ISO 27701 für Handel: Datenschutz nachweisen, bevor der Einkauf fragt

Ein Händler kennt seine Kunden genau: Name, Lieferadresse, Kaufverlauf, Zahlungsart, bei Treueprogrammen auch Vorlieben und Einkaufsrhythmus. Dazu kommen die Daten von Lieferanten, von Mitarbeitenden in den Filialen und von Bewerbenden.

Grössere Handelsketten, Marktplatzbetreiber und Markenhersteller schicken ihren Partnern deshalb Fragebögen. In Lieferantenfragebögen und Offertanfragen steht der Datenschutz als eigener Abschnitt, sobald Personendaten im Spiel sind. Gefragt wird, wer welche Daten zu welchem Zweck bearbeitet, wo sie liegen und welche Dienstleister Zugriff haben.

Mit einem Zertifikat beantworten Sie diese Fragen einmal und belegbar. Der Einkauf Ihres Kunden prüft die Nummer auf der Verifizierungsseite und legt den Fragebogen ab.

• ISO für kleine und mittlere Unternehmen

Die Norm beschreibt ein Datenschutzmanagementsystem. Im Handel zeigt es sich an sehr konkreten Stellen:

Kundenkonto und Bestellhistorie

Adresse, Bestellungen und Retouren liegen in einem Konto. Das System legt fest, wie lange diese Daten bleiben und wer im Kundendienst darauf zugreift.

Treueprogramm und Kundenkarte

Aus Einkaufsdaten entstehen Profile. Zweck, Rechtsgrundlage und Einwilligung müssen dokumentiert sein.

Newsletter und Tracking im Online-Shop

Versandtool, Analysewerkzeug und Werbepixel sind Dienstleister oder Dritte. Das Verzeichnis der Bearbeitungstätigkeiten führt sie auf.

Zahlung und Rückerstattung

Zahlungsdienstleister und Rückzahlungen auf Bankkonten brauchen klare Zugriffsrechte und Verträge.

Filiale und Personal

Kameras im Verkaufsraum, Zeiterfassung und Personaldossiers sind Bearbeitungen mit eigenen Aufbewahrungsfristen.

Lieferanten- und Kundenstammdaten im B2B

Auch Ansprechpersonen bei Lieferanten und Geschäftskunden sind Personendaten und gehören ins Verzeichnis.

Versand und Marktplatzanbindung

Lieferadressen gehen an Paketdienste und Marktplätze. Jede Weitergabe braucht eine Grundlage und eine Vereinbarung.

ISO 27701 bewertet das Risiko für die betroffenen Personen, nicht für Ihre Firma. Die folgende Tabelle zeigt, wie das im Alltag eines Händlers aussieht.

Die sechs zentralen Anforderungen lassen sich mit Beispielen aus dem Handelsalltag belegen.

1. 01

   Rolle bestimmen

   Für die Daten Ihrer Shopkunden sind Sie Verantwortlicher. Betreiben Sie für eine Marke den Shop oder die Lagerabwicklung, sind Sie für diese Daten Auftragsbearbeiter. Beides kann in derselben Firma vorkommen, die Rolle wird pro Tätigkeit festgehalten.

2. 02

   Risiken bewerten und behandeln

   Ein Drogerieshop mit Bestellhistorie wiegt schwerer als eine reine Adressliste für Kataloge. Entsprechend streng fallen Zugriff und Aufbewahrung aus.

3. 03

   Verzeichnis der Bearbeitungstätigkeiten führen

   Viele Händler führen es als Tabelle: Tätigkeit, Zweck, Datenkategorien, Empfänger, Aufbewahrung. Shop, Treueprogramm, Newsletter, Lohn und Videoüberwachung sind je eine Zeile.

4. 04

   Rechte der betroffenen Personen erfüllen

   Eine Adresse für Anfragen, ein Ablauf im Kundendienst und eine Vorlage für die Antwort genügen als Grundgerüst. Eine Löschung muss Shop, Newsletter-Tool und Lagersystem erreichen.

5. 05

   Datenschutz durch Technik und Voreinstellungen

   Im Bestellformular stehen nur Felder, die für die Lieferung nötig sind. Die Newsletter-Anmeldung ist nicht vorangekreuzt, und eine Gastbestellung ist möglich.

6. 06

   Datenschutzverletzungen erkennen und melden

   Festgelegt wird, wer einen Fehlversand oder ein verlorenes Gerät mit Kundenliste erkennt, wer über die Meldung entscheidet und wo der Vorfall protokolliert wird.

Bei der Ausgabe 2025 nicht. Sie ist eine eigenständige Managementsystemnorm und lässt sich ohne ISO 27001 zertifizieren. Die Ausgabe 2019 war eine Erweiterung eines bestehenden ISMS und setzte dieses voraus. Für Händler ohne Informationssicherheits-Zertifikat ist das der entscheidende Unterschied.

Der Aufbau folgt der bekannten Struktur der Managementsystemnormen: Kontext (Kapitel 4), Führung (5), Planung (6), Unterstützung (7), Betrieb (8), Leistungsbewertung (9) und Verbesserung (10). Wer bereits ISO 9001 oder ISO 27001 kennt, findet sich darin wieder.

• ISO 27001 im Überblick
• Zertifizierungswege im Vergleich

Sie beantworten online 42 Ja/Nein-Fragen zu Ihrem Datenschutzmanagement. 15 davon sind Muss-Fragen, die Kernpunkte der Beurteilung abdecken und alle mit Ja beantwortet sein müssen. Von den übrigen 27 Fragen brauchen Sie mindestens 18 Ja-Antworten. Der Test ist kostenlos und ohne Registrierung.

Zertify stellt das Zertifikat unter Lizenz von SICE (Swiss Institute of Certification and Education) aus, SICE prüft jede Selbstbeurteilung vor der Ausstellung. Vier Stunden nach bestandenem Test und Zahlung liegt das PDF vor. Eine Prüfung vor Ort findet nicht statt, das unterscheidet diesen Weg von der klassischen Route mit Audit durch eine Zertifizierungsstelle.

Auf dem PDF steht ein QR-Code. Er führt auf die öffentliche Verifizierungsseite, auf der sich jedes Zertifikat auch über die Nummer prüfen lässt.

Der Preis beträgt CHF 799 im ersten Jahr, danach CHF 529 pro Jahr inklusive des jährlichen Online-Re-Audits. Das Zertifikat gilt drei Jahre. Das Abonnement verlängert sich jährlich automatisch und ist im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündbar, danach endet das Zertifikat mit dem bezahlten Jahr. Für zwei Normen gewähren wir 20 Prozent Rabatt, für drei und mehr 30 Prozent, auch auf die Jahresgebühr. In der Schweiz und in Liechtenstein sind 8.1 Prozent MWST enthalten. Zum Kauf brauchen Sie kein Konto.

• Kostenlose Selbstbeurteilung starten
• Preise ansehen
• Alle Informationen zu ISO 27701