art.37(1) | Designation of the data protection officer | Redaktionell | A.5.2A.5.4 |
| Art.38 | Position of the data protection officer | Keine Zuordnung in unseren Daten | — |
| Art.39(1) | Tasks of the data protection officer | Redaktionell | A.5.2A.5.4A.6.3Clause 7.3 |
Was die DSGVO über ISO 27001 hinaus verlangt
Auch innerhalb der Sicherheitsartikel geht die DSGVO an einigen Stellen spezifischer vor:
- Fristen für die Meldung von Verletzungen. Die Aufsichtsbehörde ist innerhalb von 72 Stunden nach Kenntnis einer Verletzung des Schutzes personenbezogener Daten zu informieren (Artikel 33), und die betroffenen Personen unverzüglich, wenn das Risiko für sie hoch ist (Artikel 34). ISO verlangt ein Incident-Management, aber keine Meldung an Behörden innerhalb fester Fristen.
- Pseudonymisierung und Verschlüsselung werden in Artikel 32 als zu prüfende Maßnahmen genannt.
- Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Artikel 25) reicht bis in den Aufbau und die Konfiguration von Systemen, nicht nur in deren Absicherung.
- Datenschutz-Folgenabschätzungen (Artikel 35) für Verarbeitungen mit hohem Risiko sind eine Datenschutzbewertung und damit umfassender als eine Sicherheitsrisikobewertung nach ISO.
Die Gegenrichtung
Von den 123 ISO 27001-Anhang-A-Maßnahmen und ISMS-Klauseln sind 47 (38%) auf etwas in GDPR zugeordnet, 47 sind nur lose verwandt und 29 haben keine Zuordnung in unseren Daten. Lückenbericht öffnen →
Von der DSGVO zu ISO 27001 gerichtet sind die meisten Controls aus Anhang A zugeordnet oder lose verwandt, doch das ISMS-Kapitel, die physische Sicherheit und einige technische Controls haben kein Gegenstück in der DSGVO. Die DSGVO verlangt kein Managementsystem und schreibt keine technischen Controls vor; sie fordert Maßnahmen, die dem Risiko angemessen sind, und überlässt die Wahl Ihnen.
Die Überschneidung nutzen
- Behandeln Sie Artikel 32 als Anforderung Ihres ISMS: Führen Sie ihn unter den rechtlichen und vertraglichen Anforderungen (ISO A.5.31) und verweisen Sie aus der Risikobewertung darauf.
- Erweitern Sie den Incident-Prozess um Datenschutzverletzungen: eine Entscheidung darüber, ob gemeldet wird, die 72-Stunden-Frist und Aufzeichnungen über jede Verletzung, gemeldet oder nicht (Artikel 33 Abs. 5).
- Nutzen Sie Lieferantenkontrollen für Auftragsverarbeiter, mit den Vorgaben aus Artikel 28 in den Verträgen.
- Blicken Sie für den Datenschutz über die Sicherheit hinaus: ISO/IEC 27701 erweitert ein ISMS um das Datenschutzmanagement.
Jede DSGVO-Verknüpfung auf dieser Seite ist eine redaktionelle Einschätzung von ControlMapping, da es kein offizielles Crosswalk gibt. Der Vergleich ISO 27001 vs. GDPR und die GDPR-Framework-Seite listen jede Zuordnung mit ihrer Begründung auf, und die Lückenanalyse exportiert sie.
Fragen
Was verlangt Artikel 32 der DSGVO (GDPR)?
Sicherheit der Verarbeitung: geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau, gegebenenfalls einschließlich Pseudonymisierung und Verschlüsselung, der dauerhaften Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste, der raschen Wiederherstellung nach einem Zwischenfall sowie eines Verfahrens zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen.
Macht Sie ISO 27001 nach der DSGVO (GDPR) konform?
Nein. Die Norm unterstützt die Sicherheitspflichten, besonders Artikel 32, doch die DSGVO (GDPR) verlangt zusätzlich eine Rechtsgrundlage, Transparenz, die Rechte der betroffenen Personen und vieles mehr, was ISO 27001 nicht abdeckt.
Datenstand 2026-10-27: Die Zahlen in diesem Beitrag werden aus dem aktuellen Crosswalk berechnet und aktualisieren sich, sobald dieser geändert wird. Crosswalk eine veröffentlichte Crosswalk (NIST, ENISA, CIS, PCI SSC) stellt die Verbindung her · Redaktionell Einschätzung von ControlMapping, wo kein Crosswalk existiert; die Begründung wird angezeigt · teilt nur ein CSF-2.0-Ergebnis: einer Prüfung wert, aber keine Zuordnung · Keine Zuordnung in unseren Daten In unseren Daten nichts zugeordnet; oft neue Arbeit, aber prüfen Sie die Hinweise zur Abdeckung. Keine Compliance-Beratung.
Verwandte Beiträge
Analyse · 2026-10-27CPS 234 und ISO 27001: Was das ISMS abdeckt und was APRA ergänztEin ISO-27001-ISMS deckt nahezu jeden Absatz der CPS 234 der APRA ab, dennoch ergänzt die APRA Pflichten des Vorstands, Zusicherungen durch Dritte und strenge Meldefristen.
Analyse · 2026-10-27Cyber Essentials vs. Essential Eight: Zwei nationale Baselines im VergleichDas britische Cyber Essentials und das australische Essential Eight zielen beide auf gängige Angriffe ab, decken aber unterschiedliche Bereiche ab. Was sich überschneidet, was nicht und warum.
Analyse · 2026-10-27DORA vs NIS2: Was ein NIS2-Programm bereits abdecktDORA und NIS2 teilen den größten Teil ihrer Sicherheitsinhalte, doch DORA ergänzt ein Register, Vertragsklauseln und bedrohungsorientierte Tests. Artikel für Artikel: Was sich übertragen lässt.