ISO 27018 für Finanzbranche: Datenschutz in der Cloud belegen

Banken, Versicherungen, Vermögensverwalter und Treuhandbüros lagern Software und Datenverarbeitung an Cloud-Anbieter aus. Kundenstammdaten, Kontobewegungen, Policen und Lohndaten sind personenbezogene Daten. Verantwortlich bleibt der Auftraggeber. Bevor er einen Dienstleister einbindet, will seine Einkaufsabteilung wissen, wie dieser mit den Daten umgeht.

Darum enthalten Lieferantenfragebögen und Ausschreibungen Fragen zu Löschung, Unterauftragnehmern und Meldewegen bei Datenpannen. ISO 27018 beantwortet sie in einer Form, die sich belegen lässt. Ein Zertifikat mit Nummer ersetzt mehrseitige Freitextantworten.

Die Norm richtet sich an Sie als Auftragsverarbeiter, nicht an die Bank oder Versicherung selbst. Gemeint sind etwa Anbieter von Buchhaltungs- und Payroll-Software, Dokumentenportalen, Plattformen für Vermögensverwalter oder Fintech-Diensten.

• Die Norm ISO 27018 im Überblick

Die Norm erweitert ISO 27001 um Datenschutzkontrollen für die Public Cloud. Sie setzt dort an, wo ein Anbieter fremde personenbezogene Daten verarbeitet. Die Tabelle ordnet typische Situationen aus Finanzprojekten den Anforderungen zu.

• ISO 27001 als Grundlage

Im Fragebogen einer Bank oder eines Versicherers kehren immer dieselben Begriffe wieder. So lesen Sie sie im Alltag eines Anbieters.

Personenbezogene Daten (PII)

Alle Angaben, die sich auf eine Person beziehen lassen: Name und IBAN eines Bankkunden, Versicherungsnummer, Lohnabrechnung eines Mitarbeiters.

Auftragsverarbeiter

Ihre Rolle, wenn Sie Daten im Auftrag eines Finanzunternehmens verarbeiten, etwa als Betreiber einer Payroll-Software oder eines Kundenportals.

Zweckbindung

Sie nutzen die Daten nur für den vereinbarten Zweck. Eine Auswertung der Portfolios für Ihre eigene Produktentwicklung braucht eine ausdrückliche Freigabe.

Löschung und Rückgabe

Nach Vertragsende erhält der Kunde seine Daten in einem nutzbaren Format zurück. Danach löschen Sie sie, auch aus Backups nach festgelegten Fristen.

Unterauftragnehmer

Jeder Dritte, der in Ihrem Auftrag Daten Ihrer Kunden berührt: das Rechenzentrum, der Anbieter für E-Mail-Versand, der externe Support.

Datenschutzverletzung

Ein Vorfall, bei dem Daten unbefugt offengelegt, verändert oder gelöscht werden, zum Beispiel ein falsch freigegebener Ordner mit Kundendokumenten.

Die Anforderungen sind abstrakt formuliert. In der Praxis laufen sie auf wenige konkrete Handgriffe hinaus.

1. 01

   Transparenz herstellen

   Sie führen eine Übersicht, welche Daten Ihrer Kunden wo liegen und wer darauf zugreift. Auf Anfrage eines Kunden liefern Sie diese Übersicht ohne Suchaktion.

2. 02

   Weisungen vertraglich festhalten

   Der Auftragsverarbeitungsvertrag legt fest, wofür Sie die Daten verwenden dürfen. Das Supportteam kennt diese Grenze.

3. 03

   Rückgabe und Löschung üben

   Sie bieten einen Datenexport an und protokollieren die Löschung nach Vertragsende. Der Ablauf wurde mindestens einmal durchgespielt.

4. 04

   Unterauftragnehmer offenlegen

   Sie pflegen eine Liste Ihrer Dienstleister, schliessen mit jedem einen Vertrag zum Datenschutz ab und informieren Kunden, wenn sich etwas ändert.

5. 05

   Folgen vorab bewerten

   Bevor eine neue Funktion Transaktions- oder Lohndaten auswertet, dokumentieren Sie die Risiken für die Betroffenen und die getroffenen Massnahmen.

6. 06

   Meldeweg für Pannen festlegen

   Sie wissen, wer intern entscheidet, wer beim Kunden informiert wird und in welchem Zeitraum. Der Ablauf steht schriftlich vor dem ersten Vorfall.

Sie beantworten online 32 Ja-Nein-Fragen zu ISO 27018. 11 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Bei den übrigen 21 Fragen braucht es mindestens 14 Ja-Antworten. Die Selbstbewertung ist kostenlos, ein Konto brauchen Sie weder dafür noch für den Kauf.

Das Zertifikat stellt G6 Agency AG unter Lizenz von SICE aus. SICE prüft jede Bewertung, bevor das Zertifikat ausgestellt wird. Nach bestandener Prüfung und Zahlung erhalten Sie das PDF innert 4 Stunden.

Das Zertifikat kostet 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive der jährlichen Online-Re-Audits. Es gilt 3 Jahre. Das Abonnement verlängert sich jährlich und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Für Kunden in der Schweiz und in Liechtenstein sind 8.1% MWST enthalten. Wer zwei Normen zertifiziert, erhält 20% Rabatt, ab drei Normen 30%, auch auf die jährliche Gebühr.

• Selbstbewertung starten
• Preise ansehen
• Details zu ISO 27018

Auf dem PDF steht eine Zertifikatsnummer, daneben ein QR-Code. Beide führen zur öffentlichen Verifizierungsseite. Der Einkäufer eines Kunden prüft dort in wenigen Sekunden, ob das Zertifikat echt und gültig ist, und legt die Bestätigung in seinen Lieferantenakten ab.

Das Zertifikat beruht auf einer Selbstbewertung ohne Vor-Ort-Audit. Jedes Jahr bestätigen Sie es mit einem kurzen Online-Re-Audit. Manche Kunden verlangen ausdrücklich den klassischen Weg mit einem Vor-Ort-Audit durch eine Zertifizierungsstelle. Klären Sie das vor dem Kauf mit dem Kunden. Der Vergleich der Wege hilft bei dieser Frage.

• Zertifizierungswege vergleichen
• Zertifizierung ohne Vor-Ort-Audit