ISO 27701-Zertifizierung,
verständlich erklärt

ISO/IEC 27701 ist die internationale Norm für ein Datenschutz-Managementsystem, kurz PIMS. Sie zertifiziert nicht, dass Sie ein bestimmtes Datenschutzgesetz einhalten. Sie zertifiziert, dass Sie ein funktionierendes System zum Schutz von Personendaten betreiben: Sie wissen, welche Personendaten Sie wozu verarbeiten, auf welcher Rechtsgrundlage, mit welchen Auftragsverarbeitern und in welchen Ländern, Sie beurteilen die Risiken für die Menschen hinter den Daten, Sie beantworten deren Anfragen, Sie melden Datenschutzverletzungen, und Sie auditieren und verbessern all das.

Die Norm verwendet ein eigenes Vokabular aus ISO/IEC 29100. PII sind personenbezogene Daten, der PII Principal ist die betroffene Person, der PII Controller entscheidet über Zwecke und Mittel, und der PII Processor verarbeitet Personendaten im Auftrag eines Verantwortlichen. Wer die DSGVO kennt, liest: Personendaten, betroffene Person, Verantwortlicher und Auftragsverarbeiter.

Die Anforderungen folgen der harmonisierten Struktur, die ISO für alle Managementsystem-Normen verwendet, und sehen deshalb aus wie ISO 27001 mit Datenschutz an Stelle von Informationssicherheit. Clause 4 ist der Kontext: welche Rolle Sie für jede Verarbeitungstätigkeit einnehmen, welche Datenschutzgesetze und Verträge gelten und was das PIMS abdeckt. Clause 5 ist die Führung: Die oberste Leitung verantwortet die Datenschutzpolitik, die Ziele und die Zuweisung der Rollen, einschliesslich einer Datenschutzberaterin oder eines Datenschutzberaters, wo das Gesetz dies verlangt. Clause 6 ist die Planung: eine Datenschutz-Risikobeurteilung, die die Folgen für die Menschen hinter den Daten gewichtet und nicht nur für die Organisation, ein Risikobehandlungsprozess, der in einer Erklärung zur Anwendbarkeit gegenüber Annex A mündet, und messbare Datenschutzziele.

Clause 7 ist die Unterstützung: Ressourcen, Kompetenz, Bewusstsein, Kommunikation und dokumentierte Information, die bei einem PIMS das Verarbeitungsverzeichnis, Folgenabschätzungen, Verträge mit Auftragsverarbeitern und Einwilligungsnachweise umfasst. Clause 8 ist der Betrieb: die Prozesse laufen lassen, die Risikobeurteilung vor neuen oder geänderten Verarbeitungen wiederholen und den Behandlungsplan umsetzen. Clause 9 ist die Leistungsbewertung: Datenschutzkennzahlen, internes Audit und Managementbewertung. Clause 10 ist die Verbesserung: Nichtkonformitäten, Korrekturmassnahmen und fortlaufende Verbesserung.

Annex A ist der Ort, an dem die Datenschutzsubstanz liegt, und er ist nach Ihrer Rolle gegliedert. Tabelle A.1 enthält 31 Controls für Verantwortliche, gruppiert in Bedingungen für Erhebung und Verarbeitung (Zweck, Rechtsgrundlage, Einwilligung, Folgenabschätzung, Verträge mit Auftragsverarbeitern, Verzeichnisse), Pflichten gegenüber betroffenen Personen (Information, Auskunft, Berichtigung, Löschung, Widerspruch, Datenübertragbarkeit, automatisierte Entscheidungen), Privacy by Design und by Default (Grenzen für Erhebung und Verarbeitung, Richtigkeit, Minimierung, Aufbewahrung, Entsorgung, Übermittlung) sowie Weitergabe, Übermittlung und Offenlegung (Übermittlungsgrundlage, Zielländer, Aufzeichnungen).

Tabelle A.2 enthält 18 Controls für Auftragsverarbeiter: Verarbeitung nur nach den dokumentierten Weisungen des Kunden, keine Nutzung für eigene oder Marketingzwecke, Hinweis auf rechtswidrige Weisungen, dem Kunden liefern, was er zum Nachweis der Konformität und zur Beantwortung seiner betroffenen Personen braucht, Rückgabe oder Löschung der Daten am Ende sowie die vollständige Disziplin für Unterauftragsverarbeiter mit Offenlegung, vorheriger Genehmigung, weitergegebenen Vertragspflichten und Änderungsmitteilung. Tabelle A.3 enthält 29 Informationssicherheits-Controls aus ISO 27002:2022, für Personendaten geschärft, von Klassifizierung und Zugriffsrechten bis zu Protokollierung, Backup, Kryptografie, sicherer Entwicklung und Testdaten. Annex B liefert Umsetzungshinweise zu jedem Control.

Die Norm ist bewusst gesetzesneutral. Sie verlangt, dass Sie die für Sie geltenden Datenschutzgesetze bestimmen und ein System betreiben, das diese erfüllt, und ihre Annex-A-Controls sind so geschrieben, dass die Pflichten der grossen Datenschutzgesetze einen Platz haben: das Verarbeitungsverzeichnis, die Rechtsgrundlage, die Folgenabschätzung, die Datenschutzberatung, der Vertrag mit dem Auftragsverarbeiter, die Übermittlungsgrundlage, die Rechte auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit und die Meldung von Datenschutzverletzungen. Die Norm enthält zudem Anhänge, die ihre Controls anderen Datenschutz-Rahmenwerken zuordnen.

Das macht sie zur natürlichen Brücke zwischen einem ISMS und dem Datenschutzrecht. Eine Organisation, die ISO 27001 betreibt und der DSGVO oder dem Schweizer DSG unterliegt, stellt in der Regel fest, dass die meisten ihrer gesetzlichen Pflichten bereits einen Prozess haben, aber kein Managementsystem darum herum: Niemand auditiert den Prozess für Betroffenenanfragen, das Register der Auftragsverarbeiter lebt in einer Tabelle, und die Folgenabschätzungen liegen dort, wo das letzte Projekt sie hinterlassen hat. ISO 27701 stellt diese Prozesse unter dieselbe Disziplin wie die Sicherheits-Controls, mit demselben Audit- und Bewertungszyklus.

Die Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle in denselben zwei Stufen wie bei ISO 27001. Stage 1 ist eine Bereitschaftsprüfung des dokumentierten PIMS: Geltungsbereich, Datenschutzpolitik, Rollenbestimmung, Risikobeurteilung und -behandlung, die Erklärung zur Anwendbarkeit gegenüber Annex A und ob internes Audit und Managementbewertung stattgefunden haben. Stage 2 ist das Umsetzungsaudit: Der Auditor prüft stichprobenweise Verarbeitungstätigkeiten, verfolgt eine Betroffenenanfrage durch den Prozess, kontrolliert Verträge mit Auftragsverarbeitern und Übermittlungsaufzeichnungen, testet das Verfahren bei Datenschutzverletzungen und befragt die Personen, die es betreiben.

Seit der Ausgabe 2025 wählen Sie zwischen einem eigenständigen PIMS-Zertifikat und einem integrierten Audit mit ISO 27001, bei dem ein Auditprogramm, eine Managementbewertung und ein Korrekturmassnahmenprozess beiden dienen. Organisationen mit einem Zertifikat nach der Ausgabe 2019 wechseln nach dem Zeitplan ihrer Zertifizierungsstelle zur Ausgabe 2025. Das Zertifikat folgt dann dem üblichen Dreijahreszyklus: ein Überwachungsaudit in den Jahren eins und zwei und ein Rezertifizierungsaudit im dritten Jahr.

Datenschutz ist der Teil eines Managementsystems, der sich zwischen den Audits am stärksten verändert. Neue Verarbeitungen beginnen, Anbieter und Unterauftragsverarbeiter wechseln, ein Angemessenheitsbeschluss fällt, ein neues Gesetz gilt, und jedes dieser Ereignisse muss im Verarbeitungsverzeichnis, in der Risikobeurteilung, in den Datenschutzerklärungen und in den Verträgen ankommen. Überwachungsauditoren folgen genau diesen Spuren: Sie greifen eine Verarbeitung heraus, die seit dem letzten Besuch begonnen hat, und verlangen deren Beurteilung, Vertrag und Datenschutzerklärung.

Teams, die Verarbeitungsverzeichnis, Register der Auftragsverarbeiter und Beurteilungen an einem Ort führen, verknüpft mit den Controls, die sie erfüllen, beantworten das in Minuten. Teams, die sie in getrennten Tabellen halten, bauen die Spur vor jedem Audit neu auf.

Die Zertifizierungsstelle verrechnet die Stage-1- und Stage-2-Audits sowie jedes Überwachungsaudit, skaliert nach Umfang und Komplexität der Verarbeitung im Geltungsbereich. Wenn Sie das Audit mit ISO 27001 zusammenlegen, sind die zusätzlichen Audittage überschaubar. Diese Gebühr ist meist der kleinere Teil.

Der grössere Kostenblock ist das System: das Verarbeitungsverzeichnis aufbauen und pflegen, Folgenabschätzungen vor dem Start statt danach durchführen, jeden Auftragsverarbeiter vertraglich binden und überwachen, Betroffenenanfragen fristgerecht beantworten und all das nachweisen. Zwei Hebel bewegen diese Kosten. Der Geltungsbereich, weil die Zertifizierung der Verarbeitungen, nach denen Ihre Kunden tatsächlich fragen, günstiger ist als die Zertifizierung von allem. Und die Integration, weil ein bestehendes ISMS bereits das Auditprogramm, die Managementbewertung, den Korrekturmassnahmenprozess und die meisten Controls der Tabelle A.3 liefert.