ISO 27001:2022 · A.5.34 · A.5 Organisatorische Maßnahmen
Privatsphäre und Schutz personenbezogener Daten
Die Organisation muss die Anforderungen an Privatsphäre und den Schutz personenbezogener Daten gemäß geltenden Gesetzen, Vorschriften und vertraglichen Anforderungen identifizieren und erfüllen.
ISO 27001DSGVOTISAXNIS2BSI
Was fordert dieses Control?
Die Organisation muss die Anforderungen an Privatsphäre und den Schutz personenbezogener Daten gemäß geltenden Gesetzen, Vorschriften und vertraglichen Anforderungen identifizieren und erfüllen.
Warum ist das wichtig?
Datenschutz ist gesetzlich verpflichtend und eng mit Informationssicherheit verzahnt. Verstöße führen zu hohen Bußgeldern und Vertrauensverlust.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| DSGVO | Art. 5/24/32 | Grundsätze & Sicherheit | Direkt |
| TISAX | 8.1.1 | Datenschutz (Prototypenschutz) | Indirekt |
| NIS2 | § 30 BSIG | Schutzmaßnahmen | Indirekt |
| BSI | CON.2 | Datenschutz | Direkt |
Was der Auditor erwartet
- Umsetzung der DSGVO-Anforderungen
- Verzeichnis von Verarbeitungstätigkeiten (VVT)
- Technische und organisatorische Maßnahmen (TOM)
Audit-Checkliste
Dokumente
Datenschutzkonzept / VVTVerarbeitungstätigkeiten, Rechtsgrundlagen und TOM
Nachweise
AVV und Betroffenenrechte-ProzessUmsetzung von Auftragsverarbeitung und Betroffenenanfragen
DSB-BenennungNachweis der Benennung, sofern die Verarbeitung sie erfordert
Meldeprozess DatenpannenEtablierter 72-Stunden-Prozess für Meldungen an die Aufsicht
Interviews
DatenschutzverantwortlicheZusammenspiel von Datenschutz und ISMS
Praxis-Tipps zur Umsetzung
VVT pflegenDas Verzeichnis von Verarbeitungstätigkeiten aktuell und vollständig halten.
Mit ISMS verzahnenTOM aus dem ISMS direkt für den Datenschutznachweis nutzen.
Betroffenenrechte regelnProzesse für Auskunft, Löschung und Datenpannen bereithalten.
Häufige Fehler
Datenschutz isoliertDatenschutz und Informationssicherheit laufen unverbunden nebeneinander.
VVT veraltetDas Verarbeitungsverzeichnis ist unvollständig oder nicht gepflegt.
Häufig gestellte Fragen
Wie hängen DSGVO und ISO 27001 zusammen?
Die TOM der ISO 27001 erfüllen weitgehend die Sicherheitsanforderungen der DSGVO, beide ergänzen sich.
Brauchen wir einen Datenschutzbeauftragten?
Abhängig von Art und Umfang der Verarbeitung. Bei umfangreicher oder sensibler Verarbeitung ist er Pflicht.
Was ist ein VVT?
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO, eine zentrale Nachweispflicht.
So hilft CompliantDesk bei A.5.34
Das VVT-Modul führt Verarbeitungstätigkeiten mit Rechtsgrundlagen und verknüpft sie mit Risiken, Kontrollen und Richtlinien des ISMS.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten