Datenschutzberatung ist nicht nur DSGVO

Datenschutz schützt Menschen und schafft Verlässlichkeit

Datenschutz regelt, wie personenbezogene Daten erhoben, verwendet, gespeichert, weitergegeben und gelöscht werden dürfen.

Dabei geht es nicht darum, Datenverarbeitung zu verhindern. Es geht darum, sie rechtmäßig, zweckgebunden, transparent und sicher zu gestalten und die Rechte der betroffenen Personen zu gewährleisten. Diese Grundsätze bilden den Kern der Datenschutz-Grundverordnung.

Ein gut aufgebauter Datenschutz schafft:

• nachvollziehbare Prozesse
• klare Entscheidungsgrundlagen
• Schutz vor vermeidbaren Risiken
• Vertrauen bei Kunden und Mitarbeitenden
• Sicherheit beim Einsatz neuer Systeme und Dienstleister

Vom tatsächlichen Ablauf zur passenden Datenschutzstruktur

1. Ausgangslage erfassen

Wir betrachten ihr Unternehmen, ihre Geschäftsprozesse, die vorhandenen Systeme und den aktuellen Stand Ihrer Datenschutzdokumentation.

Dabei wird geklärt, welche Bereiche bereits gut aufgestellt sind und wo noch Handlungsbedarf besteht.

2. Datenverarbeitungen sichtbar machen

Wir erfassen, welche personenbezogenen Daten verarbeitet werden, zu welchen Zwecken dies geschieht und wie die Daten durch Ihr Unternehmen fließen.

Dazu betrachten wir beispielsweise:

• Kundendaten
• Beschäftigtendaten
• Bewerberdaten
• Lieferanten- und Geschäftspartnerdaten
• Website, Formulare und Newsletter
• Cloud-Dienste und externe Software
• Auftragsverarbeiter und weitere Empfänger

3. Rechtliche Grundlagen prüfen

Die einzelnen Datenverarbeitungen werden rechtlich eingeordnet.

Dabei prüfen wir unter anderem:

• Zweck und Rechtsgrundlage
• Informationspflichten
• Einwilligungen
• Aufbewahrungs- und Löschfristen
• Auftragsverarbeitung
• Drittlandübermittlungen
• Rechte betroffener Personen

4. Schutz und Risiken bewerten

Wir betrachten die technischen und organisatorischen Schutzmaßnahmen und prüfen, welche Risiken für die betroffenen Personen entstehen können.

Falls eine Verarbeitung voraussichtlich ein hohes Risiko verursacht, wird geprüft, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

5. Handlungsbedarf einordnen

Sie erhalten keine pauschale Liste mit möglichst vielen Aufgaben.

Stattdessen wird nachvollziehbar dargestellt:

• was bereits vorhanden und ausreichend ist
• was angepasst werden sollte
• welche Maßnahmen besonders wichtig sind
• was zu einem späteren Zeitpunkt umgesetzt werden kann
• wo aktuell kein zusätzlicher Aufwand notwendig ist

6. Maßnahmenplan entwickeln

Aus der Analyse entsteht ein realistischer Plan für ihr Unternehmen.

Die Maßnahmen werden auf ihre tatsächlichen Prozesse, ihre Unternehmensgröße und ihren Bedarf abgestimmt.

7. Umsetzung begleiten

Auf Wunsch begleite ich sie bei der Erstellung, Anpassung und Einführung der erforderlichen Unterlagen und Abläufe.

Dazu können auch Schulungen, regelmäßige Überprüfungen und eine laufende Datenschutzbetreuung gehören.

Was die Datenschutzberatung umfassen kann

Je nach Ausgangslage und Auftrag gehören dazu beispielsweise:

• Datenschutz-Bestandsaufnahme
• Datenschutz-Audit
• Verzeichnis von Verarbeitungstätigkeiten
• Prüfung von Rechtsgrundlagen
• Datenschutzinformationen
• Einwilligungs- und Widerspruchslösungen
• Verträge zur Auftragsverarbeitung
• Prüfung von Auftragsverarbeitern
• Prüfung von Drittlandübermittlungen
• technische und organisatorische Maßnahmen
• Lösch- und Aufbewahrungskonzepte
• Datenschutz-Folgenabschätzungen
• Risikoanalysen
• Verfahren für Betroffenenanfragen
• Prozesse für Datenschutzverletzungen
• Beschäftigtendatenschutz
• Prüfung von Websites, Formularen und digitalen Diensten
• Schulungen für Mitarbeitende
• laufende Beratung und regelmäßige Überprüfung

Rechtliche Grundlagen

Datenschutz beruht auf einem Zusammenspiel europäischer, nationaler, landesrechtlicher und branchenspezifischer Vorschriften.

Welche Regelungen für ein Unternehmen tatsächlich gelten, hängt unter anderem von seiner Rechtsform, seiner Branche, seinen Beschäftigten, den verarbeiteten Daten und den eingesetzten Systemen ab.

Europäische und verfassungsrechtliche Grundlagen

Charta der Grundrechte der Europäischen Union

Artikel 7 schützt das Privat- und Familienleben, die Wohnung und die Kommunikation. Artikel 8 enthält ein eigenständiges Grundrecht auf den Schutz personenbezogener Daten. Personenbezogene Daten dürfen nur für festgelegte Zwecke und auf einer rechtmäßigen Grundlage verarbeitet werden.

Grundgesetz

Das Grundgesetz bildet die verfassungsrechtliche Grundlage des Datenschutzes in Deutschland.

Aus der Menschenwürde nach Artikel 1 Absatz 1 GG und dem Recht auf freie Entfaltung der Persönlichkeit nach Artikel 2 Absatz 1 GG hat das Bundesverfassungsgericht das Recht auf informationelle Selbstbestimmung entwickelt. Dieses schützt grundsätzlich die Befugnis des Menschen, selbst über die Preisgabe und Verwendung seiner personenbezogenen Daten zu bestimmen.

Je nach Verarbeitung können außerdem weitere Grundrechte eine Rolle spielen, beispielsweise:

• Artikel 3 GG: Gleichbehandlung
• Artikel 5 GG: Meinungs- und Informationsfreiheit
• Artikel 10 GG: Brief-, Post- und Fernmeldegeheimnis
• Artikel 13 GG: Unverletzlichkeit der Wohnung

Zentrale Datenschutzvorschriften

Datenschutz-Grundverordnung

Die DSGVO ist die zentrale europäische Grundlage für die Verarbeitung personenbezogener Daten.

Sie regelt insbesondere:

• Grundsätze der Datenverarbeitung
• Rechtsgrundlagen und Einwilligungen
• Informationspflichten
• Rechte betroffener Personen
• Auftragsverarbeitung
• gemeinsame Verantwortlichkeit
• Drittlandübermittlungen
• technische und organisatorische Maßnahmen
• Datenschutz-Folgenabschätzungen
• Datenschutzverletzungen
• Rechenschafts- und Dokumentationspflichten

Die DSGVO gilt unmittelbar in allen Mitgliedstaaten der Europäischen Union.

Bundesdatenschutzgesetz

Das BDSG ergänzt und konkretisiert die DSGVO in Deutschland.

Es enthält unter anderem Regelungen zu:

• öffentlichen und nichtöffentlichen Stellen
• Datenschutzbeauftragten
• Beschäftigtendaten
• Videoüberwachung
• besonderen Verarbeitungssituationen
• Befugnissen der Datenschutzaufsichtsbehörden
• Ordnungswidrigkeiten und Sanktionen

Für Unternehmen ist insbesondere § 26 BDSG zur Verarbeitung personenbezogener Daten im Beschäftigungsverhältnis von Bedeutung.

Landesdatenschutzgesetze

Neben dem BDSG bestehen in allen Bundesländern eigene Landesdatenschutzgesetze.

In Baden-Württemberg ist dies das Landesdatenschutzgesetz Baden-Württemberg – LDSG BW. Die Landesdatenschutzgesetze gelten vor allem für öffentliche Stellen des jeweiligen Landes, Gemeinden, Landkreise und andere landesrechtlich organisierte öffentliche Einrichtungen.

Für gewöhnliche privatwirtschaftliche Unternehmen gilt grundsätzlich das BDSG. Ein Landesdatenschutzgesetz kann jedoch relevant werden, wenn ein Unternehmen Aufgaben für eine öffentliche Stelle wahrnimmt, mit öffentlichen Einrichtungen zusammenarbeitet oder einer besonderen landesrechtlichen Regelung unterliegt.

Websites, Telekommunikation und digitale Dienste

Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz

Das TDDDG schützt die Vertraulichkeit der Kommunikation und die Privatsphäre bei Telekommunikation und digitalen Diensten.

Für Webseiten ist insbesondere § 25 TDDDG wichtig. Die Vorschrift betrifft das Speichern von Informationen auf Endgeräten und den Zugriff auf bereits gespeicherte Informationen. Dazu gehören beispielsweise Cookies, Tracking-Technologien und vergleichbare Verfahren.

Die frühere Bezeichnung TTDSG wurde durch TDDDG ersetzt.

Datenschutzrichtlinie für elektronische Kommunikation

Die Richtlinie 2002/58/EG, häufig als ePrivacy-Richtlinie bezeichnet, bildet den europäischen Rahmen für Datenschutz und Privatsphäre in der elektronischen Kommunikation.

Sie betrifft unter anderem:

• Vertraulichkeit der Kommunikation
• Verkehrs- und Standortdaten
• Cookies und vergleichbare Technologien
• elektronische Direktwerbung
• öffentliche Kommunikationsnetze und -dienste

In Deutschland werden wesentliche Anforderungen insbesondere durch das TDDDG und weitere Spezialgesetze umgesetzt.

Digitale-Dienste-Gesetz

Das DDG enthält insbesondere Anforderungen an Anbieter digitaler Dienste. Dazu gehören beispielsweise bestimmte Informations- und Erreichbarkeitspflichten für geschäftsmäßige Onlineangebote.

Das DDG ist kein reines Datenschutzgesetz, muss bei Webseiten und digitalen Geschäftsmodellen jedoch häufig gemeinsam mit DSGVO und TDDDG berücksichtigt werden.

Telekommunikationsgesetz

Das TKG enthält besondere Vorschriften für Anbieter von Telekommunikationsnetzen und Telekommunikationsdiensten.

Es ist daher insbesondere für Telekommunikationsunternehmen, Internetzugangsdienste und bestimmte Kommunikationsdienste relevant.

Beschäftigtendatenschutz und Mitbestimmung

§ 26 Bundesdatenschutzgesetz

§ 26 BDSG regelt die Verarbeitung personenbezogener Daten für Zwecke des Beschäftigungsverhältnisses.

Dazu gehören beispielsweise:

• Bewerbungsverfahren
• Begründung und Durchführung des Arbeitsverhältnisses
• Personalverwaltung
• Arbeitszeit- und Leistungsdaten
• Beendigung des Beschäftigungsverhältnisses
• interne Ermittlungen

Betriebsverfassungsgesetz

Besteht ein Betriebsrat, können bei der Einführung technischer Systeme Beteiligungs- und Mitbestimmungsrechte entstehen.

Besonders relevant ist § 87 Absatz 1 Nummer 6 BetrVG, wenn technische Einrichtungen geeignet oder dazu bestimmt sind, Verhalten oder Leistung von Beschäftigten zu überwachen. Das kann auch Software, KI-Systeme, Zeiterfassung oder Auswertungssysteme betreffen.

Allgemeines Gleichbehandlungsgesetz

Das AGG schützt Beschäftigte und Bewerber vor Benachteiligungen aufgrund gesetzlich geschützter Merkmale.

Es ist insbesondere zu berücksichtigen, wenn Daten oder automatisierte Systeme für Bewerberauswahl, Personalentscheidungen, Leistungsbewertungen oder vergleichbare Prozesse eingesetzt werden.

Werbung und Kundenkommunikation

Gesetz gegen den unlauteren Wettbewerb

§ 7 UWG enthält Anforderungen an Werbung per Telefon, E-Mail, Messenger, Fax und anderen elektronischen Kommunikationsmitteln.

Bei Werbung per elektronischer Post ist grundsätzlich eine vorherige ausdrückliche Einwilligung erforderlich, sofern keine gesetzliche Ausnahme greift.

Neben dem UWG müssen gleichzeitig die datenschutzrechtlichen Anforderungen der DSGVO eingehalten werden.

Bilder, Tonaufnahmen und Persönlichkeitsrechte

Kunsturhebergesetz

Die §§ 22 und 23 KunstUrhG enthalten Regelungen zur Veröffentlichung und öffentlichen Darstellung von Bildnissen.

Grundsätzlich dürfen erkennbare Personen nur mit ihrer Einwilligung veröffentlicht werden, soweit keine gesetzliche Ausnahme greift. Zusätzlich ist regelmäßig die DSGVO zu berücksichtigen.

Strafgesetzbuch

Je nach Sachverhalt können auch strafrechtliche Vorschriften relevant sein, beispielsweise:

• § 201 StGB: Verletzung der Vertraulichkeit des Wortes
• § 201a StGB: Verletzung des höchstpersönlichen Lebensbereichs durch Bildaufnahmen
• §§ 202a ff. StGB: Ausspähen und Abfangen von Daten
• § 203 StGB: Verletzung von Privatgeheimnissen
• § 303a StGB: Datenveränderung
• § 303b StGB: Computersabotage
• § 203 StGB ist besonders für Berufsgeheimnisträger wie Ärzte, Rechtsanwälte, Steuerberater, Psychotherapeuten und bestimmte Beratungsstellen relevant.

Aufbewahrung und Löschung

Handelsgesetzbuch und Abgabenordnung

Datenschutzrechtliche Löschpflichten müssen mit gesetzlichen Aufbewahrungspflichten abgestimmt werden.

Wichtige Grundlagen sind insbesondere:

• § 257 HGB für handelsrechtliche Unterlagen
• § 147 AO für steuerlich relevante Unterlagen
• § 14b UStG für bestimmte Rechnungsunterlagen

Daten dürfen daher nicht pauschal sofort gelöscht werden, wenn gesetzliche Aufbewahrungspflichten entgegenstehen. Nach Ablauf der jeweiligen Frist muss geprüft werden, ob die weitere Speicherung noch erforderlich und rechtmäßig ist.

Sozial- und Gesundheitsdaten

Zehntes Buch Sozialgesetzbuch

Das SGB X enthält besondere Vorschriften zum Sozialdatenschutz.

Diese gelten insbesondere für Sozialleistungsträger und Stellen, die Sozialdaten erheben, verarbeiten oder übermitteln. Sozialdaten unterliegen einem besonders geschützten rechtlichen Rahmen.

Je nach Tätigkeit können zusätzlich Vorschriften beispielsweise aus folgenden Bereichen hinzukommen:

• Sozialgesetzbuch V für die gesetzliche Krankenversicherung
• Sozialgesetzbuch XI für die Pflegeversicherung
• Infektionsschutzgesetz
• Berufsordnungen der Heilberufe
• Krankenhaus- und Landeskrankenhausgesetze
• Arzneimittel- und Medizinprodukterecht
• Kirchlicher Datenschutz
• Gesetz über den Kirchlichen Datenschutz

Für katholische kirchliche Stellen, Einrichtungen und bestimmte Organisationen der Caritas gilt das KDG.

Es enthält eigene Anforderungen an die Verarbeitung personenbezogener Daten, Betroffenenrechte, Auftragsverarbeitung, Datenschutzorganisation und Aufsicht.

EKD-Datenschutzgesetz

Für Stellen der evangelischen Kirche und bestimmte Einrichtungen der Diakonie gilt das DSG-EKD.

Die seit dem 1. Mai 2025 geltende Fassung regelt unter anderem Rechtmäßigkeit, Betroffenenrechte, Datenschutzorganisation, technische Maßnahmen und Auftragsverarbeitung.

Weitere branchenspezifische Vorschriften

Abhängig von Unternehmen und Tätigkeit können außerdem weitere Regelungen zu beachten sein, beispielsweise:

• Berufsgeheimnisse und berufliche Verschwiegenheitspflichten
• Geldwäschegesetz
• Kreditwesengesetz
• Versicherungsaufsichtsgesetz
• Steuerberatungsgesetz
• Bundesrechtsanwaltsordnung
• ärztliche und therapeutische Berufsordnungen
• Archivgesetze
• Informationsfreiheitsgesetze
• Schul- und Hochschulgesetze
• Polizei- und Sicherheitsgesetze
• Forschungs- und Statistikrecht
• Landeskrankenhausgesetze
• besondere Vorschriften für öffentliche Auftraggeber

Nicht jede Vorschrift gilt für jedes Unternehmen gleichermaßen. Welche gesetzlichen, landesrechtlichen und branchenspezifischen Anforderungen tatsächlich zu beachten sind, wird anhand Ihrer Organisation, Ihrer Tätigkeit und Ihrer konkreten Datenverarbeitungen geprüft.

Die wichtigsten Datenschutz- und Sicherheitsnormen

Normen sind grundsätzlich keine Gesetze. Sie beschreiben anerkannte Anforderungen, Verfahren und bewährte Vorgehensweisen. Bedeutung können sie insbesondere durch Verträge, Ausschreibungen, Zertifizierungen, Kundenanforderungen oder als Orientierung am Stand der Technik erhalten. Welche Normen tatsächlich relevant sind, hängt von den Datenverarbeitungen, Risiken, Systemen und Zielen des jeweiligen Unternehmens ab.

Datenschutzmanagement und europäischer Datenschutzrahmen

DIN EN ISO/IEC 27701:2026-02

Die zentrale Norm für ein Datenschutzmanagementsystem beziehungsweise Privacy Information Management System, kurz PIMS.

Sie enthält Anforderungen und Hinweise für den Aufbau, die Einführung, die Pflege und die kontinuierliche Verbesserung eines systematischen Datenschutzmanagements. Die 2025 überarbeitete internationale Fassung kann als eigenständige Managementsystemnorm eingesetzt werden und richtet sich an Verantwortliche und Auftragsverarbeiter.

DIN EN 17926:2024-02

Diese europäische Norm konkretisiert die Anwendung der ISO/IEC 27701 im europäischen Datenschutzkontext.

Sie stellt den Bezug zu europäischen Datenschutzanforderungen her und unterstützt bei der Ausrichtung eines PIMS auf den europäischen Rechtsrahmen. Eine Überarbeitung befindet sich 2026 im Normungsverfahren; bis zu deren endgültiger Veröffentlichung bleibt die Ausgabe 2024-02 die veröffentlichte Fassung.

DIN EN 17799:2024-09

Diese Norm enthält Anforderungen an den Datenschutz bei konkreten Verarbeitungsvorgängen.

Sie ist insbesondere für die strukturierte Prüfung und den möglichen Nachweis datenschutzkonformer Verarbeitungsvorgänge relevant. Sie steht außerdem im Zusammenhang mit Konformitätsbewertungen und Zertifizierungen nach dem europäischen Datenschutzrahmen.

DIN EN 17529:2022-08

Diese Norm behandelt Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.

Sie unterstützt dabei, Datenschutzanforderungen bereits bei der Konzeption und Entwicklung von Produkten, Systemen und Dienstleistungen zu berücksichtigen und nicht erst nachträglich zu ergänzen.

Datenschutzgrundsätze, Architektur und Privacy Engineering

DIN EN ISO/IEC 29100:2020-09

Die Norm stellt ein grundlegendes Rahmenwerk für Datenschutz bereit.

Sie definiert zentrale Begriffe, Rollen und Datenschutzprinzipien und bildet die Grundlage für zahlreiche weitere internationale Datenschutzstandards.

Die internationale Fassung wurde 2024 aktualisiert. Für die entsprechende neue europäische und deutsche Übernahme liegt im August 2026 zunächst ein Norm-Entwurf vor; die veröffentlichte deutsche Fassung bleibt bis zum endgültigen Ersatz DIN EN ISO/IEC 29100:2020-09.

DIN EN ISO/IEC 29101:2022-04

Diese Norm enthält ein Architekturrahmenwerk für Datenschutz.

Sie unterstützt bei der Planung, Beschaffung, Entwicklung, Prüfung und dem Betrieb von IT-Systemen, in denen personenbezogene Daten verarbeitet werden.

ISO/IEC TR 27550:2019

Der technische Bericht beschreibt Privacy Engineering über den gesamten Lebenszyklus eines Systems.

Er verbindet Datenschutzanforderungen mit Systementwicklung, Anforderungsanalyse, Architektur, Risikomanagement und Betrieb.

ISO/IEC 27561:2024

Die Norm enthält ein Modell und eine Methode zur praktischen Umsetzung von Datenschutzprinzipien in technische und organisatorische Funktionen.

Sie richtet sich insbesondere an Entwickler, Systemarchitekten und andere Personen, die Systeme mit personenbezogenen Daten planen oder betreiben.

ISO 31700-1:2023

Diese Norm enthält übergeordnete Anforderungen für Privacy by Design bei Verbraucherprodukten und Dienstleistungen.

Der Datenschutz soll über den gesamten Lebenszyklus eines Produkts oder einer Dienstleistung berücksichtigt werden.

ISO/IEC TR 31700-2:2026

Dieser technische Bericht ergänzt ISO 31700-1 um Anwendungsfälle und praktische Beispiele für Privacy by Design.

Datenschutz-Folgenabschätzung und Risikobewertung

DIN EN ISO/IEC 29134

Diese Norm enthält Leitlinien zur Durchführung einer Datenschutz-Folgenabschätzung und zur Struktur eines entsprechenden Berichts.

Die bisher veröffentlichte deutsche Ausgabe ist DIN EN ISO/IEC 29134:2020-09. Die neue DIN EN ISO/IEC 29134:2026-08 auf Grundlage der internationalen Ausgabe von 2023 wurde bereits vorab bereitgestellt und soll die Ausgabe von 2020 ersetzen.

ISO/IEC 27557:2022

Diese Norm überträgt die Grundsätze der ISO 31000 auf das organisatorische Datenschutz-Risikomanagement.

Sie unterstützt Unternehmen dabei, Datenschutzrisiken strukturiert zu identifizieren, zu bewerten, zu behandeln und zu überwachen.

DIN ISO 31000:2018-10

Die Norm enthält allgemeine Leitlinien für das Risikomanagement.

Sie ist nicht auf Datenschutz beschränkt, bietet aber einen anerkannten Rahmen für die systematische Organisation von Risikoanalysen.

DIN EN IEC 31010:2024-12

Diese Norm beschreibt Verfahren zur Risikobeurteilung.

Sie unterstützt bei der Auswahl geeigneter Methoden, etwa für Risikoidentifikation, Ursachenanalyse, Szenarien, Eintrittswahrscheinlichkeiten und Auswirkungen.

Datenschutzerklärungen und Einwilligungen

DIN EN ISO/IEC 29184:2023-11

Diese Norm behandelt Online-Datenschutzerklärungen und Einwilligungen.

Sie enthält Hinweise dazu, wie Informationen verständlich, zugänglich und strukturiert dargestellt und wie digitale Einwilligungen eingeholt und verwaltet werden können.

ISO/IEC TS 27560:2023

Diese technische Spezifikation definiert eine Informationsstruktur für Einwilligungsnachweise.

Sie unterstützt dabei, Einwilligungen, Zwecke, betroffene Daten, Erklärungen, Änderungen und Widerrufe nachvollziehbar zu dokumentieren.

ISO/IEC 27556:2022

Diese Norm beschreibt ein nutzerzentriertes Rahmenwerk für die Verwaltung persönlicher Datenschutzpräferenzen.

Sie ist insbesondere für Systeme relevant, in denen betroffene Personen Einstellungen zu Nutzung, Weitergabe oder Verarbeitung ihrer Daten festlegen können.

Schutz personenbezogener Daten

ISO/IEC 29151:2026

Diese Norm enthält Kontrollen, Anforderungen und Umsetzungshinweise zum Schutz personenbezogener Daten.

Sie basiert auf den Sicherheitsmaßnahmen der ISO/IEC 27002 und richtet sich insbesondere an Organisationen, die personenbezogene Daten verarbeiten, aber nicht zwingend ein vollständiges Datenschutzmanagementsystem nach ISO/IEC 27701 betreiben. Die zweite Ausgabe wurde 2026 veröffentlicht.

ISO/IEC 29190:2015

Die Norm enthält ein Reifegrad- beziehungsweise Fähigkeitsmodell für Datenschutzprozesse.

Sie unterstützt Organisationen dabei, ihre Fähigkeit zur Beherrschung und Weiterentwicklung datenschutzbezogener Prozesse zu beurteilen.

ISO/IEC 29191:2012

Diese Norm behandelt teilweise anonyme und teilweise nicht miteinander verknüpfbare Authentifizierungsverfahren.

Sie ist für besondere Identitäts- und Authentifizierungssysteme relevant, bei denen nicht mehr personenbezogene Informationen offengelegt werden sollen, als für den jeweiligen Zweck erforderlich sind.

Anonymisierung, Pseudonymisierung und De-Identifizierung

ISO/IEC 20889:2018

Die Norm enthält Begriffe und eine Klassifizierung von Verfahren zur De-Identifizierung personenbezogener Daten.

Sie behandelt unter anderem die Auswahl und Bewertung von Verfahren, mit denen das Risiko einer erneuten Identifizierung reduziert werden soll.

ISO/IEC 27559:2022

Diese Norm enthält ein Rahmenwerk zur datenschutzfördernden De-Identifizierung.

Sie berücksichtigt nicht nur die technische Veränderung von Daten, sondern auch Risiken über den gesamten Lebenszyklus de-identifizierter Daten.

Löschung und Vernichtung personenbezogener Daten

DIN EN ISO/IEC 27555:2025-09

Diese Norm enthält Leitlinien für die systematische Löschung personenbezogener Daten.

Sie behandelt unter anderem Löschregeln, Rollen, Verantwortlichkeiten, Dokumentation und organisatorische Löschprozesse.

DIN 66398:2016-05

Die Norm ist eine Leitlinie zur Entwicklung eines Löschkonzepts und zur Ableitung von Löschfristen für personenbezogene Daten.

Sie unterstützt insbesondere bei der Bildung von Datenarten, Aufbewahrungsfristen, Löschklassen, Startzeitpunkten und dokumentierten Löschregeln.

ISO/IEC 21964 – Normenreihe zur Vernichtung von Datenträgern

Die Normenreihe behandelt die sichere physische Vernichtung von Datenträgern und die Anforderungen an entsprechende Geräte und Prozesse.

Die früheren DIN-66399-Ausgaben für Grundlagen und Vernichtungsgeräte wurden zurückgezogen; DIN verweist für diese Bereiche auf ISO/IEC 21964.

Informationssicherheitsmanagement

DIN EN ISO/IEC 27001:2024-01

Diese Norm enthält die Anforderungen an ein Informationssicherheitsmanagementsystem.

Sie bildet die Grundlage für den systematischen Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Für die deutsche Ausgabe ist zusätzlich die Änderung DIN EN ISO/IEC 27001/A1:2024-11 zu klimabezogenen Aspekten zu berücksichtigen.

DIN EN ISO/IEC 27002:2024-01

Diese Norm enthält einen umfangreichen Maßnahmenkatalog für Informationssicherheit.

Sie behandelt organisatorische, personelle, physische und technische Sicherheitsmaßnahmen, etwa Zugriffssteuerung, Berechtigungen, Protokollierung, Verschlüsselung, Lieferanten, Cloud-Dienste und Sicherheitsvorfälle.

DIN EN ISO/IEC 27005:2025-01

Die Norm enthält Leitlinien zur Handhabung von Informationssicherheitsrisiken.

Sie ergänzt die ISO/IEC 27001 und unterstützt bei Identifikation, Analyse, Bewertung und Behandlung von Sicherheitsrisiken.

ISO/IEC 27003:2017

Leitlinien zur Einführung und Umsetzung eines Informationssicherheitsmanagementsystems.

ISO/IEC 27004:2016

Leitlinien für Überwachung, Messung, Analyse und Bewertung der Wirksamkeit eines Informationssicherheitsmanagementsystems. Eine überarbeitete Ausgabe befindet sich 2026 noch im Normungsverfahren.

ISO/IEC 27007:2020

Leitlinien für die Auditierung von Informationssicherheitsmanagementsystemen.

ISO/IEC TS 27008:2019

Leitlinien für die Beurteilung und Prüfung von Informationssicherheitsmaßnahmen.

ISO/IEC 27014:2020

Leitlinien für die Governance der Informationssicherheit.

Diese Normen unterstützen Aufbau, Betrieb, Messung, Überprüfung und kontinuierliche Verbesserung eines Informationssicherheitsmanagementsystems. Die ISO führt 27001, 27002, 27005 und 27007 als zentrale Projekte der ISMS-Normenfamilie.

Cloud-Dienste und externe Anbieter

DIN EN ISO/IEC 27017:2021-11

Diese Norm enthält zusätzliche Informationssicherheitsmaßnahmen für Cloud-Dienste.

Sie richtet sich sowohl an Cloud-Anbieter als auch an deren Kunden und behandelt die geteilte Verantwortung für Cloud-Sicherheit. Eine internationale Überarbeitung befindet sich im Normungsverfahren.

DIN EN ISO/IEC 27018:2020-08

Die deutsche Ausgabe enthält datenschutzbezogene Maßnahmen für öffentliche Cloud-Dienste, wenn der Cloud-Anbieter als Auftragsverarbeiter tätig wird.

International wurde ISO/IEC 27018 im August 2025 vollständig überarbeitet. Die entsprechende neue deutsche Übernahme befindet sich im August 2026 noch im Normungsverfahren.

ISO/IEC 27036 – Normenreihe zu Lieferantenbeziehungen

ISO/IEC 27036-1:2021: Überblick und Begriffe

ISO/IEC 27036-2:2022: Anforderungen an Lieferantenbeziehungen

ISO/IEC 27036-3:2023: Sicherheit von Hardware-, Software- und Dienstleistungslieferketten

ISO/IEC 27036-4:2016: Sicherheit von Cloud-Diensten

Die Reihe unterstützt bei Auswahl, Prüfung, vertraglicher Einbindung und Überwachung von Lieferanten und Dienstleistern.

Sicherheits- und Datenschutzvorfälle

ISO/IEC 27035 – Normenreihe zum Sicherheitsvorfallmanagement

ISO/IEC 27035-1:2023: Grundsätze und Prozess

ISO/IEC 27035-2:2023: Planung und Vorbereitung der Reaktion auf Vorfälle

ISO/IEC 27035-3:2020: operative Reaktion auf IT-Sicherheitsvorfälle

Die Reihe unterstützt bei Vorbereitung, Erkennung, Meldung, Bewertung, Eindämmung, Behebung, Wiederherstellung und Nachbereitung von Sicherheitsvorfällen. Sie ist damit auch für Prozesse zur Behandlung von Datenschutzverletzungen relevant.

ISO/IEC 29147:2018

Leitlinien für die koordinierte Offenlegung von Schwachstellen.

ISO/IEC 30111:2019

Anforderungen und Leitlinien für die Bearbeitung und Behebung gemeldeter Schwachstellen.

Identitäts- und Berechtigungsmanagement

DIN EN ISO/IEC 24760 – Normenreihe

Die Normenreihe stellt ein Rahmenwerk für Identitätsmanagement bereit.

Sie behandelt unter anderem Begriffe, Identitäten, Identitätsinformationen, Rollen, Lebenszyklen und Referenzarchitekturen. Die deutsche Ausgabe von Teil 1 ist DIN EN ISO/IEC 24760-1:2023-03.

Ergänzend können je nach System Normen zu Authentifizierung, Zugriffskontrolle, kryptografischen Verfahren und digitalen Identitäten relevant werden.

Auditierung und Zertifizierung

Diese Normen richten sich überwiegend an Audit- und Zertifizierungsstellen, können aber für die Vorbereitung einer Zertifizierung relevant sein:

• ISO/IEC 27006-1: Anforderungen an Stellen, die Informationssicherheitsmanagementsysteme auditieren und zertifizieren
• ISO/IEC 27706:2025: Anforderungen an Stellen, die Datenschutzmanagementsysteme auditieren und zertifizieren
• DIN EN ISO 19011: Leitlinien zur Auditierung von Managementsystemen
• DIN EN ISO/IEC 17021-1: Anforderungen an Stellen zur Auditierung und Zertifizierung von Managementsystemen
• DIN EN ISO/IEC 17065: Anforderungen an Stellen zur Zertifizierung von Produkten, Prozessen und Dienstleistungen

Die deutsche Ausgabe DIN EN ISO/IEC 27706:2026-08 ist für August 2026 vorgesehen. 

Nicht jede Norm ist für jedes Unternehmen gleichermaßen erforderlich.

Welche Normen und technischen Regelwerke berücksichtigt werden müssen, hängt unter anderem von der Branche, der Unternehmensgröße, den eingesetzten Systemen, den verarbeiteten Daten, den bestehenden Zertifizierungen und den konkreten Risiken ab.

ANDLIS prüft deshalb nicht nach einer pauschalen Normenliste. Wir ermitteln, welche gesetzlichen Anforderungen und welche anerkannten Standards für Ihr Unternehmen tatsächlich relevant sind.

So entsteht kein unnötiges Normenpaket, sondern eine Datenschutzstruktur, die fachlich fundiert, wirtschaftlich angemessen und im Unternehmensalltag umsetzbar ist.

Datenschutz soll schützen und entlasten

Gut organisierter Datenschutz schafft Klarheit, statt zusätzliche Bürokratie zu verursachen.

Wenn Anforderungen, Unterlagen und betriebliche Abläufe aufeinander abgestimmt sind, wissen sie, welche Daten verarbeitet werden dürfen, welche Nachweise erforderlich sind und wo tatsächlich Handlungsbedarf besteht.

Vorhandene Strukturen werden sinnvoll genutzt.

Unnötige Doppelarbeit wird vermieden.

Risiken werden frühzeitig erkannt, bevor daraus kostspielige Probleme entstehen.

So sparen sie Zeit, Kosten und interne Ressourcen und schaffen gleichzeitig Verlässlichkeit für ihr Unternehmen, ihre Mitarbeitenden und ihre Kunden.

Datenschutz wird damit nicht zur zusätzlichen Belastung, sondern zu einer tragfähigen Grundlage für sichere Geschäftsprozesse.

Wo steht ihr Datenschutz heute?

Vielleicht sind bereits Unterlagen vorhanden, aber nicht mehr aktuell. Vielleicht haben sich Prozesse, Dienstleister oder Systeme verändert. Oder ihr Datenschutz soll erstmals vollständig und nachvollziehbar aufgebaut werden.

Im Orientierungsgespräch betrachten wir ihre aktuelle Situation und klären:

• was bereits gut aufgestellt ist
• wo konkrete Lücken oder Risiken bestehen
• welche Unterlagen und Maßnahmen tatsächlich benötigt werden
• welche Schritte zuerst sinnvoll sind

Sie erhalten eine verständliche Einschätzung und eine klare Grundlage für ihre Entscheidung.