ISO/IEC 27701.

Eine Erweiterung, keine eigenständige Norm

ISO/IEC 27701 steht nicht für sich allein. Sie ist als Erweiterung von ISO/IEC 27001 und ISO/IEC 27002 konzipiert, was bedeutet, dass Sie sich nicht danach zertifizieren lassen können, ohne zuvor über ein funktionierendes Informationssicherheits-Managementsystem (ISMS) zu verfügen. Die Norm nimmt die Sicherheitsmaßnahmen, die Sie bereits betreiben, und legt datenschutzspezifische Anforderungen und Leitlinien darüber, wodurch das ISMS in ein Datenschutz-Informationsmanagementsystem (PIMS) umgewandelt wird. Für eine Organisation, die ISO 27001 bereits betreibt, ist dies ein effizienter Schritt: Sie nutzen dieselbe Governance, dieselbe Risikomethodik, denselben Auditzyklus erneut und erweitern den Anwendungsbereich auf die Verarbeitung personenbezogener Daten (PII).

Diese architektonische Entscheidung ist der eigentliche Kern. Anstatt den Datenschutz als gesondertes Programm mit eigenen Gremien und eigenen Nachweisen zu betreiben, ermöglicht Ihnen ISO 27701, ein einziges Managementsystem zu zertifizieren, das sowohl Sicherheit als auch Datenschutz abdeckt. Die Erklärung zur Anwendbarkeit wird erweitert, die Risikobeurteilung betrachtet nun das Datenschutzrisiko für Personen und nicht mehr nur das Risiko für die Organisation, und dieselbe Zertifizierungsstelle auditiert das Ganze in einem einzigen Auftrag.

Pflichten des Verantwortlichen und des Auftragsverarbeiters

ISO 27701 teilt ihre zusätzlichen Anforderungen entlang derselben Linie auf, die das Datenschutzrecht zieht: zwischen der Organisation, die als Verantwortlicher handelt (und entscheidet, warum und wie PII verarbeitet werden), und der Organisation, die als Auftragsverarbeiter handelt (und PII im Auftrag einer anderen Stelle verarbeitet). Viele Organisationen sind je nach Datenbestand zugleich beides, daher gibt Ihnen die Norm zwei Sätze von Leitlinien und fordert Sie auf, jeweils denjenigen anzuwenden, der zu jeder Verarbeitungstätigkeit passt.

• Themen auf Seiten des Verantwortlichen umfassen Rechtsgrundlage und Zweck, Einwilligung und Wahlmöglichkeit, Transparenz gegenüber Personen, Bearbeitung von Betroffenenanfragen, Verzeichnisse von Verarbeitungstätigkeiten sowie Pflichten, wenn Sie PII mit Dritten teilen.
• Themen auf Seiten des Auftragsverarbeiters umfassen das Handeln ausschließlich auf dokumentierte Weisung, die Unterstützung des Verantwortlichen bei dessen Pflichten, die Steuerung von Unterauftragsverarbeitern sowie die Rückgabe oder Löschung von PII am Ende eines Vertrags.

In der Praxis ist dies das, was ein Datenschutzteam unter modernen Datenschutzregimen bereits tut, doch ISO 27701 ordnet es in auditierbare Maßnahmen mit dokumentierten Nachweisen, und genau das verwandelt eine Datenschutzhaltung in etwas, das ein Dritter überprüfen kann.

Wo sie neben der DSGVO steht

Das häufigste Missverständnis ist, dass eine ISO-27701-Zertifizierung Sie DSGVO-konform macht. Das tut sie nicht, und sie ist sorgfältig darauf bedacht, dies nicht zu behaupten. Die DSGVO ist Gesetz, und ISO 27701 ist eine freiwillige Managementsystem-Norm. Was 27701 Ihnen bietet, ist ein strukturierter, zertifizierbarer Rahmen, dessen Maßnahmen eng auf die Datenschutzgrundsätze abbilden, sodass sie ein starker Nachweis der Rechenschaftspflicht (accountability) und ein gutes operatives Rückgrat ist. Doch die Einhaltung eines bestimmten Rechtsregimes erfordert weiterhin Ihre eigene rechtliche Analyse, Ihre Aufzeichnungen und Ihren nachweisbaren Umgang mit individuellen Rechten nach diesem Gesetz.

Der saubere Weg, sie zu betreiben, besteht darin, den Datenschutz an demselben ISMS zu verankern, das Sie für die Sicherheit nutzen, das kombinierte System nach ISO 27001 plus ISO 27701 zu zertifizieren und Ihren Datenschutzbeauftragten und Ihr Rechtsteam als Eigentümer des Gesetzes selbst zu belassen. Die Norm übernimmt die operative Disziplin; sie übernehmen die Auslegung.