„Ein Datenverlust kann heute das wirtschaftliche Aus bedeuten“

ITM: Herr Rehfeld, die 2019 veröffentlichte DIN ISO 27701 erweitert die klassische DIN ISO 27001 um das Thema Datenschutz – und hilft Unternehmen dabei, ihr Informationssicherheits-Managementsystem (ISMS) um ein nachhaltiges und systematisches Privacy Information Management (PIMS) zu ergänzen. Ist es ein Zufall, dass die Norm just einige Monate nach Ablauf der letzten informellen Schonfristen bei der DSGVO-Durchsetzung kam?
Stephan Rehfeld: Eher nicht. Sehr viele Unternehmen tun sich nach wie vor schwer damit, die Einhaltung der DSGVO-Vorgaben sicherzustellen und systematische Ansätze für den Datenschutz zu entwickeln. Nach einer aktuellen Bitkom-Studie hat nur jedes fünfte Unternehmen die DSGVO vollständig umgesetzt und auch Prüfprozesse für die Weiterentwicklung etabliert. Eine Norm, die konkrete Best Practices für die Umsetzung aufweist, tat in diesem Bereich also definitiv Not – und es war naheliegend, auf dem robusten Fundament der ISO 27001 und der High Level Structure (HLS) aufzubauen. Wer ein funktionierendes ISMS im Einsatz hat, kann dieses nun relativ einfach um ein Datenschutzmanagementsystem erweitern.

ITM: Und erfüllt damit automatisch die Vorgaben der DSGVO?
Rehfeld: Nein, so herum funktioniert es nicht! Umgekehrt wird ein Schuh draus: Wer ein DSMS nach ISO 27701 entwickelt und umgesetzt hat – sprich: wer seine personenbezogenen Daten systematisch schützt und managt – tut sich leicht, die Einhaltung gesetzlicher Bestimmungen sicherzustellen und zu belegen. Unabhängig davon, ob es sich um die europäische DSGVO, das japanische Datenschutzgesetz APPI oder die strengen kalifornischen CCPA-Vorgaben handelt.

ITM: Und wie profitieren die Unternehmen von der Integration der ISO 27701?
Rehfeld: Der vielleicht größte Vorteil ist, dass die Unternehmen im Zuge der Umsetzung der Norm gar nicht umhinkommen, klare Verantwortlichkeiten im Bereich Datenschutz zu definieren. Das darf man nicht unterschätzen: In den meisten Betrieben ohne DSMS werden Zuständigkeiten aus falsch verstandener Höflichkeit viel zu oft weich formuliert („Könntest Du das künftig übernehmen?“) oder geteilt („Das machen wir zusammen!“), und das führt unweigerlich dazu, dass am Ende niemand die Verantwortung übernimmt. Mit einem DSMS gibt es klare Vorgaben, und das ist unbezahlbar.

Ein zweiter großer Pluspunkt ist, dass die ISO 27701 die Unternehmen zwingt, risikoorientiert über das Thema Datenschutz nachzudenken. Sie müssen sich Gedanken darüber machen, was alles schiefgehen könnte und wie wahrscheinlich es ist, dass das passiert. Und dann müssen sie ausgehend von dieser Risikobewertung ganz konkret versuchen, das Schadenspotenzial auf ein tragbares Maß zu reduzieren. Das ist sehr pragmatisch und sehr praxisnah, und passt hervorragend zur ausgeprägten Risikoorientierung der DSGVO.

ITM: Wie reagieren denn die Mitarbeiter auf die Einführung einer dedizierten Datenschutznorm?
Rehfeld: Nun, grundsätzlich haben, wie gesagt, viele Unternehmen in Teilbereichen nach wie vor mit der Umsetzung der DSGVO-Vorgaben zu kämpfen. Einiges hat gut geklappt – etwa die Schulungen der Mitarbeiter –, an anderer Stelle hapert es vielfach noch – etwa bei der Anpassung der Prozesse oder der Führung des Verzeichnisses der Verarbeitungstätigkeiten (VVT). Genau diese Hemmnisse lassen sich durch die Einführung der ISO 27701 oft erfolgreich ausräumen. Man kann also mit Fug und Recht behaupten, dass ein vom Management eingeführtes und getragenes DSMS das Change Management und die Akzeptanz im Datenschutz nachhaltig verbessert.

ITM: Sind die Maßnahmenkataloge der ISO 27701 denn geeignet, um die Umsetzung der DSGVO-Vorgaben voranzutreiben?
Rehfeld: Auch hier ein klares Ja. Sowohl die DSGVO als auch die ISO 27701 wurden ja auf dem gleichen Fundament errichtet: dem internationalen Datenschutzverständnis der OECD aus den achtziger Jahren des letzten Jahrhunderts. Und die beiden originär für die neue Norm entwickelten Kapitel wurden unmittelbar nach Inkrafttreten der DSGVO verfasst und sind in Teilen durchaus davon geprägt. Es ist also nicht überraschend, dass die Ziele und Vorgaben von DSGVO und ISO 27701 weitgehend kongruent sind, und dass sich die Maßnahmenkataloge der ISO 27701 damit durchaus auch für die Umsetzung der DSGVO-Bestimmungen eignen.

Hinzu kommt, dass die ISO 27701 wie jede ISO-Norm einen Prozess zum Management von Anforderungen von interessierten Parteien fordert und einen kontinuierlichen Verbesserungsprozess anstrebt. Das beginnt bereits am ersten Tag nach der Umsetzung: In der Regel zeigt sich dann nämlich, dass das auf dem Papier entworfene DSMS in der Praxis entweder über- oder unterdimensioniert ist und adaptiert werden muss. Und das ist nur die erste von unendlich vielen Anpassungen. Sollte sich also herausstellen, dass die im DSMS definierten Maßnahmen bestimmte DSGVO-Forderungen nicht abbilden, wäre es nur eine Frage der Zeit, bis dies korrigiert wird.

Bildquelle: DQS