ISO 27001 und DSGVO: Warum ein ISMS-Zertifikat keine Rechtskonformität ist

Ein türkischer Softwareanbieter, der ein SaaS-Produkt nach Deutschland verkauft, bestand sein ISO-27001-Audit, rahmte das Zertifikat und legte es in die Vertriebspräsentation. Sechs Wochen später schickte ein potenzieller Großkunde einen Auftragsverarbeitungsvertrag und eine Datenschutzbewertung mit 40 Fragen: Wo ist das Verzeichnis von Verarbeitungstätigkeiten, wer ist der Datenschutzbeauftragte und wie werden Auskunftsersuchen betroffener Personen innerhalb von 30 Tagen bearbeitet. Das Zertifikat beantwortete nichts davon. Der Anbieter hatte bewiesen, dass sein Informationssicherheits-Managementsystem funktioniert. Er hatte nicht gezeigt, dass er die rechtlichen Pflichten der EU-Datenschutz-Grundverordnung, der DSGVO, erfüllt. Das sind zwei verschiedene Dinge, und beide als eines zu behandeln gehört zu den teuersten Missverständnissen, die ein türkischer Exporteur in den europäischen Markt mitbringen kann.

Diese Lücke lohnt sich zu verstehen, bevor Sie Ihren nächsten EU-Vertrag unterschreiben. Ein ISO-27001-Zertifikat und die DSGVO-Konformität überschneiden sich, stützen einander und werden vom selben Käufer oft im selben Atemzug verlangt. Austauschbar sind sie nicht. Das eine ist eine freiwillige Zertifizierung darüber, wie Sie Sicherheitsrisiken steuern. Das andere ist ein bindendes Gesetz, das Sie befolgen müssen, sobald Sie personenbezogene Daten von Menschen in der EU verarbeiten, ob mit Zertifikat oder ohne.

Was beides genau ist: eine Zertifizierung gegenüber einem Gesetz

ISO 27001 ist eine internationale Norm, gegen die Sie sich freiwillig zertifizieren lassen. Eine akkreditierte Zertifizierungsstelle auditiert Ihr Informationssicherheits-Managementsystem, Ihr ISMS, und stellt bei Konformität ein weltweit anerkanntes Zertifikat aus. Der Geltungsbereich ist Sicherheit: Vertraulichkeit, Integrität und Verfügbarkeit von Informationen, ganz gleich welcher, ob Quellcode, Kundenlisten oder Ihre eigenen Preismodelle. Das Zertifikat ist der unabhängige Nachweis, dass Sie ein gesteuertes und auditiertes Sicherheitssystem betreiben statt eines beliebigen.

Die DSGVO ist in diesem Sinne nichts, wogegen Sie sich zertifizieren lassen. Sie ist die Verordnung (EU) 2016/679, ein in der gesamten Europäischen Union unmittelbar geltendes Gesetz, und sie greift in dem Moment, in dem Sie personenbezogene Daten von Menschen in der EU verarbeiten, gleich wo Ihr Unternehmen sitzt. Für einen türkischen Exporteur ist diese räumliche Reichweite der springende Punkt: Sie brauchen kein Büro in Frankfurt, um an die DSGVO gebunden zu sein. Wenn Sie personenbezogene Daten von Menschen in der EU im Zusammenhang mit dem Angebot von Waren oder Dienstleistungen verarbeiten, erreicht Sie das Gesetz in Istanbul oder Izmir genauso. Kein Auditor übergibt Ihnen ein DSGVO-Zertifikat, das die Sache abschließt. Konformität ist eine fortlaufende Rechtspflicht, durchgesetzt von den Aufsichtsbehörden, mit Bußgeldern, die sich an einem Prozentsatz des weltweiten Jahresumsatzes bemessen.

Wo sie sich überschneiden und wo das Zertifikat still an seine Grenze kommt

Die Überschneidung ist real und nützlich. Artikel 32 der DSGVO verlangt "geeignete technische und organisatorische Maßnahmen" zum Schutz personenbezogener Daten, und ein funktionierendes ISO-27001-ISMS ist einer der stärksten Wege, genau das nachzuweisen. Zugangskontrolle, Verschlüsselung, Protokollierung, Lieferantensteuerung, Vorfallbehandlung, also die Themen, die Ihre Anhang-A-Maßnahmen ohnehin abdecken, treffen unmittelbar auf das, was eine Behörde sehen will, wenn sie fragt, wie Sie personenbezogene Daten schützen. Wer ISO 27001 hält, hat einen großen Teil der von der DSGVO geforderten Sicherheitsarbeit geleistet und kann ihn mit auditierten Belegen zeigen statt mit Behauptungen.

Das Zertifikat kommt genau dort an seine Grenze, wo es bei der DSGVO nicht mehr um Sicherheit, sondern um Rechte und Rechtmäßigkeit geht. ISO 27001 fragt nicht, ob Sie überhaupt eine Rechtsgrundlage für die Verarbeitung der Daten haben. Sie verlangt nicht, dass Sie das Recht einer Person auf Auskunft, Berichtigung oder Löschung ihrer Daten erfüllen. Sie regelt nicht, wie lange Sie Daten aufbewahren, wie Sie eine gültige Einwilligung einholen, wann Sie eine Datenschutz-Folgenabschätzung durchführen müssen oder ob eine internationale Übermittlung von Daten aus der EU auf einem Rechtsmechanismus wie den Standardvertragsklauseln beruht. Ein Unternehmen kann ein makelloses ISO-27001-Zertifikat halten und dennoch täglich gegen die DSGVO verstoßen, etwa indem es Kundendaten ohne jede Aufbewahrungsregel ewig speichert oder Löschanträge ignoriert. Die Sicherheit ist solide. Die rechtlichen Pflichten sind unerfüllt.

Die Pflichten, die ISO 27001 nicht für Sie abdeckt

Es hilft, konkret zu benennen, was in Ihrer Verantwortung bleibt, so sauber Ihr Auditbericht auch ist. Die DSGVO verpflichtet Sie, ein Verzeichnis von Verarbeitungstätigkeiten zu führen, für jeden Verarbeitungszweck eine Rechtsgrundlage festzulegen und die Rechte betroffener Personen innerhalb der vom Gesetz gesetzten Fristen zu wahren. Eine meldepflichtige Verletzung des Schutzes personenbezogener Daten müssen Sie der zuständigen Aufsichtsbehörde melden, in vielen Fällen binnen 72 Stunden, und das ist eine gesetzliche Meldepflicht, nicht bloß das in Ihrem ISMS dokumentierte Verfahren zur Vorfallbehandlung. Ist Ihre Verarbeitung risikoreich, müssen Sie eine Datenschutz-Folgenabschätzung durchführen. Senden Sie personenbezogene Daten aus der EU in die Türkei, brauchen Sie eine anerkannte Übermittlungsgarantie. Nichts davon sind Posten, die ein ISO-27001-Auditor gegen das Gesetz prüft, denn das ist nicht die Aufgabe der Norm.

Wie beide zusammenwirken sollen

Der ertragreiche Blick darauf ist kein Wettstreit, sondern ein geschichteter Aufbau. ISO 27001 gibt Ihnen das Sicherheitsrückgrat und die Managementdisziplin; die DSGVO sitzt darüber als rechtliche und Rechte-Ebene, die dieses Rückgrat erfüllen hilft. Es gibt sogar eine veröffentlichte Datenschutzerweiterung, ISO 27701, die ein Datenschutz-Managementsystem direkt auf ein bestehendes ISO-27001-ISMS aufsetzt und seine Maßnahmen auf Datenschutzregelungen einschließlich der DSGVO abbildet, was der natürliche nächste Schritt für eine Organisation ist, die ihre Datenschutzlage genauso auditieren lassen will wie bereits ihre Sicherheit.

Für ein türkisches Unternehmen gibt es eine inländische Dimension, die das noch klarer macht. Die Türkei hat ein eigenes Datenschutzgesetz, das KVKK (das türkische Datenschutzgesetz, Nr. 6698), das eng an der DSGVO ausgerichtet ist. Ein Betrieb, der sein KVKK-Konformitätsprogramm richtig aufbaut, hat einen Großteil der Governance, der Rechtsgrundlagen-Dokumentation und der Mechanik für Betroffenenrechte, die auch die DSGVO verlangt, bereits errichtet, sodass die beiden Rechtsordnungen einander verstärken, statt die Arbeit zu verdoppeln. Das Sicherheitsfundament unter beiden ist das ISMS selbst, weshalb die ISO-27001-Zertifizierung der sinnvolle erste Schritt ist, mit der Rechtsebene bewusst darauf aufgebaut.

Was das bedeutet, bevor Sie einen EU-Vertrag unterschreiben

Wenn ein EU-Käufer ISO 27001 verlangt, stellt er meist zwei Fragen zugleich, auch wenn sein Beschaffungsformular nur eine nennt. Er will die Gewissheit, dass Ihre Sicherheit gesteuert und auditiert ist, was das Zertifikat sauber beantwortet. Er will auch die Gewissheit, dass die Zusammenarbeit mit Ihnen für ihn als Verantwortlichen keine DSGVO-Haftung schafft, was das Zertifikat allein nicht beantwortet. Die Anbieter, die solche Verträge im ersten Anlauf gewinnen, übergeben das Zertifikat zusammen mit einer klaren Darstellung ihrer DSGVO-Lage: die Rechtsgrundlage, das Verarbeitungsverzeichnis, der Prozess zur Meldung von Verletzungen, der Übermittlungsmechanismus für Daten in die Türkei. Das Zertifikat öffnet die Tür. Die rechtlichen Antworten halten Sie im Raum.

Die praktische Reihenfolge für einen türkischen Exporteur ist, Sicherheit und Rechtmäßigkeit als zwei Aufbauten zu behandeln, die ein Fundament teilen. Errichten Sie ein auditiertes Informationssicherheits-Managementsystem nach ISO 27001, damit Ihre technischen und organisatorischen Maßnahmen belegbar sind, und bilden Sie dann Ihre Pflichten aus KVKK und DSGVO auf dieses System ab, damit die Rechtsebene dokumentiert und belastbar ist, nicht unterstellt. Wo Sie mehrere Managementsysteme zertifizieren, trägt dasselbe Rückgrat sie alle, was ein Teil des Werts ist, Sicherheit und Datenschutz über eine akkreditierte Systemzertifizierung aufzubauen statt als getrennte, unverbundene Projekte.

Wo Sistem Patent Kalite ins Bild kommt

Das Zertifikat und das Gesetz sind zwei Instrumente, die in derselben Band spielen, und der Preis für ihre Verwechslung wird in verlorenen EU-Verträgen und regulatorischem Risiko bezahlt. Sistem Patent Kalite unterstützt türkische Exporteure dabei, das Sicherheitsrückgrat über ISO 27001 aufzubauen und es dann an den rechtlichen Pflichten aus KVKK und, für das EU-Geschäft, der DSGVO auszurichten, sodass die Sicherheitsfrage und die Datenschutzfrage eines Käufers beide mit Belegen beantwortet sind. Wenn Ihr Vertriebsweg nach Europa reicht und Ihr Zertifikat seine Aufgabe erfüllen soll, ohne die rechtlichen Fragen offenzulassen, sprechen Sie mit uns über ein ISMS, das die DSGVO-Ebene von Anfang an mitdenkt.