Definition
Erweiterung von ISO 27001 und 27002 um Anforderungen an ein Datenschutz-Managementsystem (Privacy Information Management System, PIMS). Brückt die Lücke zwischen Informationssicherheits-Standards und DSGVO. Zertifizierbar als Erweiterung einer bestehenden ISO 27001-Zertifizierung. Praktisch nützlich als Nachweis der Datenschutz-Compliance gegenüber Kunden, insbesondere im B2B-Cloud-Geschäft.
In der Praxis
Zuerst die Klarstellung, die ich in fast jedem Erstgespräch gebe: ISO/IEC 27701 ist keine eigenständige Zertifizierung — sie existiert nur als Erweiterung eines bestehenden ISMS nach ISO 27001. Wer ein „ISO-27701-Zertifikat" ohne 27001-Unterbau anbietet, hat das Konzept nicht verstanden. In der Sache ist die Norm die bislang sauberste Brücke zwischen Informationssicherheits-Management und DSGVO: Sie übersetzt die Rechenschaftspflicht in Managementsystem-Logik und unterscheidet konsequent die Rollen Verantwortlicher und Auftragsverarbeiter — für Cloud- und SaaS-Anbieter im B2B-Geschäft ein starkes Nachweisinstrument gegenüber Enterprise-Kunden. Der Stolperstein: Das PIMS ersetzt keine einzige gesetzliche Pflicht. Verarbeitungsverzeichnis, Datenschutz-Folgenabschätzung, die Meldung von Verletzungen binnen 72 Stunden, die Benennung eines Datenschutzbeauftragten nach § 38 BDSG — all das bleibt bestehen und wird im Audit neben dem Zertifikat geprüft. Meine Empfehlung: Stabilisieren Sie erst das ISMS, docken Sie dann die Datenschutzprozesse des DSB an — nicht umgekehrt.
Verwandte Begriffe
Häufige Fragen zu ISO/IEC 27701
Was leistet ISO/IEC 27701 im Vergleich zur DSGVO — ersetzt das Zertifikat die gesetzlichen Anforderungen?
Nein. Die DSGVO ist Gesetz und gilt unabhängig von jeder Norm; ISO/IEC 27701 ist ein Managementsystem-Standard, der Datenschutz in die PDCA-Logik eines ISMS übersetzt (ISO/IEC 27701:2019). Das Zertifikat dokumentiert, dass Sie Datenschutz systematisch steuern — mit Politik, Rollen, Kontrollen, Audits und Managementbewertung. Es befreit aber nicht von Einzelpflichten: Die Rechenschaftspflicht nach Art. 24 DSGVO, das Verzeichnis der Verarbeitungstätigkeiten, Folgenabschätzungen und Meldepflichten bleiben unverändert bestehen. Der praktische Wert liegt im Nachweis gegenüber Kunden: Gerade im B2B-Cloud-Geschäft reduziert ein PIMS-Zertifikat den Aufwand bei Kundenfragebögen und Audits erheblich. Denken Sie es als DSGVO-Compliance mit Managementsystem-Rückgrat.
Wann müssen wir einen Datenschutzbeauftragten benennen — und ändert ein PIMS daran etwas?
Die Pflicht folgt aus Gesetz, nicht aus der Norm. Nach § 38 Abs. 1 BDSG müssen Sie in Deutschland in der Regel einen Datenschutzbeauftragten benennen, sobald mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — in der Praxis trifft das fast jedes Unternehmen ab dieser Größe. Unabhängig davon nennt Art. 37 Abs. 1 DSGVO drei weitere Fälle: öffentliche Stellen, Kerntätigkeit in großumfänglicher regelmäßiger systematischer Überwachung sowie großumfängliche Verarbeitung besonderer Datenkategorien. Ein PIMS nach ISO/IEC 27701 ändert an diesen Pflichten nichts — im Gegenteil: Die Norm setzt voraus, dass die Rollen im Datenschutz geklärt sind, und der DSB bleibt eine eigene, weisungsfreie Funktion. PIMS und DSB ergänzen sich, sie ersetzen sich nicht.
Wie gehen wir die Einführung von ISO/IEC 27701 konkret an?
Voraussetzung ist ein funktionierendes ISMS nach ISO 27001 — idealerweise zertifiziert, denn die 27701-Erweiterung wird im selben Audit geprüft. Erweitern Sie dann den Scope um den Datenschutz: Klären Sie je Verarbeitungstätigkeit Ihre Rolle — sind Sie Verantwortlicher oder Auftragsverarbeiter? Davon hängt ab, welcher Kontrollkatalog der Norm greift. Übernehmen Sie die PII-spezifischen Kontrollen in Ihre Erklärung der Anwendbarkeit und verzahnen Sie das PIMS mit den bestehenden Datenschutz-Artefakten: Das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO ist dabei Ihr wichtigster Input. Binden Sie den Datenschutzbeauftragten von Anfang an ein — das PIMS ist ein Gemeinschaftswerk von ISB und DSB, kein Projekt der IT allein. Rechnen Sie für die Erweiterung mit einigen Monaten, nicht Wochen.