ISO 27701 Datenschutzmanagement
ISO 27701 für IT-Branche: Datenschutz nachweisen, bevor der Kunde fragt
IT-Dienstleister, SaaS-Anbieter und Hoster bearbeiten Personendaten im Auftrag ihrer Kunden. ISO 27701 belegt, dass Sie das nachvollziehbar und kontrolliert tun. Mit Zertify beantworten Sie 42 Fragen online und erhalten das Zertifikat innerhalb von 4 Stunden nach Bestehen und Zahlung.
01: Nachfrage
Warum Kunden von IT-Firmen ISO 27701 verlangen
Ein IT-Dienstleister hält Daten, die ihm nicht gehören. Ein SaaS-Anbieter speichert Kundenstammdaten, ein Managed-Service-Provider sieht Postfächer und Dateiablagen, ein Entwicklungshaus arbeitet mit Echtdaten aus Projekten. Die Einkaufsabteilung des Kunden will wissen, wer darauf zugreift, wo die Daten liegen und welche Unterauftragnehmer beteiligt sind.
Diese Fragen kommen als Lieferantenfragebogen, in der Vertragsverhandlung oder im Kundenaudit. Manche Ausschreibungen verlangen einen Nachweis zum Datenschutzmanagement oder bewerten ihn zusätzlich. Ein Zertifikat mit Nummer, QR-Code und öffentlicher Prüfseite beantwortet einen Teil davon, noch bevor der Fragebogen ausgefüllt ist.
ISO 27701 beschreibt dafür ein Datenschutzmanagementsystem. Es zeigt, wie Sie als Verantwortlicher oder Auftragsbearbeiter Personendaten bearbeiten und Ihre Rechenschaftspflichten nach dem Schweizer nDSG und der EU-DSGVO belegen.
02: Risiken
Welche Prozesse und Risiken der IT-Branche die Norm abdeckt
Die Risiken in einer IT-Firma entstehen selten im Rechenzentrum allein. Sie entstehen im Alltag von Support, Entwicklung und Betrieb. Sechs Situationen, die ein Auditor oder Kunde typischerweise hinterfragt:
- Support-Zugriff
- Ein Techniker öffnet für ein Ticket die Datenbank eines Kunden. Zu klären sind Zweck, Berechtigung und Protokollierung des Zugriffs.
- Testdaten
- Produktivdaten werden in eine Staging-Umgebung kopiert, damit ein Fehler reproduzierbar wird. Dort gelten oft schwächere Schutzmassnahmen.
- Unterauftragnehmer
- Cloud-Infrastruktur, E-Mail-Versand und Monitoring-Tools verarbeiten Daten Ihrer Kunden mit. Der Kunde muss wissen, wer das ist.
- Löschung nach Vertragsende
- Ein Kunde kündigt, seine Daten liegen aber weiter in Backups und Archiven. Sie brauchen eine definierte Frist und einen Ablauf.
- Logs und Telemetrie
- IP-Adressen, Nutzerkennungen und Gerätedaten fallen im Betrieb an. Auch sie sind Personendaten und gehören ins Verzeichnis.
- Datenschutzverletzung
- Ein falsch konfigurierter Storage-Bucket macht Kundendaten öffentlich zugänglich. Entscheidend ist, wie schnell Sie das erkennen und Ihren Kunden informieren.
03: Rolle
Verantwortlicher oder Auftragsbearbeiter: welche Rolle hat Ihre IT-Firma?
Für die Daten, die Ihre Kunden in Ihr System laden, sind Sie in der Regel Auftragsbearbeiter. Für die Daten Ihrer eigenen Mitarbeitenden, Bewerber und Website-Besucher sind Sie Verantwortlicher. Die meisten IT-Firmen haben beide Rollen.
Die Norm verlangt, dass Sie die Rolle je Bearbeitung festhalten. Daraus folgen andere Pflichten. Als Auftragsbearbeiter handeln Sie nach den Weisungen des Kunden, melden ihm Verletzungen und regeln den Einsatz von Unterauftragnehmern vertraglich. Als Verantwortlicher entscheiden Sie selbst über Zweck und Aufbewahrung und beantworten Anfragen betroffener Personen direkt.
04: Umsetzung
Wie eine IT-Firma die Kernanforderungen erfüllt
Die Anforderungen klingen abstrakt, die Umsetzung ist es nicht. Die Tabelle zeigt, was in einem typischen IT-Betrieb dahintersteckt.
| Anforderung | Umsetzung in einer IT-Firma |
|---|---|
| Rolle bestimmen | Pro Dienst festhalten, ob Sie als Auftragsbearbeiter oder Verantwortlicher handeln, und in den Kundenverträgen abbilden. |
| Risiken bewerten | Für jede Bearbeitung prüfen, was betroffenen Personen bei Verlust, Missbrauch oder Offenlegung droht, und Massnahmen festlegen. |
| Verzeichnis führen | Bearbeitungstätigkeiten, Datenkategorien, Speicherorte und Unterauftragnehmer in einer gepflegten Liste erfassen. |
| Betroffenenrechte erfüllen | Einen Ablauf definieren, wie Auskunfts- und Löschanfragen eingehen, an den Kunden weitergeleitet und fristgerecht beantwortet werden. |
| Datenschutz durch Technik | Rollenbasierte Zugriffe, Pseudonymisierung von Testdaten und datensparsame Voreinstellungen im Produkt. |
| Verletzungen melden | Alarmierung bei Auffälligkeiten, ein Meldeweg zum Kunden und eine Vorlage, die den Vorfall dokumentiert. |
05: ISO 27001
Braucht man ISO 27001, um ISO 27701 zu erhalten?
Bei der Ausgabe 2025 nicht. Sie ist eine eigenständige Managementsystemnorm und lässt sich ohne ISO 27001 zertifizieren. Die Ausgabe 2019 war eine Erweiterung und setzte ein bestehendes ISMS voraus.
Wer bereits nach ISO 27001 arbeitet, hat einen Vorsprung. Risikomethode, Dokumentenlenkung, interne Audits und Managementbewertung sind vorhanden und folgen derselben Struktur mit den Kapiteln 4 bis 10. Es kommen die datenschutzspezifischen Teile dazu: Rollen, Verzeichnis, Betroffenenrechte. Alle anderen IT-Firmen beginnen bei diesen Punkten direkt.
06: Mit Zertify
So kommt eine IT-Firma mit Zertify zum Zertifikat
Zertify ist eine Online-Plattform. Das Zertifikat basiert auf einer Selbstbewertung, es gibt kein Audit vor Ort. Zertify stellt es unter Lizenz von SICE aus, und SICE prüft jede Bewertung, bevor das Zertifikat erscheint.
Der Ablauf in vier Schritten:
Selbstbewertung ausfüllen
42 Ja/Nein-Fragen zu ISO 27701. Sie brauchen dafür kein Konto und kein Gespräch mit einem Berater.
Bestehen
Alle 15 Pflichtanforderungen der Norm müssen mit Ja beantwortet sein. Von den übrigen 27 Fragen braucht es mindestens 18 Ja-Antworten.
Zertifikat erhalten
Nach Bestehen und Zahlung liegt das Zertifikat innerhalb von 4 Stunden als PDF vor.
Nachweis zeigen
Jedes Zertifikat lässt sich öffentlich über Nummer und QR-Code verifizieren. Ihr Kunde prüft die Echtheit selbst, ohne bei Ihnen nachzufragen.
Das Zertifikat kostet 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive des jährlichen Online-Re-Audits. Es ist drei Jahre gültig. Das Abo lässt sich jederzeit im Kundenkonto auf das Ende des laufenden Jahres kündigen, danach endet auch das Zertifikat. Für Schweizer Kunden ist die Mehrwertsteuer von 8.1% enthalten.
Wenn Sie mehrere Normen kombinieren, etwa ISO 27001, ISO 27017 und ISO 27701, gibt es 20% Rabatt auf zwei Normen und 30% auf drei oder mehr, auch auf die jährliche Gebühr. Wer ausdrücklich einen Audit vor Ort durch eine Zertifizierungsstelle braucht, findet den Vergleich der Wege im Leitfaden.
07: FAQ
Häufige Fragen zu ISO 27701 in der IT-Branche
Für die Ausgabe 2025 nicht. Sie lässt sich ohne ISO 27001 zertifizieren. Wenn Sie bereits ein ISMS betreiben, sparen Sie Aufwand, weil Risikomethode, interne Audits und Dokumentenlenkung vorhanden sind.
Ja. Die Norm unterscheidet ausdrücklich zwischen Verantwortlichen und Auftragsbearbeitern. Ein SaaS-Anbieter ist für Kundendaten meist Auftragsbearbeiter und für eigene Personaldaten Verantwortlicher.
Nein. Das Zertifikat belegt, dass Sie ein Datenschutzmanagementsystem betreiben. Die Verträge mit Ihren Kunden und Unterauftragnehmern bleiben nötig, das Zertifikat erleichtert aber die Verhandlung.
Das Zertifikat liegt innerhalb von 4 Stunden nach Bestehen der Selbstbewertung und Zahlung vor. Wie lange das Ausfüllen dauert, hängt davon ab, wie weit Ihr Verzeichnis und Ihre Abläufe dokumentiert sind.
799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive Online-Re-Audit. Die Kombination mit weiteren Normen wird mit 20% oder 30% Rabatt vergünstigt.
Ja. Jedes Zertifikat hat eine Nummer und einen QR-Code auf dem PDF. Beides führt zur öffentlichen Prüfseite, auf der Ihr Kunde oder die Einkaufsabteilung die Echtheit bestätigt.
08: Leitfaden
Verwandte Seiten
Prüfen Sie, ob Ihre IT-Firma bereit ist
Beantworten Sie die 42 Fragen zu ISO 27701 und sehen Sie sofort, wo Ihr Datenschutzmanagement steht.
Kostenlos und ohne Registrierung.