ISO 27018:2019 Cloud-Datenschutz
ISO 27018 Vorteile: Was das Zertifikat Ihrem Unternehmen bringt
Ein ISO 27018 Zertifikat belegt, dass Sie personenbezogene Daten in der Cloud als Auftragsverarbeiter geregelt schützen. Es beantwortet viele Fragen aus Lieferantenfragebogen und Ausschreibungen schon vorab. Intern zwingt es zu klaren Abläufen bei Löschung, Unterauftragnehmern und Datenpannen.
01: Überblick
Welchen Nutzen hat ein ISO 27018 Zertifikat konkret?
ISO 27018:2019 richtet sich an Anbieter, die in der Public Cloud personenbezogene Daten im Auftrag ihrer Kunden verarbeiten. Das Zertifikat zeigt, dass Sie dafür Regeln haben und sie anwenden. Der Nutzen verteilt sich auf fünf Bereiche.
- Kundenbeziehung
- Der Datenschutzbeauftragte oder Einkauf Ihres Kunden erhält statt einer Zusicherung per E-Mail ein Dokument, das er selbst prüfen kann.
- Ausschreibungen
- Verlangt eine Ausschreibung einen Nachweis zum Datenschutz in der Cloud, liegt er bereit, bevor die Frist knapp wird.
- Interne Abläufe
- Löschung, Rückgabe, Unterauftragnehmer und Meldung von Datenpannen sind schriftlich geregelt und einer Person zugeordnet.
- Risiko
- Unklare Zuständigkeiten bei einer Datenpanne oder einem Unterauftragnehmer werden vor dem Ernstfall sichtbar.
- Kommunikation
- Das Zertifikat trägt eine Nummer und einen QR-Code. Jeder Interessent kann die Echtheit auf der Verifizierungsseite prüfen.
02: Vertrieb
Weniger Rückfragen im Lieferantenfragebogen und in der Ausschreibung
Wer SaaS oder Cloud-Dienste an Unternehmen verkauft, kennt den Ablauf: Auf das Angebot folgt ein Lieferantenfragebogen mit umfangreichem Datenschutzteil. Jemand in Ihrem Haus beantwortet ihn, meist neben dem Tagesgeschäft, und bei jedem Kunden erneut.
Ein Zertifikat ersetzt nicht jede Frage. Es verschiebt aber das Gespräch. Statt den Aufbau Ihrer Datenschutzkontrollen zu erklären, verweisen Sie auf die Norm und das Zertifikat und beantworten nur noch Fragen, die darüber hinausgehen.
| Situation | Ohne Zertifikat | Mit ISO 27018 Zertifikat |
|---|---|---|
| Lieferantenfragebogen | Jede Frage zu Löschung und Unterauftragnehmern wird einzeln beantwortet. | Sie verweisen auf den Standard und beantworten nur die Restfragen. |
| Ausschreibung mit Nachweispflicht | Der Nachweis muss kurzfristig beschafft werden oder fehlt. | Das Zertifikat liegt als PDF mit Verifizierungslink bereit. |
| Prüfung durch den Datenschutzbeauftragten des Kunden | Er verlässt sich auf Ihre Aussagen und fragt nach Belegen. | Er prüft Nummer und QR-Code selbst auf der Verifizierungsseite. |
| Verhandlung über den Auftragsverarbeitungsvertrag | Der Kunde verlangt weitreichende Zusicherungen. | Das Zertifikat stützt Ihre Zusicherungen mit einem Standard. |
03: Organisation
Was sich intern klärt, wenn Sie sich auf ISO 27018 vorbereiten
Der Nutzen beginnt vor dem Zertifikat. Die Fragen der Selbstbewertung zwingen Sie, Abläufe zu benennen, die in vielen Firmen nur im Kopf einzelner Personen existieren.
Transparenz über die Verarbeitung
Sie halten fest, welche personenbezogenen Daten Sie wofür verarbeiten. Das beantwortet später Kundenanfragen in einem Schritt.
Zweckbindung
Daten Ihrer Kunden dienen nur dem vereinbarten Zweck. Die Regel schützt auch vor Ideen aus Produkt und Marketing, die Daten anders nutzen wollen.
Löschung und Rückgabe
Wenn ein Kunde kündigt, ist klar, wer löscht, wie Daten zurückgegeben werden und wie Sie das belegen.
Unterauftragnehmer
Hosting, Support-Tools und Subdienstleister werden bewusst eingebunden. Ihre Kunden erhalten eine nachvollziehbare Liste.
Datenpannen
Der Meldeweg steht, bevor etwas passiert: wer entscheidet, wer informiert, wer dokumentiert.
Dazu kommen Datenschutz-Folgenabschätzungen, wo sie angezeigt sind. Wer diese Punkte einmal sauber geregelt hat, spart sich bei jedem neuen Mitarbeitenden im Support und bei jedem neuen Subdienstleister Diskussionen.
04: Risiko
Wie senkt ISO 27018 das Risiko für Ihr Unternehmen?
Das Risiko eines Auftragsverarbeiters liegt selten in der Technik allein. Häufiger fehlt eine Regel: Niemand weiss, welche Frist für die Meldung einer Panne an den Kunden gilt, oder ein Subdienstleister wurde eingebunden, ohne dass der Kunde davon erfuhr. Die Norm schliesst genau diese Lücken.
Die Norm erweitert ISO 27001 um Datenschutzkontrollen. Wenn Sie bereits ein Informationssicherheits-Managementsystem betreiben, ergänzt ISO 27018 den Teil, der personenbezogene Daten betrifft. Ohne ISO 27001 funktioniert die Norm ebenfalls als Einstieg in strukturierten Datenschutz.
Eine Grenze gehört dazu: Das Zertifikat ersetzt weder einen Auftragsverarbeitungsvertrag noch garantiert es die Einhaltung von DSGVO oder Schweizer DSG. Es unterstützt Sie bei den Pflichten, die Cloud-Anbieter aus diesen Gesetzen treffen, und macht Ihren Umgang mit den Daten prüfbar.
05: Marketing
Das Zertifikat einsetzen: QR-Code und Verifizierungsseite
Das Zertifikat kommt als PDF mit Nummer und QR-Code. Wer den Code scannt oder die Nummer eingibt, landet auf der öffentlichen Verifizierungsseite und sieht, dass das Zertifikat echt und gültig ist.
Praktisch heisst das: Sie hängen das PDF an Offerten und Ausschreibungsunterlagen an, nennen die Zertifikatsnummer im Lieferantenfragebogen und verlinken die Verifizierungsseite auf Ihrer Website bei den Angaben zu Datenschutz und Sicherheit. Ein Kunde, der die Echtheit prüfen will, braucht dafür weder Ihre Mitarbeit noch ein Telefonat.
Beschreiben Sie das Zertifikat sachlich: ISO 27018:2019, Cloud-Datenschutz, auf Basis einer Selbstbewertung und jährlich per Online-Re-Audit bestätigt. Damit bleiben Ihre Aussagen belegbar.
06: Zertify
Wie Sie das ISO 27018 Zertifikat mit Zertify erhalten
Sie beantworten online 32 Ja-Nein-Fragen zur Norm. 11 davon sind zwingende Anforderungen und müssen alle mit Ja beantwortet werden. Bei den übrigen 21 Fragen braucht es mindestens 14 Ja-Antworten. Eine Vor-Ort-Prüfung findet nicht statt. SICE prüft jede Bewertung, bevor das Zertifikat von der G6 Agency AG unter Lizenz von SICE ausgestellt wird. Nach bestandener Bewertung und Zahlung liegt das Zertifikat innerhalb von 4 Stunden vor.
Das Zertifikat kostet 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive des jährlichen Online-Re-Audits. Es ist 3 Jahre gültig. Das Abo verlängert sich jährlich und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Für zwei Normen gibt es 20 Prozent Rabatt, ab drei Normen 30 Prozent, auch auf die jährliche Gebühr.
Wer stattdessen den klassischen Weg mit Vor-Ort-Audit durch eine Zertifizierungsstelle erwägt, findet den Vergleich in unserem Leitfaden.
07: FAQ
Häufige Fragen zu den Vorteilen von ISO 27018
08: Leitfaden
Weiterführende Seiten
Prüfen Sie, ob Ihr Unternehmen ISO 27018 erfüllt
Die Selbstbewertung mit 32 Fragen zeigt Ihnen in wenigen Minuten, wo Sie stehen.
Kostenlos und ohne Registrierung.