ISO 270187 Min. Lesezeit
ISO 27018 und DSGVO: Was die Norm für Cloud-Anbieter leistet
ISO 27018 ersetzt keine DSGVO-Konformität, belegt aber, wie ein Cloud-Anbieter personenbezogene Daten im Auftrag schützt. Was das für Ihre Kunden heisst.
Von Fabio Sestito, Geschäftsführer SICE, Experte und Auditor für ISO 27001, 9001 und 20000-1
ISO 27018 ist keine DSGVO-Zertifizierung. Sie belegt aber, dass ein Cloud-Anbieter personenbezogene Daten seiner Kunden nach einem anerkannten Regelwerk schützt, und deckt damit mehrere Pflichten ab, die die DSGVO einem Auftragsverarbeiter auferlegt.
Die rechtliche Verantwortung bleibt dabei, wo sie war: beim Verantwortlichen, also bei Ihrem Kunden, und bei Ihnen als Anbieter im Umfang des Auftragsverarbeitungsvertrags. Die Norm gibt Ihnen eine Struktur und einen Nachweis. Den Vertrag und die rechtliche Beurteilung ersetzt sie nicht.
Was ISO 27018 regelt
ISO 27018 ist ein Leitfaden für den Schutz personenbezogener Daten in öffentlichen Cloud-Diensten, wenn der Anbieter die Daten im Auftrag seiner Kunden verarbeitet. Sie baut auf den Sicherheitsmassnahmen von ISO 27002 auf und ergänzt sie um Vorgaben, die speziell für Auftragsverarbeiter gelten. Der Wortlaut und der aktuelle Stand der Ausgabe 2025 stehen auf der offiziellen ISO-Seite zu ISO 27018.
Die Norm richtet sich an Anbieter, nicht an Unternehmen, die einen Cloud-Dienst bloss nutzen. Wer eine Software as a Service betreibt, Kundendaten für Dritte hostet oder als Agentur Systeme mit Personendaten seiner Auftraggeber verwaltet, ist in der Rolle, die die Norm adressiert.
Inhaltlich verlangt sie unter anderem:
- Personendaten werden nur nach den dokumentierten Weisungen des Kunden verarbeitet.
- Ohne ausdrückliche Einwilligung werden sie nicht für Werbung oder Marketing genutzt.
- Der Kunde erfährt, welche Unterauftragnehmer beteiligt sind.
- Bei einer Verletzung des Datenschutzes wird der Kunde informiert.
- Anfragen von Behörden zur Herausgabe von Daten werden dem Kunden gemeldet, soweit das Recht es nicht verbietet.
- Personendaten werden bei Vertragsende zurückgegeben oder gelöscht, ebenso temporäre Dateien, die im Betrieb entstehen.
Wie sich die Anforderungen auf die DSGVO abbilden lassen
Die DSGVO regelt die Auftragsverarbeitung vor allem in Art. 28, die Sicherheit der Verarbeitung in Art. 32 und die Meldung von Verletzungen in Art. 33. Die folgende Gegenüberstellung zeigt, wo ISO 27018 eine Entsprechung liefert.
| Pflicht aus der DSGVO | Was ISO 27018 dazu festhält |
|---|---|
| Verarbeitung nur auf dokumentierte Weisung (Art. 28 Abs. 3 lit. a) | Verarbeitung nur nach Vorgaben des Kunden, keine eigene Nutzung zu Werbezwecken |
| Bedingungen für Unterauftragsverarbeiter (Art. 28 Abs. 2, 3 lit. d und Abs. 4) | Offenlegung der beteiligten Unterauftragnehmer gegenüber dem Kunden |
| Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e) | Verfahren, damit der Kunde Anfragen zu Auskunft, Berichtigung und Löschung bedienen kann |
| Technische und organisatorische Massnahmen (Art. 32) | Sicherheitsmassnahmen aus ISO 27002, ergänzt um Vorgaben für Personendaten |
| Rückgabe oder Löschung nach Vertragsende (Art. 28 Abs. 3 lit. g) | Geregelte Rückgabe und Löschung, auch von temporären Dateien |
| Meldung von Verletzungen an den Verantwortlichen (Art. 33 Abs. 2) | Information des Kunden bei Verletzungen des Schutzes von Personendaten |
| Nachweise und Überprüfungen (Art. 28 Abs. 3 lit. h) | Dokumentierte Massnahmen, die ein Kunde bei einer Prüfung vorlegen lassen kann |
Wer ISO 27018 sauber umsetzt, hat für jede dieser Zeilen eine dokumentierte Antwort. Das spart bei Kundenanfragen Zeit, weil Sie nicht jedes Mal von Grund auf erklären müssen, wie Sie mit Weisungen, Unterauftragnehmern und Löschung umgehen.
Was die Norm nicht leistet
Die Grenzen sind für Ihre Kommunikation wichtig. Sie sollten sie in Offerten und Fragebögen nicht überdehnen.
Kein Zertifizierungsmechanismus nach Art. 42 DSGVO. ISO 27018 ist ein Standard der ISO und kein von der Datenschutzaufsicht genehmigtes Zertifizierungsverfahren für die DSGVO. Ein Kunde darf das Zertifikat als Hinweis auf geeignete Garantien nach Art. 28 Abs. 1 werten. Er darf daraus aber nicht schliessen, dass er damit rechtlich auf der sicheren Seite ist.
Kein Ersatz für den Auftragsverarbeitungsvertrag. Art. 28 Abs. 3 verlangt einen Vertrag mit festgelegtem Inhalt. Die Norm hilft, die vertraglichen Zusagen einzuhalten. Den Vertrag selbst müssen Sie weiterhin abschliessen.
Keine Antwort auf Datenübermittlungen in Drittländer. Wo die Daten liegen und wer darauf zugreifen kann, regelt in der EU Kapitel V der DSGVO, in der Schweiz das revidierte Datenschutzgesetz. Ob Standardvertragsklauseln oder ein Angemessenheitsbeschluss genügen, beantwortet ISO 27018 nicht.
Keine Pflichten des Verantwortlichen. Rechtsgrundlage, Informationspflichten, Datenschutz-Folgenabschätzung und das eigene Verzeichnis der Verarbeitungstätigkeiten liegen beim Kunden. Ihre Rolle als Auftragsverarbeiter ist enger.
In der Schweiz gilt dieselbe Logik. Das revidierte Datenschutzgesetz regelt die Bearbeitung durch Auftragsbearbeiter in Art. 9. Auch dort bleibt der Auftraggeber verantwortlich, und der Auftragsbearbeiter muss die Datensicherheit gewährleisten.
Wer von ISO 27018 profitiert
Am meisten hilft die Norm Anbietern, deren Kunden ihnen Fragen zum Datenschutz stellen und dafür einen Nachweis erwarten. Das ist bei einem Software-Start-up der Fall, das in eine Ausschreibung einer Gemeinde oder eines Konzerns einsteigt. Es gilt ebenso für eine Agentur, die Kundendaten in einer Cloud-Umgebung betreut, oder für einen IT-Dienstleister, der Systeme im Auftrag betreibt.
In solchen Fällen landet die Frage meist in einem Lieferantenfragebogen: Wie stellen Sie sicher, dass Personendaten nur nach Weisung verarbeitet werden? Wer ein Zertifikat vorlegen kann, beantwortet mehrere Fragen mit einem Dokument und verweist auf die Prüfseite. Gerade kleinere Unternehmen finden in unserem Leitfaden zur ISO-Zertifizierung für KMU, welche Normen für welche Kundenanforderung sinnvoll sind.
Der Nutzen hängt davon ab, was Ihre Kunden verlangen. Fragt niemand nach einem Nachweis, reicht ein sauberer Vertrag mit dokumentierten Massnahmen zunächst aus. Sobald der Einkauf eines Kunden mit Checklisten arbeitet, wird ein anerkanntes Zertifikat zum praktischen Hilfsmittel.
Checkliste: Ist Ihre Cloud-Verarbeitung vorbereitet?
Diese Punkte sollten Sie beantworten können, bevor Sie sich auf ISO 27018 und DSGVO gleichzeitig verlassen:
Fehlt ein Punkt, ist das kein Hindernis. Es zeigt Ihnen, wo vor dem Assessment noch Dokumente oder Abläufe fehlen.
Wie Zertify zu ISO 27018 passt
Zertify stellt das Zertifikat zu ISO 27018 auf Basis eines Online-Selbstassessments aus. Es findet kein Audit vor Ort statt. Das Zertifikat wird von Zertify unter Lizenz von SICE ausgestellt, ein Mitglied des SICE Certification Boards prüft jedes Assessment, bevor das Zertifikat erteilt wird. Nach bestandenem Assessment und Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden. Auf dem PDF ist ein QR-Code, der zur öffentlichen Prüfseite führt, auf der Ihr Kunde die Gültigkeit selbst kontrollieren kann.
Das Zertifikat gilt drei Jahre und wird jedes Jahr mit einem kurzen Online-Re-Audit bestätigt, das als jährliches Abonnement läuft. Wie sich die Kosten zusammensetzen, finden Sie auf der Seite Preise. Wenn Sie den Unterschied zum klassischen Weg mit einem Audit vor Ort durch eine Zertifizierungsstelle abwägen, hilft der Beitrag zur ISO-Zertifizierung ohne Audit bei der Einordnung.
Den Ablauf starten Sie mit dem Assessment. Halten Sie dafür Ihre Verträge, die Liste der Unterauftragnehmer und die Beschreibung Ihrer Sicherheitsmassnahmen bereit. Damit lassen sich die Fragen zügig beantworten.
Was Sie Ihren Kunden schreiben können
Schreiben Sie in Offerten und Fragebögen genau, was das Zertifikat belegt. Eine zutreffende Formulierung lautet etwa: Wir verarbeiten Personendaten im Auftrag nach ISO 27018 und haben dies durch ein öffentlich prüfbares Zertifikat bestätigen lassen. Dazu kommt der Hinweis auf den Auftragsverarbeitungsvertrag, der die Pflichten nach DSGVO beziehungsweise DSG regelt.
Vermeiden Sie Aussagen wie "DSGVO-zertifiziert" oder "garantiert DSGVO-konform". Beides ist nicht zutreffend und fällt beim ersten Rückfrage des Datenschutzbeauftragten Ihres Kunden auf. Ein klarer, eingegrenzter Satz überzeugt einen Einkauf mehr als eine grosse Behauptung.
Häufige Fragen
Ist ISO 27018 eine DSGVO-Zertifizierung?
Nein. ISO 27018 ist ein internationaler Standard für den Schutz personenbezogener Daten in öffentlichen Clouds. Er ist kein Zertifizierungsmechanismus nach Art. 42 DSGVO. Er hilft aber, Pflichten eines Auftragsverarbeiters nach Art. 28 und Art. 32 nachzuweisen.
Brauche ich trotz ISO 27018 einen Auftragsverarbeitungsvertrag?
Ja. Art. 28 Abs. 3 DSGVO verlangt einen Vertrag mit festgelegtem Inhalt. Die Norm unterstützt die Umsetzung der Zusagen, ersetzt den Vertrag aber nicht. In der Schweiz gilt für die Auftragsbearbeitung Art. 9 DSG.
Für wen ist ISO 27018 gedacht?
Für Anbieter, die Personendaten im Auftrag ihrer Kunden in einer öffentlichen Cloud verarbeiten, etwa Software-Anbieter, Hosting-Dienstleister und Agenturen mit Kundendaten in der Cloud. Wer einen Cloud-Dienst nur nutzt, ist nicht der Adressat.
Löst ISO 27018 die Frage der Datenübermittlung in Drittländer?
Nein. Dazu gelten in der EU Kapitel V der DSGVO und in der Schweiz die Regeln des revidierten Datenschutzgesetzes. Speicherort und Zugriffsmöglichkeiten müssen Sie separat dokumentieren und vertraglich regeln.
Wie lange ist das Zertifikat von Zertify gültig?
Drei Jahre. Es wird jedes Jahr mit einem kurzen Online-Re-Audit bestätigt, das als jährliches Abonnement läuft. Kunden können die Gültigkeit über den QR-Code auf dem PDF auf der öffentlichen Prüfseite kontrollieren.
