ISO 27701-Zertifizierung: Datenschutz als Teil Ihres Managementsystems
Organisationen verarbeiten immer mehr personenbezogene Daten. Aufsichtsbehörden, Kunden und Partner in der Lieferkette stellen höhere Anforderungen an Transparenz und Nachweisbarkeit. Die ISO 27701-Zertifizierung zeigt, dass Sie den Datenschutz strukturell beherrschen, als Erweiterung Ihres bestehenden 27001-Managementsystems. So wird Datenschutz zu einem steuerbaren Teil Ihrer Organisation statt zu einer Verpflichtung, die immer wieder neue Aufmerksamkeit erfordert.
Was ist 27701?
27701 ist die internationale Norm für ein Privacy Information Management System, abgekürzt PIMS. Die Norm beschreibt, wie Sie die Verarbeitung personenbezogener Daten zusätzlich zu einem 27001-Managementsystem für Informationssicherheit absichern.
27701 übersetzt Datenschutzverpflichtungen in praktikable Prozesse. Die Norm hilft Ihnen, Datenschutzrisiken explizit zu machen und zu priorisieren, Rollen und Verantwortlichkeiten klar zuzuweisen und gegenüber Aufsichtsbehörden und Kunden nachweislich „in control“ zu sein. Die Norm ersetzt die DSGVO nicht. 27701 ist der Steuerungsmechanismus, mit dem Sie DSGVO-Compliance nachhaltig einbetten.
Worum es bei 27701 geht
Bei 27701 geht es um vier zusammenhängende Themen. Es beginnt mit dem Einblick in Ihre personenbezogenen Daten und Verarbeitungen: Sie wissen, was Sie verarbeiten, warum, auf welcher Grundlage und mit wem. Danach machen Sie Datenschutzrisiken explizit und priorisieren sie, wobei DPIAs Teil Ihrer Risikosteuerung werden, anstatt eine separate Pflichtübung zu bleiben.
Das dritte Thema ist Governance, Rollen und Accountability. Die Verantwortlichkeiten von Verantwortlichem, Auftragsverarbeiter, DSB und Management sind festgelegt, sodass klar ist, wer worüber entscheidet. Das vierte Thema ist die Nachweisbarkeit gegenüber der Kette und der Aufsicht. Sie richten die Kontrolle im Vorfeld ein, sodass Sie im Nachhinein nichts rekonstruieren müssen, wenn ein Kunde, Auditor oder eine Aufsichtsbehörde danach fragt.
Warum 27701 jetzt zählt
Viele Organisationen erkennen dasselbe Bild. Datenschutzverantwortlichkeiten sind über Legal, IT, Security und den operativen Betrieb verteilt. Verarbeitungsverzeichnisse und DPIAs existieren, stehen aber isoliert vom Risikomanagement. Kettenvereinbarungen mit Auftragsverarbeitern sind unvollständig oder schwer nachweisbar. Datenschutzfragen kommen oft erst unter Zeitdruck auf den Tisch, und dem Vorstand fehlt der Überblick und die Steuerungsinformationen.
27701 bringt hier Struktur und Priorität hinein. Datenschutz wird zu einem festen Bestandteil des Managementsystems, mit dem gleichen Rhythmus wie Ihre Informationssicherheit: Risikobewertung, Maßnahmen, Interne Audit und Managementbewertung.
In der Praxis scheitert eine 27701-Implementierung selten an der Technik. Der Engpass liegt in der Eigenverantwortung: Wer ist für eine Verarbeitung verantwortlich und wer entscheidet über das Ergebnis einer DPIA.
Wie 27701 aufgebaut ist
27701 baut auf 27001 auf und fügt datenschutzspezifische Anforderungen hinzu. Die Norm arbeitet entlang dreier Linien.
Datenschutz im Managementsystem
Datenschutz wird Teil Ihrer Politik, Ziele, des Risikomanagements, der Entscheidungsfindung, der Internen Audits und der Managementbewertung. Der PDCA-Zyklus gilt auch für den Datenschutz, sodass sich der Ansatz ständig weiterentwickelt.
Datenschutz-Risikomanagement
Verarbeitungen, Risiken und Maßnahmen werden miteinander verknüpft. DPIAs fungieren als vertiefendes Instrument, und Informationssicherheits- und Datenschutzrisiken fließen in einer Bewertung zusammen.
Rollen und Verpflichtungen in der Kette
ISO 27701 unterscheidet zwischen dem Verantwortlichen, dem Auftragsverarbeiter und der gemeinsamen Verantwortlichkeit. Diese Rollen übersetzen Sie in konkrete Vereinbarungen, Maßnahmen und Monitoring. Die 27701 unterteilt die zusätzlichen Anforderungen nach Rollen: Annex A für Verantwortliche und Annex B für Auftragsverarbeiter. So weiß jede Partei in der Kette, welche Maßnahmen zur eigenen Rolle gehören.
Unser Ansatz: vom Papier in die Praxis
SCHRITT 01
Datenschutz im Kontext
Wir beginnen bei Ihrem Organisationskontext, Ihren Prozessen, Ketten und den Arten von personenbezogenen Daten, die Sie verarbeiten. So betrachten wir Datenschutz immer im Zusammenhang, nicht als isoliertes Thema.
Verarbeitungen
SCHRITT 02
Risikoorientiertes Arbeiten
DPIAs, Verarbeitungsverzeichnis, Aufbewahrungsfristen, Betroffenenrechte und Kettenvereinbarungen fließen in einem Risikorahmen zusammen. Die Priorität liegt auf den Risiken, auf die es wirklich ankommt.
Risikorahmen
SCHRITT 03
Governance und Entscheidungsfindung
Wir machen explizit, wer entscheidet, wer Eigentümer ist und was beim DSB oder dem Management liegt. Rollen und Mandate legen wir fest und sorgen für deren Akzeptanz.
Accountability
SCHRITT 04
Ein Managementsystem
Wir integrieren 27701 vollständig in 27001 sowie in Ihre Internen Audits und Managementbewertungen. Kein Parallelsystem neben Ihrer bestehenden Governance.
27001 · Interne Audit
Sie arbeiten mit einem festen Engagement-Team für Datenschutz, Sicherheit, Governance und Risiko zusammen. Ein Lead Consultant nach außen, mehrere Experten im Hintergrund.
Was 27701 bringt
Nach einem 27701-Projekt verfügen Sie über ein Datenschutz-Managementsystem, das nachweislich den DSGVO-Prinzipien entspricht und Datenschutzrisiken strukturell mit Ihrer Risikosteuerung verknüpft. Sie wissen, welche Rolle Sie in der Kette einnehmen, und Governance sowie Accountability sind verankert, statt in losen Vereinbarungen verstreut zu sein.
Das merken Sie vor allem bei Audits. Interne und externe Audits verlaufen einfacher und vorhersehbarer, da die Kontrolle im Vorfeld eingerichtet wurde. Dies schafft Vertrauen bei Kunden und Aufsichtsbehörden, und das System wächst mit Ihrer Organisation und neuen Vorschriften mit. Das Ergebnis ist ein Datenschutz, der gut geregelt ist und steuerbar bleibt, ohne unnötige Bürokratie.
Für wen gedacht
Die ISO 27701-Zertifizierung eignet sich für Organisationen, die bereits über ISO 27001 verfügen und den Datenschutz integrieren möchten, die personenbezogene Daten in großem Umfang verarbeiten oder in komplexen Ketten tätig sind. Die Norm passt auch gut zu Organisationen, die Datenschutz als Reifegradthema betrachten und über eine bloße Checkliste hinausgehen wollen.
Wir arbeiten viel für das Gesundheitswesen und die Gesundheits-IT, SaaS und IT-Dienstleistungen, das Bildungswesen sowie öffentliche und halböffentliche Organisationen.
Häufig gestellte Fragen
Die DSGVO ist eine Gesetzgebung und beschreibt, was Sie erfüllen müssen. 27701 ist eine Norm und beschreibt, wie Sie dies strukturell organisieren. Die Norm bietet Ihnen ein Managementsystem, mit dem Sie DSGVO-Verpflichtungen in Prozesse, Rollen und Kontrollmaßnahmen übersetzen. Eine Zertifizierung nach 27701 belegt, dass diese Einrichtung funktioniert. Ihre gesetzliche Verantwortung unter der DSGVO bleibt dabei in vollem Umfang bestehen.
27701 erweitert ein 27001-Managementsystem, daher ist ein funktionierendes 27001-System die logische Basis. Sie können beide Projekte kombinieren, obwohl es in der Praxis oft effizienter ist, zuerst 27001 einzurichten. Wenn Sie 27001 bereits haben, baut 27701 mit datenschutzspezifischen Anforderungen darauf auf. Wir beurteilen zu Beginn, ob ein integriertes oder ein phasenweises Vorgehen besser zu Ihrer Situation passt.
Das hängt von der Größe Ihrer Organisation, der Komplexität Ihrer Ketten und dem Zustand Ihres bestehenden 27001-Systems ab. Für Organisationen mit einem funktionierenden 27001-Managementsystem dauert ein 27701-Projekt in der Regel zwischen 12 und 20 Wochen bis zur Auditreife. Wir legen die Durchlaufzeit nach einer ersten Bewertung Ihrer Verarbeitungen, Rollen und Risiken fest.
Ja. Viele Gesundheitsorganisationen kombinieren Informationssicherheit nach NEN 7510 mit Datenschutzmanagement nach 27701. Beide Normen teilen die gleiche Managementsystemstruktur und den gleichen Rhythmus von Risikobewertung, Interne Audit und Managementbewertung. Wir integrieren die Anforderungen in ein System, sodass Sie nicht mit separaten Projekten und doppelter Dokumentation arbeiten müssen. Das hält die Governance übersichtlich und den Auditaufwand gering.
Bereit für einen Datenschutz, der steuerbar ist?
Unverbindlich, praktisch und auf Ihre Situation zugeschnitten.