Datenschutzmanagement nach ISO 27701:2025
ISO 27701 Pflicht: Was Gesetz und Kunden wirklich verlangen
ISO 27701 ist keine gesetzliche Pflicht. Ob Sie das Zertifikat brauchen, entscheiden Ihre Kunden: im Lieferantenfragebogen, in der Ausschreibung oder im Vertrag. Verlangt einer es von Ihnen, erhalten Sie es online, 4 Stunden nach bestandenem Assessment und Zahlung.
01: Rechtslage
Ist ISO 27701 Pflicht?
Nein. ISO/IEC 27701 ist eine freiwillige Norm. Kein Gesetz schreibt Ihnen vor, ein Zertifikat nach dieser Norm zu besitzen.
Verbindlich sind das Schweizer nDSG und, sobald Sie Daten von Personen in der EU bearbeiten, die DSGVO. Beide verlangen, dass Sie Personendaten rechtmässig bearbeiten, Rechte betroffener Personen fristgerecht erfüllen und Datenschutzverletzungen melden. Wie Sie das organisieren und belegen, lassen sie offen.
Hier setzt die Norm an. Sie beschreibt ein Datenschutzmanagementsystem (PIMS), in dem Rollen, Risiken und Nachweise geregelt sind. Das Zertifikat ersetzt die Einhaltung der Gesetze nicht. Es zeigt Dritten, dass Sie dafür ein System führen.
02: Praxis
Wann ISO 27701 in der Praxis zur Pflicht wird
Eine Pflicht entsteht dort, wo ein Geschäft ohne Zertifikat nicht zustande kommt. Das merken Sie meist an einem dieser Punkte:
- Lieferantenfragebogen
- Der Einkauf Ihres Kunden fragt nach einem Datenschutzzertifikat. Ohne Nachweis beantworten Sie dutzende Einzelfragen oder fallen aus der Auswahl.
- Ausschreibung
- Private und öffentliche Ausschreibungen können ein Zertifikat als Eignungskriterium nennen oder dafür Punkte vergeben.
- Auftragsbearbeitung
- Wer Personendaten im Auftrag eines Kunden bearbeitet, muss dem Kunden belegen können, dass die Bearbeitung geordnet abläuft. Der Kunde will seine Wahl des Dienstleisters begründen können.
- Kundenaudit
- Kündigt ein Kunde ein Audit an, gibt ihm ein Zertifikat einen Ausgangspunkt. Ohne Zertifikat beginnt er bei null.
- Konzern- und Branchenvorgaben
- Konzernrichtlinien für Lieferanten oder Erwartungen im Gesundheitswesen, bei Banken, Versicherungen und Treuhändern verlangen oft ein Zertifikat zusätzlich zu ISO 27001.
SaaS- und Cloud-Anbieter, IT-Dienstleister, Labore sowie HR- und Lohndienstleister kennen diese Anfragen am besten. Sie bearbeiten Personendaten ihrer Kunden und werden deshalb zuerst gefragt.
03: Nachweise
Was Kunden fragen und was Sie vorlegen
Eine Kundenanfrage zum Datenschutz folgt einem Muster. Die Tabelle zeigt die häufigsten Fragen und den Nachweis, den Sie dazu in der Hand haben sollten.
| Frage des Kunden | Ihr Nachweis |
|---|---|
| Besitzen Sie ein Datenschutzzertifikat? | Zertifikat ISO 27701:2025 als PDF mit Zertifikatsnummer |
| Können wir das Zertifikat prüfen? | Öffentliche Verifikationsseite, Abfrage per Nummer oder QR-Code auf dem PDF |
| Wer trägt welche Verantwortung? | Dokumentierte Rolle als Verantwortlicher oder Auftragsbearbeiter |
| Führen Sie ein Verzeichnis der Bearbeitungstätigkeiten? | Aktuelles Verzeichnis, Teil des Datenschutzmanagementsystems |
| Wie gehen Sie mit Datenschutzverletzungen um? | Beschriebener Ablauf zum Erkennen und Melden |
04: Ausgabe
ISO 27701:2025 oder 2019: Welche Ausgabe meint der Kunde?
Kunden schreiben meist nur «ISO 27701» und nennen kein Jahr. Das ist relevant, weil sich die Ausgaben im Aufbau unterscheiden.
Die Ausgabe 2019 erweitert ein bestehendes ISMS nach ISO 27001 und setzt dieses voraus. Die Ausgabe 2025 ist eine eigenständige Managementsystemnorm. Sie können sie ohne ISO 27001 zertifizieren lassen.
Haben Sie kein ISMS, ist die Ausgabe 2025 der direkte Weg. Zertify stellt Zertifikate nach ISO 27701:2025 aus. Verlangt Ihr Kunde ausdrücklich die Ausgabe 2019, klären Sie das vor der Bestellung mit ihm.
05: Vorgehen
So kommen Sie schnell zum Zertifikat, wenn ein Kunde fragt
Der klassische Weg führt über ein Audit vor Ort durch eine Zertifizierungsstelle. Dafür brauchen Sie einen Termin, interne Vorbereitung und Zeit für den Bericht. Als Richtwert sind es mehrere Wochen bis einige Monate. Haben Sie eine Frist des Kunden im Nacken, ist das oft zu lang.
Rolle bestimmen
Klären Sie, ob Sie Personendaten als Verantwortlicher, als Auftragsbearbeiter oder in beiden Rollen bearbeiten. Alles Weitere baut darauf auf.
Unterlagen bereitlegen
Sammeln Sie Verzeichnis der Bearbeitungstätigkeiten, Risikobewertung, Ablauf für Anfragen betroffener Personen und den Meldeablauf bei Datenschutzverletzungen.
Assessment ausfüllen
Es umfasst 42 Ja/Nein-Fragen. 15 davon sind Pflichtanforderungen der Norm und müssen alle mit Ja beantwortet sein. Aus den übrigen 27 Fragen brauchen Sie mindestens 18 Ja.
Zertifikat an den Kunden senden
Nach bestandenem Assessment und Zahlung liegt das Zertifikat in der Regel innert 4 Stunden vor. Sie hängen das PDF an die Antwort auf den Fragebogen.
06: Zertify
Wie Zertify zu Ihrer Kundenanfrage passt
Zertify stellt das Zertifikat auf Basis Ihres Online-Assessments aus, ohne Audit vor Ort. Es wird von Zertify unter Lizenz des SICE (Swiss Institute of Certification and Education) ausgestellt. Das SICE prüft jedes Assessment, bevor das Zertifikat ausgestellt wird. Jedes Jahr bestätigen Sie es mit einem kurzen Online-Reaudit.
Der Preis beträgt 799 CHF (799 €) im ersten Jahr, danach 529 CHF (529 €) pro Jahr inklusive Online-Reaudit. Das Zertifikat gilt 3 Jahre. Für Kunden in der Schweiz und in Liechtenstein sind 8.1% MWST enthalten. Wer zwei Normen kombiniert, etwa ISO 27701 mit ISO 27001, erhält 20% Rabatt, ab drei Normen 30%, auch auf die jährliche Gebühr.
Die Bestellung läuft ohne Kundenkonto. Das Abonnement verlängert sich jährlich und lässt sich im Kundenkonto jederzeit auf das Ende des laufenden Jahres kündigen. Dann endet das Zertifikat mit dem bezahlten Jahr. Das Assessment selbst ist kostenlos.
07: FAQ
Häufige Fragen zu ISO 27701 Pflicht
08: Leitfaden
Weiterführende Seiten
Prüfen Sie, ob Sie das Assessment bestehen
Beantworten Sie die 42 Fragen zu ISO 27701 und erfahren Sie sofort, wo Sie stehen.
Kostenlos und ohne Registrierung.