_1762866128417-DS2_OO1j.png)
Was ISO 27701 ist
ISO/IEC 27701 beschreibt ein Datenschutz-Informationsmanagementsystem (Privacy Information Management System, PIMS). Es hilft Organisationen, personenbezogene Daten systematisch zu schützen und Datenschutzpflichten – etwa aus der DSGVO – nachweisbar zu erfüllen. Die Norm unterscheidet dabei zwischen Verantwortlichen und Auftragsverarbeitern und enthält für beide Rollen eigene Maßnahmen.
Bis 2025 war ISO 27701 eine Erweiterung von ISO 27001 und setzte ein bestehendes ISMS voraus. Mit der Fassung ISO/IEC 27701:2025 ist sie eine eigenständige Managementsystemnorm nach der Harmonized Structure geworden. Sie kann damit allein oder gemeinsam mit ISO 27001 zertifiziert werden. Für bestehende Zertifikate gelten Übergangsregeln der Zertifizierungsstellen.
Zentrale Anforderungen
| Bereich | Inhalt | DSGVO-Bezug |
|---|---|---|
| Kontext und Geltungsbereich | Rolle als Verantwortlicher oder Auftragsverarbeiter, betroffene Verarbeitungen | Art. 24, 28 |
| Risikobeurteilung | Risiken für Betroffene, nicht nur für die Organisation | Art. 32, 35 |
| Verarbeitungsverzeichnis | Zwecke, Kategorien, Empfänger, Fristen | Art. 30 |
| Rechtsgrundlagen und Einwilligungen | Bestimmen und dokumentieren, Einwilligungen nachweisen | Art. 6, 7, 9 |
| Betroffenenrechte | Auskunft, Berichtigung, Löschung, Widerspruch, Übertragbarkeit | Art. 12–23 |
| Privacy by Design und Default | Datenschutz in Entwicklung und Voreinstellungen | Art. 25 |
| Auftragsverarbeitung und Übermittlungen | Verträge, Unterauftragnehmer, Drittlandtransfers | Art. 28, 44 ff. |
| Datenschutzverletzungen | Erkennen, bewerten, melden, dokumentieren | Art. 33, 34 |
So unterstützt docxpert Ihr PIMS
Verantwortlicher oder Auftragsverarbeiter?
Viele Unternehmen sind beides: Verantwortlicher für eigene Beschäftigten- und Kundendaten, Auftragsverarbeiter für Daten, die sie im Auftrag ihrer Kunden verarbeiten. ISO 27701 verlangt, dass Sie Ihre Rolle je Verarbeitung festlegen und die passenden Maßnahmen anwenden.
| Thema | Als Verantwortlicher | Als Auftragsverarbeiter |
|---|---|---|
| Rechtsgrundlage | Selbst bestimmen und dokumentieren | Weisungen des Kunden befolgen |
| Betroffenenrechte | Anfragen bearbeiten und beantworten | Kunden bei der Bearbeitung unterstützen |
| Unterauftragnehmer | Auftragsverarbeiter auswählen und vertraglich binden | Unterauftragnehmer nur mit Genehmigung einsetzen |
| Datenschutzverletzung | Innerhalb von 72 Stunden an die Aufsichtsbehörde melden | Den Verantwortlichen unverzüglich informieren |
Schritt für Schritt zum PIMS
- 1
Verarbeitungen erfassen
Das Verarbeitungsverzeichnis ist die Basis: Welche Daten werden wofür, auf welcher Rechtsgrundlage und wie lange verarbeitet?
- 2
Rollen und Geltungsbereich festlegen
Je Verarbeitung klären, ob Sie Verantwortlicher oder Auftragsverarbeiter sind.
- 3
Risiken für Betroffene bewerten
Risikobeurteilung um die Sicht der Betroffenen erweitern; bei hohem Risiko eine Datenschutz-Folgenabschätzung durchführen.
- 4
Prozesse dokumentieren
Betroffenenrechte, Löschung, Auftragsverarbeitung, Drittlandtransfers und Meldung von Verletzungen regeln.
- 5
Schulen, prüfen, verbessern
Beschäftigte sensibilisieren, interne Audits und Managementbewertung durchführen, Feststellungen als Korrekturmaßnahmen verfolgen.
Typische Dokumente eines PIMS
Welche Dokumente Sie benötigen, hängt von Ihrer Rolle und Ihren Verarbeitungen ab. Wichtiger als die Anzahl ist, dass jedes Dokument aktuell, freigegeben und den Verantwortlichen bekannt ist. Die folgende Liste zeigt die Dokumente, die in fast jedem PIMS vorhanden sind und nach denen Auditoren und Aufsichtsbehörden regelmäßig fragen:
- Geltungsbereich, Datenschutzpolitik und Rollen einschließlich Datenschutzbeauftragter
- Verzeichnis der Verarbeitungstätigkeiten als Verantwortlicher und als Auftragsverarbeiter
- Methode und Ergebnisse der Risikobeurteilung sowie Datenschutz-Folgenabschätzungen
- Verfahren zur Bearbeitung von Betroffenenanfragen mit Fristen und Nachweisen
- Lösch- und Aufbewahrungskonzept
- Verträge zur Auftragsverarbeitung und Liste der Unterauftragnehmer
- Verfahren zur Meldung von Datenschutzverletzungen und Register der Vorfälle
- Schulungsnachweise, Auditberichte und Managementbewertung
Praxistipps
- Verzeichnis lebendig halten: Neue Tools und Prozesse sollten erst nach Eintrag ins Verzeichnis genutzt werden.
- Fristen im Blick: Auskunftsersuchen müssen grundsätzlich innerhalb eines Monats beantwortet werden; Datenschutzverletzungen innerhalb von 72 Stunden gemeldet.
- Löschkonzept umsetzen: Aufbewahrungsfristen festzulegen reicht nicht – die Löschung muss auch tatsächlich stattfinden und nachweisbar sein.
- Datenschutzbeauftragte einbinden: Sie beraten und überwachen, die Verantwortung bleibt aber bei der Leitung.
Häufige Fragen
Wie lange dauert die Einführung eines PIMS?
Wenn bereits ein Verarbeitungsverzeichnis und grundlegende Datenschutzprozesse bestehen, sind drei bis sechs Monate bis zur Zertifizierungsreife realistisch. Ohne diese Grundlagen dauert es länger, weil zuerst die Verarbeitungen vollständig erfasst werden müssen.
Gibt es eine Vorlage für das Verarbeitungsverzeichnis?
Ja. Die Vorlage „Verzeichnis der Verarbeitungstätigkeiten“ ist ISO 27701 und Art. 30 DSGVO zugeordnet. Sie passen sie an Ihre Verarbeitungen an und lenken sie wie jedes andere Dokument mit Version und Freigabe.
Brauche ich für ISO 27701 eine ISO-27001-Zertifizierung?
Seit der Fassung 2025 nicht mehr zwingend: ISO/IEC 27701:2025 ist eine eigenständige Managementsystemnorm. In der Praxis werden beide Normen aber häufig gemeinsam umgesetzt, weil Informationssicherheit eine Voraussetzung für Datenschutz ist.
Ist ein ISO-27701-Zertifikat eine DSGVO-Zertifizierung?
Nein. Zertifizierungen nach Art. 42 DSGVO erfordern genehmigte Kriterien. ISO 27701 hilft aber, die DSGVO-Pflichten strukturiert umzusetzen und die Rechenschaftspflicht zu erfüllen.
Für wen lohnt sich ISO 27701?
Vor allem für Unternehmen, die viele personenbezogene Daten verarbeiten oder als Auftragsverarbeiter für Kunden tätig sind – etwa SaaS-Anbieter, Rechenzentren, Lohnbuchhaltung oder Gesundheitsdienstleister. Ein Zertifikat vereinfacht Lieferantenprüfungen durch Kunden.
Ersetzt docxpert ein Datenschutz-Tool für Einwilligungen oder Cookie-Banner?
Nein. docxpert ist das Managementsystem für Richtlinien, Verzeichnisse, Prozesse und Nachweise. Technische Werkzeuge wie Consent-Management oder Löschroutinen in Ihren Systemen bleiben eigenständig.
Wie hängen ISO 27701 und ISO 27001 in docxpert zusammen?
Viele Vorlagen sind beiden Normen zugeordnet und enthalten Abschnitte, die nur bei Anwendbarkeit von ISO 27701 erscheinen. So pflegen Sie ein gemeinsames Dokument statt zwei paralleler Fassungen.
Wie verbinde ich Verzeichnis von Verarbeitungstätigkeiten und Datenschutzrisiken?
Nutzen Sie Verarbeitungstätigkeiten als nachvollziehbare Einheit: Erfassen Sie Zweck, betroffene Personengruppen, Datenkategorien, Empfänger, Aufbewahrung und beteiligte Dienstleister. Bewerten Sie anschließend Risiken anhand des tatsächlichen Kontexts, etwa Umfang, Sensibilität, Zugriffsmöglichkeiten und Folgen für betroffene Personen. Die Risikobewertung sollte auf die passende Tätigkeit verweisen und nicht nur eine allgemeine Unternehmensliste darstellen. Wenn Zweck oder Datenfluss sich ändern, prüfen Sie sowohl den Eintrag als auch die zugehörigen Schutzmaßnahmen und Verträge. Benennen Sie fachliche Eigentümer, damit Datenschutz und Prozessverantwortliche Änderungen melden können. Das ersetzt weder eine erforderliche Datenschutz-Folgenabschätzung noch Rechtsberatung; es schafft eine belastbare Verbindung zwischen Dokumentation, Risikoentscheidung und dem Nachweis, dass festgelegte Kontrollen im Alltag berücksichtigt werden.