ISO 27018 Cloud-Datenschutz
ISO 27018 für Dienstleister: Datenschutz in der Cloud nachweisen
Wer als Dienstleister Personendaten seiner Kunden in einer Public Cloud verarbeitet, wird im Lieferantenfragebogen nach einem Nachweis gefragt. ISO 27018 ist dieser Nachweis. Mit Zertify beantworten Sie 32 Fragen online und erhalten das Zertifikat ohne Vor-Ort-Audit.
01: Nachfrage
Warum Kunden von Dienstleistern ISO 27018 verlangen
Wer Lohnabrechnung, Kundenservice, Newsletter-Versand oder IT-Betrieb auslagert, gibt Personendaten aus der Hand. Verantwortlich bleibt der Kunde. Sie arbeiten als Auftragsverarbeiter, und genau so betrachtet Sie die Einkaufsabteilung: Wo liegen die Daten? Wer greift darauf zu? Welche Unterauftragnehmer sind beteiligt? Was geschieht bei Vertragsende?
Diese Fragen stehen in Lieferantenfragebögen und in den Unterlagen von Ausschreibungen. Ein ISO-27018-Zertifikat beantwortet sie mit einem Dokument statt mit einem Freitext, den niemand prüfen kann. Die Norm ergänzt ISO 27001 um Datenschutzkontrollen für personenbezogene Daten in der Public Cloud. Sie unterstützt Sie bei den Pflichten aus DSGVO und Schweizer DSG.
02: Branche
Welche Dienstleistungen ISO 27018 betrifft
Dienstleister sind eine breite Gruppe. Gemeinsam ist ihnen, dass Kundendaten in Cloud-Systemen liegen, die der Dienstleister selbst betreibt oder einkauft. Die folgenden Beispiele zeigen, wo die Norm ansetzt.
- Lohn- und Personalabrechnung
- Lohndaten und Bankverbindungen der Mitarbeitenden Ihrer Kunden liegen in einer Cloud-Software. Das Risiko liegt bei geteilten Zugängen und bei Daten, die nach Mandatsende im System bleiben.
- Kundenservice und Callcenter
- Gesprächsnotizen, Tickets und Anhänge landen in einem Cloud-Ticketsystem. Offen ist oft, wer sie einsehen darf und wann sie gelöscht werden.
- Marketing- und Eventagenturen
- Adresslisten und Anmeldungen sind für eine Kampagne erhoben. Die Norm verlangt, dass sie nicht stillschweigend für die nächste Kampagne eines anderen Kunden dienen.
- IT-Support und Managed Services
- Fernzugriff auf Kundensysteme und Backups in der Cloud. Hier zählen Zugriffsprotokolle und die Frage, welcher Hosting-Anbieter dahintersteht.
- Treuhand und Beratung
- Mandantendokumente liegen in einer Cloud-Ablage. Relevant sind die Rückgabe der Unterlagen und die dokumentierte Löschung bei Mandatsende.
03: Umsetzung
Wie ein Dienstleister die Kernanforderungen erfüllt
Die Norm verlangt keine neue Software. Sie verlangt, dass Abläufe festgelegt, dokumentiert und gelebt werden. Sechs Anforderungen tragen die Hauptlast.
Transparenz über die Verarbeitung
Sie führen eine Übersicht, welche Kundendaten in welchen Systemen und an welchen Standorten verarbeitet werden. Fragt ein Kunde nach, antworten Sie aus diesem Dokument.
Zweckbindung
Sie verarbeiten Daten nur auf Weisung des Kunden. Auswertungen für eigene Zwecke oder Testdaten aus Produktivdaten schliessen Sie im Vertrag und in der Praxis aus.
Löschung und Rückgabe
Für das Vertragsende gibt es einen festen Ablauf: Export in einem lesbaren Format, Löschung in allen Systemen inklusive Backups, schriftliche Bestätigung an den Kunden.
Unterauftragnehmer
Hosting-Anbieter, Ticketsystem und Mailversand stehen auf einer Liste mit Verträgen zum Datenschutz. Der Kunde erfährt von einem Wechsel, bevor er stattfindet.
Datenschutz-Folgenabschätzung
Führen Sie ein neues Tool für sensible Daten ein, etwa Gesundheitsangaben in der Personalabrechnung, prüfen Sie die Risiken vorher und halten das Ergebnis fest.
Meldung von Datenpannen
Ihre Mitarbeitenden wissen, wen sie bei einem Vorfall informieren. Intern ist festgelegt, wer den Kunden wie benachrichtigt.
04: Nachweis
Was Einkauf und Datenschutzverantwortliche konkret fragen
Die Tabelle zeigt typische Fragen aus Lieferantenfragebögen und was Sie dazu vorlegen können.
| Frage des Kunden | Was Sie vorlegen |
|---|---|
| Wo werden unsere Daten verarbeitet? | Übersicht der Systeme und Standorte |
| Wer sind Ihre Unterauftragnehmer? | Liste mit Verträgen zum Datenschutz |
| Was geschieht bei Vertragsende? | Beschriebener Ablauf für Rückgabe und Löschung |
| Wie melden Sie eine Datenpanne? | Meldekette mit Verantwortlichen |
| Haben Sie einen unabhängigen Nachweis? | ISO-27018-Zertifikat mit Verifizierungsseite |
Das Zertifikat trägt eine Nummer und einen QR-Code auf dem PDF. Ihr Kunde prüft darüber auf der öffentlichen Verifizierungsseite, ob es echt und gültig ist, ohne bei Ihnen nachzufragen.
05: Zertify
ISO 27018 mit Zertify erhalten
Die Selbstbewertung umfasst 32 Ja-Nein-Fragen. 11 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Von den übrigen 21 Fragen brauchen Sie mindestens 14 Ja-Antworten. Dafür müssen Sie weder ein Konto anlegen noch einen Auditor empfangen.
Das Zertifikat wird von G6 Agency AG unter Lizenz von SICE ausgestellt, und SICE prüft jede Bewertung vor der Ausstellung. Nach bestandener Bewertung und Zahlung liegt das Zertifikat innerhalb von 4 Stunden vor. Es gilt 3 Jahre und wird jedes Jahr durch ein kurzes Online-Re-Audit bestätigt.
Der Preis beträgt 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive Online-Re-Audit. Für Kunden in der Schweiz und in Liechtenstein sind 8.1 % Mehrwertsteuer enthalten.
06: FAQ
Häufige Fragen zu ISO 27018 für Dienstleister
07: Leitfaden
Verwandte Seiten
Prüfen Sie, ob Ihr Betrieb ISO 27018 erfüllt
Beantworten Sie die 32 Fragen und sehen Sie sofort, wo Ihr Unternehmen steht.
Kostenlos und ohne Registrierung.