ISO 27701:2025 Datenschutzmanagement
ISO 27701 Checkliste: Sind Sie bereit für das Zertifikat?
Diese Checkliste folgt den Klauseln 4 bis 10 der Norm. Zu jedem Punkt steht, welchen Nachweis ein Unternehmen typischerweise schon hat. Wo ein Nachweis fehlt, wissen Sie, was vor der Selbstbewertung noch zu tun ist.
01: Aufbau
Wie ist die ISO 27701 Checkliste aufgebaut?
Die Gliederung entspricht der Struktur, die auch andere ISO-Managementsystemnormen verwenden: Kontext, Führung, Planung, Unterstützung, Betrieb, Leistungsbewertung und Verbesserung. Wer ISO 9001 oder ISO 27001 kennt, findet sich sofort zurecht.
Jeder Punkt der Checkliste ist eine Frage, die Sie mit Ja oder Nein beantworten können. Daneben steht der Nachweis, den eine Prüferin oder ein Kunde sehen möchte: ein Dokument, ein Protokoll, ein Register oder eine Vertragsklausel.
Zur Ausgabe: ISO/IEC 27701:2025 ist eine eigenständige Managementsystemnorm. Sie brauchen dafür kein ISO 27001. Die Ausgabe 2019 war dagegen eine Erweiterung und setzte ein bestehendes ISMS voraus. Falls ein Kunde noch nach der alten Fassung fragt, klären Sie das zuerst.
02: Klauseln 4 und 5
Kontext und Führung: Rolle, Geltungsbereich, Verantwortung
Hier legen Sie fest, wofür das System gilt und wer es trägt. Die Punkte wirken formal, entscheiden aber später darüber, ob der Rest der Checkliste Hand und Fuss hat.
Rolle bestimmt
Sie wissen, ob Sie pro Leistung als Verantwortlicher oder als Auftragsbearbeiter handeln. Nachweis: Rollenübersicht je Dienstleistung, Auftragsbearbeitungsverträge mit Ihren Kunden.
Geltungsbereich festgelegt
Standorte, Systeme und Kategorien von Personendaten sind benannt. Nachweis: ein Scope-Dokument von einer bis zwei Seiten.
Rechtliche Anforderungen erfasst
Schweizer nDSG, EU-DSGVO und vertragliche Vorgaben sind aufgelistet, soweit sie für Sie gelten. Nachweis: Anforderungsregister mit Quelle und Verantwortlichem.
Datenschutzpolitik freigegeben
Die Geschäftsleitung hat die Politik unterzeichnet. Nachweis: unterzeichnetes Dokument oder Protokoll des Beschlusses.
Verantwortlichkeiten zugewiesen
Jemand ist namentlich für das Datenschutzmanagement zuständig. Nachweis: Organigramm oder Stellenbeschreibung mit dieser Aufgabe.
03: Klauseln 6 und 7
Planung und Unterstützung: Risiken, Ziele, Kompetenz
Der Blickwinkel unterscheidet sich von der Informationssicherheit. Bewertet wird das Risiko für die betroffenen Personen, nicht nur der Schaden für Ihr Unternehmen.
Datenschutzrisiken bewertet
Für Ihre Bearbeitungen sind Risiken für Betroffene eingeschätzt, etwa bei Gesundheits-, Lohn- oder Standortdaten. Nachweis: Risikoregister mit Eintrittswahrscheinlichkeit und Auswirkung.
Risikobehandlung geplant
Zu jedem erheblichen Risiko gibt es eine Massnahme mit Termin und Verantwortlichem. Nachweis: Massnahmenplan.
Datenschutzziele gesetzt
Die Ziele sind messbar, zum Beispiel Antwortzeit auf Auskunftsgesuche. Nachweis: Zielliste mit Kennzahl und Zuständigkeit.
Kompetenz sichergestellt
Wer Personendaten bearbeitet, kennt die internen Regeln. Nachweis: Schulungsnachweise, Teilnahmelisten, Onboarding-Unterlagen.
Dokumentierte Information gelenkt
Dokumente haben Version, Besitzer und einen festen Ablageort. Nachweis: Dokumentenliste oder Versionshistorie im Wiki.
04: Klausel 8
Betrieb: Was im Alltag mit Personendaten geschieht
Klausel 8 ist der Teil, den Kunden im Lieferantenfragebogen am häufigsten abfragen. Hier zeigt sich, ob die Regeln tatsächlich gelebt werden.
Verzeichnis der Bearbeitungstätigkeiten geführt
Zweck, Datenkategorien, Empfänger und Aufbewahrung sind je Bearbeitung festgehalten. Nachweis: das Verzeichnis selbst, mit Datum der letzten Aktualisierung.
Rechte betroffener Personen erfüllt
Auskunft, Berichtigung und Löschung laufen nach einem festen Ablauf und innerhalb der Frist. Nachweis: Prozessbeschrieb und ein Anfragenlog mit Eingangs- und Antwortdatum.
Datenschutz durch Technik und Voreinstellungen umgesetzt
Neue Projekte und Systeme werden vor dem Start auf Datenschutz geprüft. Nachweis: Prüfpunkt in der Projektcheckliste, dokumentierte Standardeinstellungen.
Auftragsbearbeiter und Unterauftragnehmer geregelt
Jeder Dienstleister, der Personendaten erhält, ist vertraglich gebunden. Nachweis: Vertragsliste mit Datum und Standort der Bearbeitung.
Datenschutzverletzungen erkannt und gemeldet
Es gibt einen Meldeweg intern und gegenüber Kunden oder Behörden. Nachweis: Meldeprozess, Vorfallsliste, Protokoll einer Übung oder eines echten Falls.
Aufbewahrung und Löschung geregelt
Fristen sind festgelegt und werden umgesetzt. Nachweis: Löschkonzept und ein Löschprotokoll.
05: Klauseln 9 und 10
Leistungsbewertung und Verbesserung: Was Sie belegen müssen
Ein Datenschutzmanagementsystem muss sich selbst überprüfen. Prüfer fragen hier nach Spuren: Was wurde gemessen, was gefunden, was daraufhin geändert?
| Klausel | Prüfpunkt | Üblicher Nachweis |
|---|---|---|
| 9 | Kennzahlen zu Anfragen und Fristen werden ausgewertet | Quartalsauswertung des Anfragenlogs |
| 9 | Interne Überprüfung des Systems hat stattgefunden | Bericht der internen Prüfung mit Feststellungen |
| 9 | Geschäftsleitung hat das System bewertet | Protokoll der Managementbewertung |
| 10 | Abweichungen und Vorfälle führen zu Korrekturen | Massnahmenliste mit Status und Abschlussdatum |
| 10 | Das System wird laufend angepasst | Änderungsprotokoll zu Politik, Verzeichnis und Verträgen |
Fehlt die interne Überprüfung, ist das meist der schnellste Punkt zum Nachholen. Eine Person, die den Bereich nicht selbst betreut, geht die Checkliste durch und hält die Feststellungen schriftlich fest.
06: Mit Zertify
Checkliste durchgegangen: So kommen Sie zum Zertifikat
Die Selbstbewertung von Zertify umfasst 42 Ja/Nein-Fragen zu ISO 27701:2025. 15 davon sind zwingende Anforderungen der Norm und müssen alle mit Ja beantwortet werden. Von den übrigen 27 Fragen brauchen Sie mindestens 18 Ja-Antworten. SICE prüft jede Bewertung, bevor das Zertifikat ausgestellt wird.
Nach bestandener Bewertung und Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden. Es kostet 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive der jährlichen Online-Rezertifizierung. Das Zertifikat gilt 3 Jahre. Das Abonnement verlängert sich jährlich automatisch und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen.
Es gibt keinen Vor-Ort-Audit. Das Zertifikat trägt eine Nummer und einen QR-Code, über die Ihr Kunde es auf einer öffentlichen Seite prüfen kann. Dieser Link gehört in die Antwort auf den nächsten Lieferantenfragebogen.
07: FAQ
Fragen zur ISO 27701 Checkliste
08: Ratgeber
Weiterführende Seiten
Prüfen Sie Ihre Bereitschaft für ISO 27701
Beantworten Sie 42 Ja/Nein-Fragen und erfahren Sie sofort, ob Sie die Anforderungen erfüllen.
Kostenlos und ohne Registrierung.