ISO 27701 erweitert ISO 27001 um konkrete Datenschutzanforderungen. Sie verbindet Informationssicherheit und DSGVO-Compliance in einem gemeinsamen Managementsystem.
ISO 27701 ist eine Erweiterungsnorm zu ISO/IEC 27001 und ISO/IEC 27002. Sie spezifiziert Anforderungen und gibt Leitlinien für den Aufbau, die Implementierung, den Betrieb und die kontinuierliche Verbesserung eines PIMS (Privacy Information Management System – ein strukturiertes System zur Steuerung des Umgangs mit personenbezogenen Daten im Unternehmen).
Der Grundgedanke: Informationssicherheit und Datenschutz werden häufig parallel, aber getrennt voneinander gemanagt. ISO 27701 schließt diese Lücke, indem sie das bestehende ISMS nach ISO 27001 um datenschutzspezifische Kontrollen ergänzt. Ein Unternehmen, das ISO 27001 bereits implementiert hat, kann ISO 27701 als Erweiterung aufsetzen, ohne von vorne beginnen zu müssen.
ISO 27701 ist keine eigenständige Norm, sondern setzt ISO 27001 voraus. Sie kann nicht isoliert eingeführt oder zertifiziert werden.
ISO 27701 ist die richtige Ergänzung für Unternehmen, die bereits ISO 27001 implementiert haben und ihre Datenschutz-Compliance, insbesondere nach DSGVO, strukturiert nachweisen wollen.
Typische Szenarien: Das Unternehmen verarbeitet personenbezogene Daten in großem Umfang, etwa als Auftragsverarbeiter für andere Unternehmen. Kunden oder Auftraggeber verlangen einen strukturierten Nachweis zur Datenschutz-Compliance über eine Datenschutzerklärung hinaus. Das Unternehmen möchte DSGVO-Anforderungen und ISO-27001-Maßnahmen in einem gemeinsamen System abbilden, statt zwei parallele Strukturen zu pflegen.
ISO 27701 eignet sich besonders für IT-Dienstleister, Cloud-Anbieter und alle Unternehmen, die als Auftragsverarbeiter (ein Unternehmen, das personenbezogene Daten im Auftrag eines anderen Unternehmens verarbeitet) tätig sind.
ISO 27701 erweitert ISO 27001 um datenschutzspezifische Anforderungen in zwei Richtungen: für Verantwortliche und für Auftragsverarbeiter.
Der Verantwortliche (das Unternehmen, das über Zweck und Mittel der Datenverarbeitung entscheidet) muss zusätzliche Kontrollen umsetzen: Rechtsgrundlagen für jede Verarbeitung dokumentieren, Einwilligungsmanagement (strukturierte Verwaltung von Einwilligungen zur Datenverarbeitung) etablieren, Datenschutz-Folgenabschätzungen (DSFA – eine systematische Bewertung von Datenschutzrisiken bei risikoreichen Verarbeitungen) durchführen und Betroffenenrechte operationalisieren.
Der Auftragsverarbeiter muss nachweisen, dass er nur auf dokumentierte Weisung des Verantwortlichen handelt, Unterauftragsverarbeiter kontrolliert und die vereinbarten Datenschutzanforderungen vollständig umsetzt.
ISO 27701 verlangt klare Verantwortlichkeiten: ein benannter Datenschutzbeauftragter (sofern gesetzlich gefordert), dokumentierte Datenschutzrichtlinien und einen strukturierten Prozess für den Umgang mit Datenschutzverletzungen.
Alle datenschutzrelevanten Risiken werden in die bestehende Risikobeurteilung nach ISO 27001 integriert. Die Maßnahmen aus ISO 27701 ergänzen den Anhang A von ISO 27001, ohne ihn zu ersetzen.
ISO 27701 ist kein direktes Instrument zur DSGVO-Compliance, aber es besteht eine enge inhaltliche Übereinstimmung. Die Norm deckt die wesentlichen Anforderungen der DSGVO ab und kann als strukturierter Nachweis dienen, dass ein Unternehmen Datenschutz systematisch und nicht nur reaktiv betreibt.
Eine ISO-27701-Konformität ersetzt keine Datenschutzerklärung, kein Verarbeitungsverzeichnis und keinen Datenschutzbeauftragten, wo dieser gesetzlich gefordert ist. Sie ergänzt diese Maßnahmen durch ein nachweisbares Managementsystem.
Digimojo begleitet Unternehmen beim Aufbau eines PIMS nach ISO 27701 als Erweiterung eines bestehenden ISO-27001-ISMS. Das umfasst die Gap-Analyse, die Erweiterung der Dokumentation und Richtlinien, die Integration der Datenschutzkontrollen und die Vorbereitung auf eine kombinierte ISO-27001/ISO-27701-Zertifizierung.
DigimojoCOMPLY unterstützt die strukturierte Dokumentation beider Normen in einem gemeinsamen System.
Schreib uns kurz, worum es geht. Wir melden uns innerhalb von 24 Stunden mit konkreten nächsten Schritten.
