ISO 27701 für Dienstleister: Datenschutz belegen, bevor der Kunde fragt

Ein Dienstleister bearbeitet Personendaten selten für sich selbst. Er rechnet Löhne ab, betreut Support-Tickets, versendet Kampagnen oder betreibt Systeme, in denen Kundendaten liegen. Rechtlich bleibt der Auftraggeber verantwortlich. Er muss gegenüber seinen eigenen Kunden, Mitarbeitenden und Behörden belegen können, dass er seine Auftragnehmer im Griff hat.

Deshalb landen die Fragen bei Ihnen. Der Einkauf schickt einen Lieferantenfragebogen mit dreissig Datenschutzpunkten. Eine Ausschreibung verlangt einen Nachweis zum Datenschutzmanagement. Ein Grosskunde kündigt ein Audit an. Mit einem ISO-27701-Zertifikat legen Sie eine Antwort vor, die der Kunde prüfen kann, statt jedes Mal dieselben Zusagen einzeln zu beantworten.

Die Norm ist auf beide Rollen ausgelegt: auf den Verantwortlichen und auf den Auftragsbearbeiter. Die meisten Dienstleister sind je nach Leistung beides. Sie sind Auftragsbearbeiter für Kundendaten und Verantwortliche für ihre eigenen Mitarbeiter- und Bewerberdaten.

• Standardseite ISO 27701

ISO 27701 setzt dort an, wo Personendaten den Betrieb durchlaufen. Die folgende Tabelle zeigt typische Dienstleistungsprozesse, das jeweilige Risiko für betroffene Personen und den Anspruch der Norm.

Die Anforderungen klingen abstrakt, bis man sie auf den eigenen Betrieb legt. Diese Begriffe tauchen in der Selbstbewertung und im Kundengespräch auf.

Auftragsbearbeiter

Sie bearbeiten Personendaten nach Weisung eines Kunden, etwa die Lohnabrechnung einer Treuhandkundin oder das Hosting einer Kundendatenbank.

Verantwortlicher

Sie entscheiden selbst über Zweck und Mittel, zum Beispiel bei den Daten Ihrer eigenen Mitarbeitenden, Bewerber und Newsletter-Abonnenten.

Verzeichnis der Bearbeitungstätigkeiten

Eine geführte Übersicht, welche Personendaten Sie für welchen Kunden und zu welchem Zweck bearbeiten, wohin sie fliessen und wann sie gelöscht werden.

Rechte der betroffenen Personen

Fragt ein Mitarbeiter Ihres Kunden nach Auskunft und wendet sich dafür an Sie, müssen Sie die Anfrage erkennen und dem Kunden fristgerecht weiterleiten.

Datenschutzverletzung

Ein Laptop mit Kundendaten geht verloren oder eine Mail mit einer Lohnliste geht an den falschen Empfänger. Sie erkennen den Vorfall, bewerten ihn und melden ihn.

Für ein Unternehmen mit zehn bis zweihundert Mitarbeitenden ist der Aufwand überschaubar, wenn man in dieser Reihenfolge vorgeht.

1. 01

   Rolle pro Leistung festlegen

   Halten Sie für jede Dienstleistung fest, ob Sie als Verantwortlicher oder als Auftragsbearbeiter handeln. Die Liste umfasst meist nur eine Seite und beantwortet viele Kundenfragen.

2. 02

   Verzeichnis anlegen

   Erfassen Sie pro Leistung Datenkategorien, Zweck, Systeme, Empfänger und Löschfrist. Ein sauber geführtes Tabellenblatt genügt, solange es aktuell bleibt.

3. 03

   Anfragen und Vorfälle regeln

   Bestimmen Sie, wer Auskunftsbegehren und Vorfallmeldungen entgegennimmt, und legen Sie interne Fristen fest, die zu den Fristen Ihrer Kunden passen.

4. 04

   Datenschutz in die Systeme einbauen

   Prüfen Sie bei jedem neuen Tool und jedem neuen Kundenprojekt, welche Daten wirklich nötig sind. Voreinstellungen sollten so gesetzt sein, dass nur die Minimalmenge erfasst wird.

5. 05

   Risiken bewerten

   Beurteilen Sie pro Prozess, was betroffenen Personen bei einem Fehler passieren kann, und halten Sie die Massnahmen schriftlich fest.

Das hängt von der Ausgabe ab. Die Ausgabe 2019 erweitert ein bestehendes Informationssicherheits-Managementsystem nach ISO 27001 und setzt dieses voraus. Die Ausgabe 2025 ist eine eigenständige Managementsystemnorm. Sie lässt sich ohne ISO 27001 zertifizieren.

Für Dienstleister ohne ISMS ist das der entscheidende Punkt. Sie müssen nicht zuerst ein Sicherheitsprojekt abschliessen, um Ihren Kunden einen Datenschutznachweis zu liefern. Haben Sie bereits ein ISMS, bauen Sie auf den vorhandenen Dokumenten auf, etwa bei der Risikobewertung (Kapitel 6 Planung) und der internen Bewertung (Kapitel 9).

• ISO 27001 im Überblick

Sie beantworten online 42 Ja-/Nein-Fragen zur Norm. 15 davon sind verbindliche Anforderungen und müssen alle mit Ja beantwortet werden. Bei den übrigen 27 Fragen braucht es mindestens 18 Ja-Antworten. Nach bestandener Bewertung und Zahlung erhalten Sie das Zertifikat in der Regel innerhalb von 4 Stunden. Eine Prüfung vor Ort findet nicht statt.

Das Zertifikat stellt Zertify unter Lizenz von SICE (Swiss Institute of Certification and Education) aus. SICE prüft jede Bewertung, bevor das Zertifikat ausgestellt wird. Ihre Kunden prüfen die Echtheit öffentlich über Zertifikatsnummer oder den QR-Code auf dem PDF. Jedes Jahr bestätigen Sie den Stand in einem kurzen Online-Reaudit.

Der Preis beträgt CHF 799 im ersten Jahr, danach CHF 529 pro Jahr inklusive Online-Reaudit. Das Zertifikat gilt 3 Jahre. Die Abrechnung läuft als jährliches Abonnement, das Sie jederzeit im Kundenkonto auf das Ende des laufenden Jahres kündigen können. Danach endet das Zertifikat mit dem bezahlten Jahr. Für 2 Normen gibt es 20 % Rabatt, für 3 oder mehr 30 %, auch auf die jährliche Gebühr. Die Preise enthalten 8.1 % Schweizer MwSt. für Kunden in der Schweiz und in Liechtenstein. Zum Kauf brauchen Sie kein Konto.

Wer die Wege vergleichen will, findet den Vergleich mit der klassischen Route über ein Audit vor Ort durch eine Zertifizierungsstelle im Leitfaden.

• Kostenlose Selbstbewertung starten
• Preise ansehen
• Zertifizierungswege vergleichen