GDPR: eine Pflicht für alle, eine Zertifizierung nur für Verarbeitungen.
Die GDPR gilt für alle, die personenbezogene Daten verarbeiten. Eine „GDPR-Zertifizierung“ des Unternehmens gibt es nicht: Art. 42 sieht freiwillige Zertifizierungen von Verarbeitungsvorgängen mit genehmigten Programmen vor. Europrivacy war das erste vom EDPB genehmigte europäische Siegel, und in Italien akkreditiert Accredia die Stellen, die es vergeben.
Worum es geht
Daten mit Rechtsgrundlage verarbeitet, geschützt, und Rechte gewahrt.
Die GDPR legt die Regeln für die Verarbeitung personenbezogener Daten fest: Grundsätze, Rechtsgrundlagen, Rechte der betroffenen Personen, Sicherheit, Übermittlungen außerhalb der Union. Eine Zertifizierung nach Art. 42 betrifft Verarbeitungsvorgänge, nicht das Unternehmen als Ganzes, und mindert nicht die Verantwortung des Verantwortlichen.
Für wen
- Alle, die personenbezogene Daten von Kunden, Beschäftigten oder Patienten verarbeiten
- Wer Daten im Auftrag anderer verarbeitet, als Auftragsverarbeiter
- Wer eine Verarbeitung mit einer genehmigten Zertifizierung nachweisen will
- Wer ISO/IEC 27001 hat und wissen will, was sie abdeckt und was nicht
Was sie verlangt, und was Sie riskieren
Bußgelder bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist, für Grundsätze, Rechtsgrundlagen, Rechte und Übermittlungen; bis zu 10 Millionen oder 2 % für die übrigen Pflichten.
Reg. (UE) 2016/679, art. 83(4) und 83(5)Eine genehmigte Zertifizierung kann dem Verantwortlichen helfen nachzuweisen, dass er seine Pflichten erfüllt, und die Behörde berücksichtigt sie, wenn sie über ein Bußgeld entscheidet.
Reg. (UE) 2016/679, art. 24(3) und art. 83(2)(j)Europrivacy war das erste vom EDPB genehmigte europäische Siegel; in Italien akkreditiert Accredia die Stellen, die es vergeben.
EDPB, Stellungnahme 28/2022; Accredia, Europrivacy
Der Weg
Was Sie tun müssen, der Reihe nach.
- 1
Die Verarbeitungen erfassen
Welche Daten, von wem, wofür, auf welcher Rechtsgrundlage und wie lange.
- 2
Sicherheitsmaßnahmen
Technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, und Datenschutz-Folgenabschätzungen, wo sie nötig sind.
- 3
Rechte und Datenpannen
Fristgerechte Antworten an betroffene Personen, und Datenschutzverletzungen, die dem Garante bei Bedarf innerhalb von 72 Stunden gemeldet werden.
- 4
Zertifizierung, wenn Sie sie wollen
Für einzelne Verarbeitungen, mit einem nach Art. 42 genehmigten Programm und einer akkreditierten Stelle. Sie gilt höchstens drei Jahre.
10ISO
Wie 10ISO Ihnen helfen wird
Die Arbeit, die sich wiederholt, übernehmen die Agenten; die Entscheidungen bleiben bei Ihnen und bei denen, die Sie begleiten. 10ISO ist in Vorbereitung: Das ist, was wir bauen.
- Verzeichnis der Verarbeitungstätigkeiten, Bestellungen und Folgenabschätzungen: Sie kommen mit 10DPO, der Erweiterung von 10Safety für den DatenschutzDemnächst
- Die gemeinsamen Nachweise mit ISO/IEC 27001, einmal hochgeladenDemnächst
- Datenschutzverletzungen erfasst mit ihren MeldefristenDemnächst
- Der Weg zu einer Zertifizierung nach Art. 42, Verarbeitung für VerarbeitungDemnächst
Fragen
Die ersten Fragen zu GDPR.
Gibt es eine „GDPR-Zertifizierung“ des Unternehmens?
Nein: Zertifiziert werden Verarbeitungsvorgänge, mit nach Art. 42 genehmigten Programmen. Europrivacy war das erste vom EDPB genehmigte europäische Siegel, und in Italien akkreditiert Accredia die Stellen, die es vergeben.
Vermeide ich Bußgelder, wenn ich zertifiziert bin?
Nein: Die Zertifizierung mindert nicht die Verantwortung des Verantwortlichen. Die Behörde berücksichtigt sie aber, wenn sie über die Höhe eines Bußgelds entscheidet.
Gilt ISDP©10003 als GDPR-Zertifizierung?
Es ist ein von Accredia akkreditiertes Programm, erscheint aber zum 28.09.2026 nicht im EDPB-Register der nach Art. 42 genehmigten Mechanismen und hat daher diesen Wert nicht.
Quellen
Jeder Verweis in diesem Steckbrief stammt aus einer dieser Quellen, geprüft am 28.09.2026. Ändert sich ein Gesetz oder eine Norm, wird der Steckbrief aktualisiert.
Quellen
- Regulation (EU) 2016/679, GDPR (EUR-Lex) (öffnet in einem neuen Tab)
- Garante privacy — certificazione e accreditamento (öffnet in einem neuen Tab)
- EDPB — Opinion 28/2022 on the Europrivacy criteria of certification (öffnet in einem neuen Tab)
- EDPB — Register of certification mechanisms, seals and marks (öffnet in einem neuen Tab)
- Accredia — Europrivacy (öffnet in einem neuen Tab)
- Accredia — protezione dei dati personali (ISDP©10003) (öffnet in einem neuen Tab)
Warteliste
Wir schreiben Ihnen, wenn 10ISO startet.
Eine Minute: wer Sie sind, Ihre E-Mail und die Norm, die Sie interessiert. Das ist kein Abo, und wir fragen nicht nach einer Karte.