„Der Hund beißt nicht“: Was eine DSGVO-Zertifizierung wirklich aussagt

„Ist die Software denn wirklich sicher?“ – „Ja, die ist DSGVO-konform.“ In vielen Auswahlprozessen beendet dieser Wortwechsel die Diskussion. Er sollte sie eröffnen. Eine DSGVO-Zertifizierung existiert zwar, sie ist in Art. 42 DSGVO ausdrücklich vorgesehen – nur sagt sie etwas anderes aus, als die meisten annehmen. Dieser Beitrag ordnet ein, was Siegel, Zertifikate und Konformitätsversprechen belegen und was Sie selbst prüfen müssen.

Das Wichtigste in Kürze

• Eine DSGVO-Zertifizierung nach gibt es – sie bezieht sich aber auf Verarbeitungsvorgänge eines Verantwortlichen oder Auftragsverarbeiters, nicht auf ein Produkt.
• Sie ist freiwillig, auf höchstens drei Jahre befristet und mindert Ihre eigene Verantwortung ausdrücklich nicht.
• ISO 27001 und BSI C5 betreffen Informationssicherheit, nicht Datenschutzkonformität. Sie sind wertvoll – aber sie beantworten eine andere Frage.
• Die CE-Kennzeichnung nach der KI-Verordnung existiert, gilt aber nur für Hochrisiko-KI-Systeme und richtet sich an deren Anbieter.
• Belastbar ist nicht das Logo, sondern die Kombination aus Vertrag, Konfiguration und dokumentierten Maßnahmen.

Gibt es eine DSGVO-Zertifizierung?

Ja – und das ist der erste Punkt, an dem die verbreitete Pauschalkritik zu kurz greift. Art. 42 DSGVO sieht datenschutzspezifische Zertifizierungsverfahren sowie Datenschutzsiegel und -prüfzeichen ausdrücklich vor. Erteilt werden sie von akkreditierten Zertifizierungsstellen nach Art. 43 DSGVO oder von der zuständigen Aufsichtsbehörde, und zwar anhand genehmigter Kriterien.

Genehmigt der Europäische Datenschutzausschuss die Kriterien, kann daraus das Europäische Datenschutzsiegel werden (Art. 42 Abs. 5 DSGVO). Der Ausschuss führt nach Art. 42 Abs. 8 DSGVO ein öffentliches Register aller Zertifizierungsverfahren, Siegel und Prüfzeichen. Dort können Sie nachsehen, ob ein Siegel, das Ihnen ein Anbieter zeigt, überhaupt ein genehmigtes Verfahren nach der DSGVO ist – oder eine Eigenkreation.

Genau hier liegt der praktische Wert: Nicht jedes Logo auf einer Anbieter-Website steht für ein anerkanntes Verfahren. Der Abgleich mit dem Register dauert wenige Minuten.

Was eine DSGVO-Zertifizierung nicht leistet

Der entscheidende Satz steht in Art. 42 Abs. 1 DSGVO: Zertifizierungsverfahren dienen dem Nachweis, dass die Verordnung bei Verarbeitungsvorgängen von Verantwortlichen oder Auftragsverarbeitern eingehalten wird. Zertifiziert wird also ein Verarbeitungsvorgang bei einem konkreten Unternehmen unter konkreten Bedingungen – nicht ein Stück Software als solches.

Drei weitere Einschränkungen stehen direkt im Gesetz:

• Freiwilligkeit (Art. 42 Abs. 3 DSGVO): Es gibt keine Pflicht zur Zertifizierung. Das Fehlen eines Siegels ist kein Mangel.
• Befristung (Art. 42 Abs. 7 DSGVO): Die Zertifizierung gilt höchstens drei Jahre und wird widerrufen, wenn die Voraussetzungen wegfallen. Ein Siegel ohne Datum ist wertlos.
• Keine Haftungsverlagerung (Art. 42 Abs. 4 DSGVO): Die Zertifizierung „mindert nicht die Verantwortung des Verantwortlichen oder des Auftragsverarbeiters für die Einhaltung dieser Verordnung“.

Das Gesetz selbst stuft die Aussagekraft ein. Nach Art. 24 Abs. 3 DSGVO kann ein genehmigtes Zertifizierungsverfahren „als Gesichtspunkt herangezogen werden“, um die Erfüllung der Pflichten nachzuweisen. Art. 32 Abs. 3 DSGVO nennt es „als Faktor“ für die Sicherheit der Verarbeitung, Art. 28 Abs. 5 DSGVO „als Faktor“, um hinreichende Garantien eines Auftragsverarbeiters nachzuweisen. Gesichtspunkt und Faktor – nicht Beweis und nicht Freibrief.

ISO 27001, BSI C5 und die anderen: richtige Antwort, falsche Frage

Die bekanntesten Nachweise, die Anbieter vorlegen, sind keine Datenschutzzertifizierungen.

Das BSI beschreibt den Kriterienkatalog C5 als Mindestanforderungen an sicheres Cloud Computing und weist darauf hin, dass Kundinnen und Kunden den Prüfbericht selbst auswerten und eine eigene Risikoanalyse vornehmen müssen. Ein C5-Testat ist ein gutes Argument – aber es ist ein Argument über Serversicherheit, nicht über die Rechtmäßigkeit Ihrer Verarbeitung.

Diese Nachweise sind deshalb nicht wertlos, im Gegenteil: Sie lassen sich belastbar prüfen und extern bestätigen. Man muss sie nur der richtigen Frage zuordnen.

KI-Verordnung: CE-Kennzeichnung ja, „KI-Act-konform“ nein

Auch für KI gibt es ein echtes Konformitätsverfahren – aber ein eng begrenztes. Nach Art. 43 der KI-Verordnung durchlaufen Hochrisiko-KI-Systeme ein Konformitätsbewertungsverfahren, je nach Fall über interne Kontrolle oder unter Beteiligung einer notifizierten Stelle. Der Anbieter stellt danach eine EU-Konformitätserklärung aus (Art. 47 KI-VO) und bringt die CE-Kennzeichnung an (Art. 48 KI-VO).

Daraus folgt dreierlei. Erstens betrifft das Verfahren Hochrisiko-KI-Systeme, nicht jede Anwendung mit KI-Funktion. Zweitens richtet es sich an den Anbieter – wenn Sie ein System nur betreiben, ersetzt seine CE-Kennzeichnung Ihre eigenen Pflichten als Betreiber nicht. Drittens sagt die CE-Kennzeichnung nichts über den Datenschutz: Sie bestätigt die Anforderungen der KI-Verordnung, nicht die der DSGVO.

Ein allgemeines Zeichen „KI-Verordnung-konform“ für beliebige Software sieht die Verordnung nicht vor. Wer damit wirbt, beschreibt kein gesetzliches Verfahren. Wie Sie eine KI-Anwendung stattdessen strukturiert prüfen, haben wir in unserem Beitrag Bevor Sie eine KI-Anwendung einführen: Fünf Fragen beschrieben.

Warum „datenschutzkonforme Software“ die falsche Kategorie ist

Konformität ist kein Produktmerkmal, sondern eine Eigenschaft Ihrer Verarbeitung. Dieselbe Software kann im einen Unternehmen rechtmäßig eingesetzt werden und im anderen nicht – weil Zweck, Datenarten, Rechtsgrundlage, Konfiguration und Empfänger sich unterscheiden.

Die DSGVO adressiert das direkt. Art. 25 DSGVO verpflichtet den Verantwortlichen zu Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen – nicht den Hersteller. Auch bei einer Anwendung, die datensparsame Voreinstellungen mitbringt, bleibt es Ihre Aufgabe, diese Einstellungen zu wählen, zu dokumentieren und zu überwachen.

Was es also gibt, ist eine Anwendung, die sich DSGVO- und KI-VO-konform konfigurieren und einsetzen lässt. Das setzt technische und organisatorische Maßnahmen voraus – und den Nachweis, dass sie tatsächlich greifen (Art. 24 Abs. 1 DSGVO).

Praxis: Was einen belastbaren Nachweis ausmacht

Statt Logos zu sammeln, prüfen Sie die Unterlagen, die Sie ohnehin brauchen.

1. Auftragsverarbeitungsvertrag. Liegt ein Vertrag nach Art. 28 Abs. 3 DSGVO vor? Sind Gegenstand, Dauer, Art und Zweck der Verarbeitung, Datenarten und Betroffenenkategorien konkret benannt – oder nur Textbausteine?
2. Unterauftragsverarbeiter. Gibt es eine aktuelle, vollständige Liste, und werden Änderungen angekündigt (Art. 28 Abs. 2 DSGVO)?
3. Drittlandtransfer. Fließen Daten in Drittländer, und auf welcher Grundlage – Angemessenheitsbeschluss oder Standardvertragsklauseln nebst Transfer Impact Assessment?
4. Technische und organisatorische Maßnahmen. Ist die TOM-Beschreibung nach Art. 32 DSGVO prüfbar formuliert oder eine Aufzählung von Schlagwörtern?
5. Konfiguration. Welche Einstellungen sind nötig – Telemetrie, Protokollierung, Speicherorte, Aufbewahrung, Training mit Ihren Eingaben? Halten Sie den Soll-Zustand schriftlich fest.
6. Prozessbeschreibung. Wer darf die Anwendung wofür nutzen, und wie wird das intern zugänglich gemacht?
7. Nachweise mit Datum. Testate und Zertifikate mit Geltungsbereich und Laufzeit anfordern – nicht das Bild des Siegels, sondern das Dokument.
8. Der Gegencheck beim Anbieter. Prüfen Sie die Website des Anbieters selbst: Datenschutzerklärung, Cookie-Einwilligung, eingebundene Dienste. Wer dort nachlässig ist, behandelt Datenschutz selten im Produkt sorgfältiger.

Der letzte Punkt ist der günstigste. Er kostet lediglich ein paar Minuten und liefert ein erstes, erstaunlich verlässliches Signal für die Datenschutz-Sensibilität eines Unternehmens.

Häufige Fragen

Ist ein Anbieter ohne Zertifikat schlechter?

Nicht zwangsläufig. Die Zertifizierung ist nach Art. 42 Abs. 3 DSGVO freiwillig. Aussagekräftiger als ein Siegel sind ein sauberer Auftragsverarbeitungsvertrag, eine prüfbare TOM-Beschreibung und klare Auskünfte zu Speicherorten und Unterauftragsverarbeitern.

Wie erkenne ich, ob ein Siegel echt ist?

Über das Register des Europäischen Datenschutzausschusses nach Art. 42 Abs. 8 DSGVO. Steht das Verfahren dort nicht, ist es kein genehmigtes Zertifizierungsverfahren im Sinne der DSGVO. Fragen Sie zusätzlich nach Zertifizierungsstelle, Geltungsbereich und Gültigkeitsdauer.

Reicht ISO 27001 für den Nachweis nach Art. 32 DSGVO?

Als alleiniger Nachweis nicht. Art. 32 Abs. 3 DSGVO nennt ausdrücklich nur genehmigte Verhaltensregeln nach Art. 40 und genehmigte Zertifizierungsverfahren nach Art. 42 als Faktor. Ein Managementsystem für Informationssicherheit ist ein starkes Indiz für organisierte Sicherheit, ersetzt aber die Bewertung Ihrer konkreten Verarbeitung nicht.

Unser Anbieter sagt, die Software sei „100 % DSGVO-konform“. Was tun?

Bitten Sie schriftlich um die Belege: Welches Verfahren, welche Stelle, welcher Geltungsbereich, welche Laufzeit? Bleibt die Antwort allgemein, ist die Aussage Werbung. Das ist kein Grund, den Anbieter auszuschließen – wohl aber, selbst zu prüfen.

Gilt das auch für Open-Source-Software im eigenen Rechenzentrum?

Ja. Auch dann entscheidet die Verarbeitung, nicht das Produkt. Der Unterschied ist, dass Sie Konfiguration und Maßnahmen vollständig selbst verantworten und dokumentieren müssen.

Quellen

• Verordnung (EU) 2016/679 (DSGVO), EUR-Lex – Art. 24, 25, 28, 32, 42 und 43
• Verordnung (EU) 2024/1689 (KI-Verordnung), EUR-Lex – Art. 43, 47 und 48
• Register der Zertifizierungsverfahren, Siegel und Prüfzeichen, Europäischer Datenschutzausschuss
• Kriterienkatalog C5, Bundesamt für Sicherheit in der Informationstechnik

Stand: September 2026. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.

Sie möchten wissen, ob eine Anwendung in Ihrem Haus rechtmäßig eingesetzt wird – und wollen den Nachweis statt eines Siegels? Vereinbaren Sie einen Termin – im Rahmen unserer Datenschutzberatung und der KI-Compliance prüfen wir Vertrag, Konfiguration und Dokumentation gemeinsam mit Ihnen.