ISO 27701 für Gesundheitswesen: Zertifikat online erhalten

Daten über die Gesundheit gehören zu den sensibelsten Personendaten, die ein Unternehmen bearbeiten kann. Das Schweizer nDSG zählt sie zu den besonders schützenswerten Personendaten, die EU-DSGVO führt sie unter den besonderen Kategorien. Wer solche Daten im Auftrag eines Spitals, einer Praxisgruppe oder eines Labors bearbeitet, muss gegenüber dem Auftraggeber belegen, wie er das tut.

Die Frage kommt meist über drei Wege: den Lieferantenfragebogen der Einkaufsabteilung, die Ausschreibung und das Kundenaudit. Gefragt wird nach dem Verzeichnis der Bearbeitungstätigkeiten, nach dem Meldeweg bei Datenschutzverletzungen und nach der Rolle als Auftragsbearbeiter. Ein ISO 27701 Zertifikat ersetzt viele dieser Einzelantworten durch ein Dokument, das der Auftraggeber selbst nachprüfen kann.

Betroffen sind SaaS-Anbieter mit Patientenportalen, Hersteller von Praxis- und Laborsoftware, Abrechnungsdienstleister, IT-Betreuer von Arztpraxen und Personalvermittler für Pflegeberufe.

• Die Norm ISO 27701 im Überblick

Die Norm beschreibt keine medizinischen Abläufe. Sie verlangt, dass Sie jeden Vorgang mit Personendaten kennen, das Risiko für die betroffenen Patienten bewerten und passende Massnahmen festlegen. Typische Vorgänge im Gesundheitswesen:

Patientenakte und Behandlungsdaten

Zu klären ist, wer Zugriff hat, wie Lesezugriffe protokolliert werden und wie lange Daten aufbewahrt bleiben. Das Risiko liegt bei Einsicht durch Unbefugte und bei unwiderruflichem Datenverlust.

Laborresultate

Befunde wandern zwischen Labor, Praxis und Patient. Ein falsch adressierter Befund ist eine Datenschutzverletzung und muss über einen definierten Weg gemeldet werden.

Terminbuchung und Telemedizin

Online-Plattformen erfassen Kontaktdaten und das Anliegen der Patienten. Ein eingebundenes Analyse-Tool eines Drittanbieters kann diese Angaben unbemerkt weitergeben.

Abrechnung und Versicherungsdaten

Rechnungsdaten gehen an Kostenträger und Inkassostellen. Hier greift der Grundsatz, nur so viele Angaben zu übermitteln, wie der Zweck verlangt.

Studien- und Forschungsdaten

Daten aus Behandlungen dienen teils der Auswertung. Pseudonymisierung und eine klare Zweckbindung begrenzen das Risiko der Re-Identifikation.

Fernwartung durch IT-Dienstleister

Ein Techniker mit Zugriff auf ein Praxissystem sieht Patientendaten. Verträge, Zugriffsrechte und die Kontrolle von Unterauftragnehmern müssen das abbilden.

Die sechs zentralen Anforderungen lassen sich mit Beispielen aus dem Alltag eines Anbieters im Gesundheitswesen belegen.

1. 01

   Rolle bestimmen

   Ein Hersteller von Laborsoftware ist für seine Kunden Auftragsbearbeiter, eine Privatklinik ist Verantwortliche. Halten Sie die Rolle für jede Dienstleistung schriftlich fest.

2. 02

   Risiken bewerten und behandeln

   Bewertet wird das Risiko für die Patienten, nicht für Ihre Firma. Fragen Sie sich, was geschieht, wenn ein Befund beim falschen Empfänger landet, und legen Sie die Gegenmassnahme fest.

3. 03

   Verzeichnis der Bearbeitungstätigkeiten führen

   Pro Vorgang erfassen Sie Zweck, Datenkategorien, Empfänger und Aufbewahrungsdauer, etwa für Terminverwaltung, Rechnungsstellung und Patientenportal.

4. 04

   Rechte der betroffenen Personen erfüllen

   Ein Patient verlangt Auskunft über seine Daten. Bestimmen Sie, wer das Gesuch entgegennimmt, wie die Identität geprüft wird, aus welchen Systemen die Daten stammen und bis wann geantwortet wird.

5. 05

   Datenschutz durch Technik und Voreinstellungen umsetzen

   Rollenbasierte Zugriffe auf Akten, Protokollierung von Zugriffen und ein Patientenportal ohne Tracking in der Grundeinstellung sind konkrete Beispiele.

6. 06

   Datenschutzverletzungen erkennen und melden

   Ein verlorener Laptop mit Patientenlisten oder eine Sammelmail mit offenem Verteiler gehört dazu. Legen Sie fest, wer intern entscheidet und wer den Auftraggeber informiert.

Die Ausgabe ISO 27701:2025 ist eine eigenständige Managementsystemnorm und lässt sich ohne ISO 27001 zertifizieren. Haben Sie bereits ein ISMS, bauen Sie darauf auf. Ohne ISMS ist die Ausgabe 2025 der direkte Weg.

• ISO 27001 Informationssicherheit

Sie beantworten online 42 Ja/Nein-Fragen zur Norm. 15 davon sind Muss-Fragen (Kernfragen der Bewertung) und müssen alle mit Ja beantwortet werden. Von den übrigen 27 Fragen braucht es mindestens 18 Ja-Antworten. Für den Kauf brauchen Sie kein Kundenkonto.

Zertify stellt das Zertifikat unter Lizenz von SICE aus, SICE prüft jede Bewertung vor der Ausstellung. Nach bestandener Bewertung und Zahlung erhalten Sie es in der Regel innerhalb von 4 Stunden. Ein Vor-Ort-Audit findet nicht statt. Das Zertifikat gilt 3 Jahre und wird jedes Jahr durch ein kurzes Online-Re-Audit bestätigt.

Es kostet CHF 799 im ersten Jahr, danach CHF 529 pro Jahr inklusive Online-Re-Audit. Für Kunden in der Schweiz und in Liechtenstein sind 8.1% MwSt enthalten. Das Abonnement verlängert sich jährlich und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen, danach endet das Zertifikat mit dem bezahlten Jahr. Wer zwei Normen zertifiziert, erhält 20% Rabatt, ab drei Normen 30%, auch auf die Jahresgebühr.

Auf dem PDF finden Sie Zertifikatsnummer und QR-Code. Damit prüft die Einkaufsabteilung eines Spitals die Echtheit auf der öffentlichen Verifikationsseite selbst. Verlangt eine Ausschreibung ausdrücklich den klassischen Weg mit Vor-Ort-Audit durch eine Zertifizierungsstelle, lesen Sie die Anforderung vor dem Start genau.

• Kostenlose Selbstbewertung starten
• Preise ansehen
• Zertifizierungswege vergleichen