ISO 27701 Anforderungen: was die Norm von Ihnen verlangt

ISO/IEC 27701 beschreibt ein Datenschutzmanagementsystem, kurz PIMS. Es legt fest, wie Sie Personendaten bearbeiten, wer dafür zuständig ist und woran sich das belegen lässt. Die Norm gilt für Verantwortliche und für Auftragsbearbeiter.

Inhaltlich liegt sie nahe an dem, was das Schweizer nDSG und die EU-DSGVO von Ihnen erwarten. Ein Gesetz ersetzt sie nicht. Sie gibt aber eine Struktur vor, mit der Sie Ihrer Rechenschaftspflicht gegenüber Kunden und Behörden nachvollziehbar nachkommen.

Die Anforderungen sind für alle Betriebsgrössen gleich. Ein Betrieb mit zwölf Mitarbeitenden dokumentiert weniger Verfahren als ein Konzern, aber dieselben Themen.

• Zertifizierungswege vergleichen

ISO 27701:2025 folgt wie andere Managementsystemnormen der gemeinsamen Gliederung. Die Klauseln 4 bis 10 enthalten die Anforderungen, die Sie erfüllen müssen. Zu jeder Klausel steht hier, was sie meint und was Sie dazu vorlegen können.

Klausel 4: Kontext der Organisation

Sie klären, welche Personendaten Sie bearbeiten, wer Anforderungen an Sie stellt (Kunden, Mitarbeitende, Aufsichtsbehörden) und wo das System gilt. Dokumentiert werden Geltungsbereich, interessierte Parteien und die Rolle als Verantwortlicher oder Auftragsbearbeiter.

Klausel 5: Führung

Die Geschäftsleitung setzt eine Datenschutzpolitik in Kraft und weist Verantwortlichkeiten zu. Dazu gehören die unterzeichnete Politik und eine Übersicht, wer welche Aufgabe trägt.

Klausel 6: Planung

Sie bewerten Risiken für die betroffenen Personen, wählen Massnahmen und setzen Ziele. Nachweise sind die Risikobewertung, der Behandlungsplan und die Datenschutzziele.

Klausel 7: Unterstützung

Das System braucht Personal, Wissen und gelenkte Dokumente. Üblich sind Schulungsnachweise, Stellenbeschreibungen mit Datenschutzaufgaben und eine Dokumentenübersicht mit Versionen.

Klausel 8: Betrieb

Hier zeigt sich der Datenschutz im Alltag: Verzeichnis der Bearbeitungstätigkeiten, Umgang mit Auskunftsbegehren, Prüfung neuer Systeme, Verträge mit Auftragsbearbeitern und Meldung von Verletzungen. Die Nachweise sind Verzeichnis, Prozessbeschreibungen, Vertragsvorlagen und Vorfallregister.

Klausel 9: Bewertung der Leistung

Sie messen, ob das System wirkt. Dazu gehören interne Audits, Kennzahlen wie die Bearbeitungsdauer von Auskunftsbegehren und die Managementbewertung. Dokumentiert sind Auditbericht und Protokoll.

Klausel 10: Verbesserung

Abweichungen und Vorfälle werden korrigiert, ihre Ursachen beseitigt. Eine Liste der Abweichungen mit Massnahme, Verantwortlichem und Erledigungsdatum genügt als Nachweis.

Quer zu den Klauseln stehen sechs Anforderungen, die den Kern des Datenschutzmanagements ausmachen. Die Tabelle zeigt, was dahinter steckt.

Als Verantwortlicher entscheiden Sie selbst über Zweck und Mittel der Bearbeitung. Sie informieren die betroffenen Personen, beantworten deren Anfragen und tragen die Rechenschaft. Ein Onlineshop mit eigener Kundendatenbank ist ein typisches Beispiel.

Als Auftragsbearbeiter handeln Sie im Auftrag und nach Weisung Ihres Kunden. Ihre Pflichten verschieben sich: Sie unterstützen den Kunden bei Betroffenenrechten, regeln den Einsatz von Unterauftragnehmern und melden Verletzungen an den Kunden. Lohnbuchhaltungen, Hosting-Anbieter und SaaS-Firmen arbeiten häufig in dieser Rolle.

Viele Unternehmen sind beides, je nach Bearbeitung. Die Norm verlangt deshalb keine einzige Einordnung für den ganzen Betrieb, sondern eine Festlegung pro Bearbeitung. Diese Zuordnung ist die Grundlage für alle weiteren Nachweise.

Bei der Ausgabe 2025 nicht. Sie ist eine eigenständige Managementsystemnorm und lässt sich ohne ISO 27001 zertifizieren. Die Ausgabe 2019 war eine Erweiterung und setzte ein bestehendes ISMS voraus.

Die Informationssicherheit verschwindet damit nicht aus dem Blick. Sie müssen Personendaten weiterhin angemessen schützen, und das Risikomanagement der Norm schliesst technische und organisatorische Massnahmen ein. Wer bereits nach ISO 27001 arbeitet, übernimmt Risikomethodik, internes Audit und Managementbewertung und ergänzt sie um die Datenschutzthemen.

• ISO 27001 im Überblick

Zertify prüft Ihren Stand mit einer Selbstbeurteilung online: 42 Ja-Nein-Fragen zur Norm. 15 davon sind zwingende Anforderungen und müssen alle mit Ja beantwortet werden. Von den übrigen 27 Fragen müssen mindestens 18 mit Ja beantwortet sein. SICE prüft jede Beurteilung, bevor das Zertifikat ausgestellt wird. Ein Audit vor Ort gibt es nicht.

Nach bestandener Beurteilung und Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden. Es kostet 799 CHF im ersten Jahr, danach 529 CHF pro Jahr inklusive der jährlichen Online-Rezertifizierung, und gilt 3 Jahre. Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code verifizieren, etwa durch die Einkaufsabteilung eines Kunden. Der Preis läuft als jährliches Abonnement, das Sie im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen können.

• ISO 27701 bei Zertify
• Preise ansehen
• Selbstbeurteilung starten