Was ISO 27701 ist
ISO/IEC 27701 legt Anforderungen an ein Datenschutz-Informationsmanagementsystem (PIMS) fest: wie eine Organisation personenbezogene Daten als Verantwortlicher, als Auftragsverarbeiter oder in beiden Rollen verwaltet. Die erste Ausgabe von 2019 war eine Erweiterung von ISO 27001. Die Ausgabe von 2025 steht für sich, ist ohne ISO 27001 zertifizierbar und bringt eigene Sicherheitskontrollen mit. Sie enthält getrennte Kontrollen für Verantwortliche und Auftragsverarbeiter und bildet sie auf die DSGVO und andere Datenschutzgesetze ab.
Was Kunden fragen
Die Fragen überschneiden sich mit einer DSGVO-Lieferantenbewertung und sind nach den Kontrollgruppen der Norm geordnet:
- Ob Sie zertifiziert sind, nach welcher Ausgabe und was der Geltungsbereich abdeckt.
- Ihre Rolle für die Daten des Kunden, bei einem SaaS-Anbieter meist die des Auftragsverarbeiters.
- Wie Sie mit den Weisungen des Kunden umgehen, bei Anfragen betroffener Personen unterstützen und Verzeichnisse der Verarbeitungstätigkeiten führen.
- Unterauftragsverarbeiter: wer sie sind, wie sie vertraglich gebunden sind und wie der Kunde über Änderungen informiert wird.
- Übermittlungen außerhalb der EU und die dafür geltenden Garantien.
- Aufbewahrung, Rückgabe und Löschung am Vertragsende.
- Wie eine Verletzung des Schutzes personenbezogener Daten erkannt und dem Kunden gemeldet wird.
Antworten mit Zertifikat
Hängen Sie das Zertifikat an und nennen Sie Geltungsbereich und Ausgabe. Prüfer, die die Norm kennen, fragen nach den Kontrollen für Auftragsverarbeiter, die Sie gewählt haben, und nach deren Umsetzung, so wie ein ISO 27001-Prüfer nach der Erklärung zur Anwendbarkeit fragt.
Antworten ohne Zertifikat
Beantworten Sie jede Zeile wie in einer DSGVO-Bewertung: der Fakt, die zuständige Person, der Nachweis. Ihr Auftragsverarbeitungsvertrag, Ihre Liste der Unterauftragsverarbeiter und Ihr Verfahren bei Datenschutzverletzungen beantworten die meisten Zeilen. Wenn Sie ISO 27001 haben und 27701 ergänzen wollen, sagen Sie das mit Datum.
In Responsemate
Der AVV, die Liste der Unterauftragsverarbeiter und etwaige Zertifikate liegen als Nachweise mit Prüfdatum in der Wissensdatenbank, und die Datenschutzzeilen jedes Fragebogens werden aus denselben freigegebenen Antworten entworfen, damit sie zwischen Kunden nicht auseinanderlaufen. DSGVO-Fragebögen zur Lieferantenbewertung.
Häufige Fragen
Brauchen wir ISO 27001 vor ISO 27701?
Nicht mehr. In der Ausgabe von 2019 war ISO 27701 eine Erweiterung von ISO 27001 und ließ sich nur zusätzlich dazu zertifizieren. Die Ausgabe von 2025 ist eine eigenständige Managementsystemnorm, auch wenn die meisten Organisationen beide weiterhin zusammen betreiben.
Beweist eine ISO 27701-Zertifizierung die Einhaltung der DSGVO?
Nein, und ein Prüfer wird es auch nicht so lesen. Sie zeigt, dass Datenschutz strukturiert gesteuert wird, mit Kontrollen, die auf die DSGVO abgebildet sind, und das macht den Datenschutzteil eines Fragebogens leichter zu beantworten und glaubwürdiger.