ISO 27701 für Finanzbranche: Datenschutz nachweisen, ohne Vor-Ort-Audit

Die Einkaufsabteilung einer Bank oder Versicherung schickt ihren Dienstleistern einen Lieferantenfragebogen. Darin steht eine Frage zum Datenschutz: Wie bearbeiten Sie unsere Personendaten, und wie belegen Sie das? Ein Zertifikat nach ISO 27701 beantwortet sie mit einem Dokument, das sich ablegen und prüfen lässt.

Betroffen sind nicht nur die Institute selbst. Treuhänder, Lohnbuchhalter, Vermögensverwalter, Vermittler, Inkassostellen und Softwareanbieter für Finanzinstitute erhalten Kundendaten und handeln dabei oft als Auftragsbearbeiter. Gegenüber dem Auftraggeber müssen sie zeigen, dass sie Weisungen befolgen, Verletzungen melden und Daten wieder löschen. Das Schweizer nDSG und die EU-DSGVO unterscheiden diese Rollen beide.

ISO 27001 behandelt die Informationssicherheit. ISO 27701 behandelt den Umgang mit Personendaten selbst: Zweck, Rollen, Betroffenenrechte, Weitergabe. In Ausschreibungen und Kundenaudits ist das ein Kriterium, das sich mit einem Zertifikat rasch erledigen lässt.

• Standard ISO 27701 im Überblick

Die Norm verlangt keine branchenspezifischen Prozesse. Sie verlangt, dass Sie die Prozesse, in denen Personendaten anfallen, kennen, bewerten und steuern. In der Finanzbranche sind das einige wiederkehrende Abläufe.

Die Norm arbeitet mit wenigen Begriffen, die Sie auf Ihren Betrieb übersetzen müssen.

Verantwortlicher

Wer über Zweck und Mittel der Bearbeitung entscheidet. Eine Bank ist es für ihre Kontoinhaber, ein Treuhandbüro für seine eigenen Kundenakten.

Auftragsbearbeiter

Wer Daten im Auftrag eines anderen bearbeitet. Ein Treuhänder, der Löhne für Mandanten abrechnet, nimmt diese Rolle ein.

Verzeichnis der Bearbeitungstätigkeiten

Die Liste aller Prozesse mit Personendaten. Ein Eintrag nennt Zweck, Datenkategorien, Empfänger und Aufbewahrungsdauer, etwa für die Policenverwaltung einer Versicherung.

Rechte der betroffenen Personen

Ansprüche auf Auskunft, Berichtigung oder Löschung. Ein Versicherter verlangt zum Beispiel eine Kopie seiner Schadenakte.

Datenschutz durch Technik und Voreinstellungen

Systeme sind so gebaut, dass nur nötige Daten anfallen. Ein Kundenportal fragt nur Felder ab, die der Vertrag braucht.

Datenschutzverletzung

Ein Vorfall, bei dem Personendaten verloren gehen oder an Unberechtigte gelangen, etwa ein Kontoauszug im falschen Briefumschlag.

Die Anforderungen sind in den Kapiteln 4 bis 10 der Norm nach der bekannten Managementsystem-Struktur gegliedert. Praktisch läuft die Umsetzung entlang von sechs Aufgaben.

1. 01

   Rolle pro Prozess bestimmen

   Ein Treuhandbüro hält je Mandat fest, ob es als Verantwortlicher oder als Auftragsbearbeiter handelt, und leitet daraus seine Pflichten ab.

2. 02

   Risiken für Betroffene bewerten

   Ein Vermögensverwalter prüft, was ein Fehlversand einer Kundenliste für die Betroffenen bedeutet, und führt zum Beispiel den verschlüsselten Versand ein.

3. 03

   Verzeichnis führen

   Für jeden Prozess mit Personendaten besteht ein Eintrag, der bei einer Änderung angepasst wird. Der Verantwortliche pro Prozess ist benannt.

4. 04

   Anfragen betroffener Personen regeln

   Eine Person ist für Auskunftsbegehren zuständig, die Frist steht im Ticket, und für die Antwort gibt es eine Vorlage.

5. 05

   Datenschutz in neue Systeme einbauen

   Vor der Einführung eines Kundenportals prüft das Team, welche Felder wirklich nötig sind, und schaltet die Weitergabe an Dritte standardmässig aus.

6. 06

   Vorfälle erkennen und melden

   Mitarbeitende melden einen Fehlversand intern, der Vorfall wird bewertet, und der Entscheid über eine Meldung wird festgehalten.

Die Selbstbeurteilung besteht aus 42 Ja/Nein-Fragen. 15 davon sind Muss-Fragen, also Kernfragen der Beurteilung, und müssen alle mit Ja beantwortet werden. Von den übrigen 27 Fragen braucht es mindestens 18 Ja. Wer besteht und bezahlt, erhält das Zertifikat in der Regel innert 4 Stunden.

Das Zertifikat stellt Zertify im Rahmen einer Lizenz des Swiss Institute of Certification and Education (SICE) aus. SICE prüft jede Beurteilung, bevor das Zertifikat ausgestellt wird. Es gibt kein Audit vor Ort. Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code verifizieren. Den Link zur Prüfseite können Sie direkt in einen Lieferantenfragebogen oder eine Offerte einfügen.

Das Zertifikat kostet CHF 799 im ersten Jahr, danach CHF 529 pro Jahr inklusive der jährlichen Online-Rezertifizierung. Es gilt 3 Jahre und wird jedes Jahr mit einer kurzen Online-Rezertifizierung bestätigt. Die Abrechnung läuft als jährliches Abonnement, das Sie im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen können. Danach endet auch das Zertifikat. Für den Kauf brauchen Sie kein Konto.

• Kostenlose Selbstbeurteilung starten
• Preise ansehen
• ISO 27701 bei Zertify

Die Ausgabe 2025 ist eine eigenständige Managementsystemnorm. Ein Treuhänder oder Vermittler ohne ISO 27001 kann sich damit zertifizieren lassen.

Wenn Sie bereits ein Zertifikat nach ISO 27001 halten, ergänzen Sie mit ISO 27701 den Datenschutz. Bei zwei Normen gewährt Zertify 20 Prozent Rabatt, bei drei oder mehr 30 Prozent, auch auf die jährliche Gebühr. Wer die klassische Route mit einem Audit vor Ort durch eine Zertifizierungsstelle erwägt, findet den Vergleich im Leitfaden.

• Zertifizierungswege vergleichen
• Zertifizierung ohne Vor-Ort-Audit