ISO 29100 bezeichnet einen internationalen Referenzrahmen für Datenschutz und den Schutz personenbezogener Informationen. Die Norm erklärt zentrale Begriffe, Rollen und Grundsätze der Privatsphäre, legt aber nicht automatisch fest, dass ein Unternehmen zertifiziert ist oder alle Datenschutzanforderungen erfüllt.
Du findest die Angabe meist in Datenschutzkonzepten, technischen Dokumentationen, Ausschreibungen, Verträgen oder Sicherheitsunterlagen. Sie zeigt zunächst, dass sich ein Anbieter oder eine Organisation auf ein einheitliches Datenschutzvokabular und ein strukturiertes Modell beziehen möchte.
Welche Bedeutung hat ISO 29100?
ISO 29100 beschreibt ein Datenschutz-Referenzmodell. Im Mittelpunkt stehen personenbezogene Informationen, also Daten, durch die eine Person direkt oder indirekt identifiziert werden kann. Dazu gehören beispielsweise Namen, Kontaktdaten, Kennnummern, Standortdaten oder Online-Kennungen.
Die Norm ordnet unter anderem die beteiligten Rollen ein. Dazu zählen die betroffene Person, die Stelle, die über Zwecke und Mittel der Verarbeitung entscheidet, sowie Dienstleister, die Daten im Auftrag verarbeiten. Dadurch lässt sich besser nachvollziehen, wer für welche Datenschutzaufgabe zuständig ist.
Was regelt der Standard typischerweise?
Der Rahmen behandelt grundlegende Datenschutzprinzipien wie Transparenz, Zweckbindung, Datenminimierung, Sicherheit und die Kontrolle der betroffenen Personen über ihre Informationen. Außerdem hilft er, Datenschutzrisiken und unterschiedliche Verarbeitungssituationen einheitlich zu beschreiben.
ISO 29100 ist deshalb vor allem eine Orientierung für Fachleute. Sie kann als Grundlage für Datenschutzprozesse, Sicherheitskonzepte und weitere Normen der ISO-27000-Familie dienen. Aus der bloßen Nennung folgt jedoch nicht, welche konkreten technischen Maßnahmen umgesetzt wurden.
Ist ISO 29100 eine Zertifizierung?
Nein. Die Angabe allein ist kein Zertifikat und kein Prüfzeichen, das eine vollständige Einhaltung aller Datenschutzvorgaben bestätigt. Entscheidend ist, ob zusätzlich ein gültiger Prüfbericht, ein Zertifikat oder eine nachvollziehbare Konformitätserklärung mit Geltungsbereich vorliegt.
Prüfe deshalb, wer die Norm nennt, auf welche Prozesse sie angewendet wird und für welchen Zeitraum die Aussage gilt. Eine allgemeine Formulierung in einer Produktbeschreibung hat eine geringere Aussagekraft als ein Dokument mit eindeutigem Anwendungsbereich und unabhängiger Prüfung.
Was solltest du bei einer Normangabe prüfen?
- Bezieht sich die Angabe auf ein Produkt, einen Dienst, einen Prozess oder die gesamte Organisation?
- Wird nur eine Orientierung an der Norm beschrieben oder eine formelle Prüfung behauptet?
- Gibt es einen Nachweis mit Aussteller, Gültigkeitsdauer und genauem Geltungsbereich?
- Werden zusätzlich konkrete Datenschutzmaßnahmen und Verantwortlichkeiten erklärt?
Häufige Fragen zur ISO-29100-Angabe
Ist ISO 29100 dasselbe wie die Datenschutz-Grundverordnung?
Nein, ISO 29100 ist ein internationaler Referenzrahmen für Begriffe, Rollen und Datenschutzprinzipien, während die Datenschutz-Grundverordnung rechtlich verbindliche Vorgaben für bestimmte Verarbeitungen enthält. Die Norm kann die strukturierte Umsetzung unterstützen, ersetzt aber keine rechtliche Prüfung nach der jeweils anwendbaren Gesetzgebung.
Wie lässt sich eine Aussage zur ISO 29100 verlässlich bewerten?
Achte auf die genaue Bezeichnung des Dokuments, den beschriebenen Anwendungsbereich und die Frage, ob lediglich eine Orientierung oder eine formelle Konformität behauptet wird. Bei einem Nachweis sollten außerdem Aussteller, Ausstellungsdatum, Gültigkeitsangaben und die erfassten Prozesse nachvollziehbar sein.
Kann ein Dienstleister ISO 29100 für einen einzelnen Dienst angeben?
Ja, eine Normangabe kann sich auf einen bestimmten Dienst, Prozess oder Teilbereich beziehen und muss nicht automatisch die gesamte Organisation umfassen. Entscheidend ist deshalb, ob der Geltungsbereich den Dienst einschliesst, den du beauftragen oder bewerten möchtest.
Welche technischen Sicherheitsmassnahmen folgen aus ISO 29100?
Aus der Nennung der Norm lassen sich keine konkreten Massnahmen wie Verschlüsselung, Zugriffskontrollen oder Back-ups ableiten. Für eine belastbare Bewertung musst du solche Massnahmen, Zuständigkeiten und Nachweise separat in den Sicherheits- oder Vertragsunterlagen prüfen.
Warum wird ISO 29100 in Ausschreibungen oder Verträgen genannt?
Die Norm kann dort ein gemeinsames Vokabular schaffen, damit Datenschutzrollen, Verarbeitungszwecke und Schutzanforderungen eindeutiger beschrieben werden. Eine solche Klausel sollte jedoch möglichst festlegen, welche Leistungen, Datenverarbeitungen und Nachweise konkret gemeint sind, statt nur den Normtitel zu nennen.