Datenschutz im ISO 27001-Audit – was wird geprüft?
Johannes Landerer
11.September, 2025
Ein ISO 27001-Audit gilt als Gütesiegel für professionelles Informationssicherheitsmanagement. Oft unterschätzen Unternehmen jedoch, wie stark der Datenschutz im Rahmen des Audits im Fokus steht.
Denn sobald personenbezogene Daten verarbeitet werden – und das ist fast immer der Fall – hinterfragt der Auditor kritisch: Wie werden Datenschutzvorgaben umgesetzt? Wie transparent sind die Prozesse? Und wie lückenlos ist die Dokumentation?
Dieser Leitfaden zeigt, was geprüft wird, welche Fragen häufig gestellt werden und wie Sie sich praxisnah vorbereiten.
1.Was wird geprüft?
ISO 27001 ist keine reine Datenschutz-Norm, doch sie verpflichtet Organisationen, personenbezogene Daten angemessen zu schützen.
Im Audit geht es darum, ob die Schutzziele – Vertraulichkeit, Integrität und Verfügbarkeit – auch für personenbezogene Daten erfüllt werden. Das umfasst technische wie organisatorische Maßnahmen und die dazugehörige Dokumentation.
Im Klartext: Wer Kundendaten, Mitarbeiterdaten oder Bewerberinformationen verarbeitet, muss belegen können, dass diese korrekt geschützt und verwaltet werden.
2. Typische Prüfbereiche – worauf Auditoren achten
Auditoren wollen keine Papierberge, sondern funktionierende Strukturen. Typische Fragen sind:
Liegt ein aktuelles Verzeichnis der Verarbeitungstätigkeiten vor?
Gibt es Auftragsverarbeitungsverträge (AVVs) mit allen relevanten Dienstleistern?
Sind technisch-organisatorische Maßnahmen (TOMs) dokumentiert und wirksam?
Werden Mitarbeitende regelmäßig geschult – und gibt es Nachweise?
Existiert ein dokumentierter Ablauf für Datenschutzvorfälle?
Gibt es klare Regeln für mobiles Arbeiten und Zugriffe aus dem Ausland?
Wurde geprüft, ob eine Datenschutz-Folgenabschätzung (DSFA) notwendig ist?
3. Vorbereitung mit System – was zählt im Audit
Ein häufiger Fehler: Unternehmen erstellen Unterlagen nur „für das Audit“ – aufgebläht und praxisfern.
Auditoren überzeugen Sie nicht mit der Menge an Dokumenten, sondern mit Plausibilität und Alltagstauglichkeit.
Bewährte Praxis:
Zentrales Datenschutzportal mit strukturierter Ablage
Klare Prozesse für die Pflege von AVVs
Aktualisierte Verarbeitungstätigkeiten mit Verantwortlichkeiten
Praktische und umgesetzte TOMs
Dokumentierte Abläufe für Drittlandzugriffe
Vollständige Vorfalldokumentation, auch für interne Meldungen
4. Typische Stolperfallen im Datenschutz-Audit
In der Praxis sehen wir immer wieder ähnliche Schwächen:
AVVs existieren, sind aber nicht mit den Verarbeitungstätigkeiten verknüpft
DSFA-Negativprüfungen fehlen trotz Cloud-Einsatz
Mitarbeiterschulungen sind durchgeführt, aber nicht nachweisbar dokumentiert
Löschfristen sind definiert, aber technisch nicht umgesetzt
Drittlandtransfers (z. B. Microsoft, AWS) sind nur unvollständig bewertet
5. Fazit: Datenschutz auditfähig machen – ohne künstliche Aufblähung
Ein ISO 27001-Audit ist mehr als ein Dokumenten-Review. Entscheidend ist, ob Prozesse verstanden, gelebt und kontrolliert werden.
Das Erfolgsrezept:
DSGVO- und Datenschutzprozesse in die Sicherheitsstrategie integrieren
Nachvollziehbare Strukturen statt Papierlast
Aktualisierte, saubere Nachweise für Verträge, Prozesse und Schulungen
So bestehen Sie den Datenschutzteil eines Audits souverän – effizient und ohne unnötigen Ballast.
Stehen Sie vor einem ISO 27001-Audit oder möchten Sie Ihre Datenschutzprozesse auf ein auditfähiges Niveau heben?
Bei Fragen oder Beratungsbedarf rund ums Thema stehen wir Ihnen jederzeit gern zur Seite.