ISO 27701 Zertifizierung: Der Guide zur Zertifizierung

Dr. Kilian Schmidt

Dr. Kilian Schmidt ist Jurist, Co-Founder und CEO der Kertos GmbH und bringt zahlreiche Jahre Erfahrung in Datenschutz- und Legal Tech mit.

Oktober 16, 2024

AUF EINEN BLICK

ISO 27701 erweitert die ISO 27001 um ein Datenschutzmanagementsystem und bietet einen international anerkannten Rahmen für den Schutz personenbezogener Daten.
Unternehmen mit ISO 27701-Zertifizierung stärken das Vertrauen und die Glaubwürdigkeit bei Kunden, Partnern und Aufsichtsbehörden durch transparente Datenschutzpraktiken.
Die Zertifizierung erleichtert die Einhaltung internationaler Datenschutzvorschriften, einschließlich der DSGVO, und unterstützt globale Datenübertragungen.
ISO 27701 hilft Unternehmen, Datenschutzrisiken effektiv zu managen und sich besser auf rechtliche Anforderungen und Datenschutzbedrohungen vorzubereiten.
Eine ISO 27701-Zertifizierung verbessert nicht nur die Datensicherheit, sondern eröffnet auch neue Geschäftsmöglichkeiten auf internationalen Märkten.

Personenbezogene Daten sind sowohl für Unternehmen als auch für Verbraucher ein hohes Gut. Während Unternehmen personenbezogene Daten nutzen, um gezielte Werbung zu schalten, verwenden Verbraucher dieselben Daten für den kostenlosen Zugang zum Internet. Die Verbraucher sind zunehmend misstrauisch geworden, wenn es um den Missbrauch ihrer persönlichen Daten geht.

Angesichts der wachsenden Sorge erwarten die Verbraucher von den Unternehmen, dass sie den Datenschutz respektieren und ihre Daten mit äußerster Sorgfalt schützen. Aus geschäftlicher Sicht spielt der Schutz von Daten eine wichtige Rolle beim Aufbau von Vertrauen bei den Kunden. Laut einer Umfrage von Termly sind 91,1 % der Unternehmen bereit, dem Datenschutz Priorität einzuräumen, wenn sie wissen, dass dies das Vertrauen und die Loyalität ihrer Kunden stärkt.

Um dieses empfindliche Gleichgewicht zu erreichen, gibt es zwar regionalspezifische Vorschriften, doch sind diese an ihren Geltungsbereich und ihre Durchsetzung gebunden. Im Vergleich dazu bietet ISO 27701 einen international anerkannten Rahmen für den Datenschutz. Sie trägt maßgeblich zur Verwaltung personenbezogener Daten bei, die sowohl von den für die Datenverarbeitung Verantwortlichen als auch von den Datenverarbeitern für eine Vielzahl von Vorteilen genutzt werden.

ISO 27701 Zertifizierung leicht gemacht

Bist du bereit, hunderte Stunden Zeit und jede Menge Aufwand in Datenschutz und Informationssicherheit zu sparen? Mache jetzt die Demo und finde heraus, ob Kertos die richtige Lösung für dein Unternehmen ist.

Der Zusammenhang zwischen ISO 27001 und ISO 27701

Die Zertifizierung nach ISO 27701 baut auf der ersten Zertifizierung nach ISO 27001 auf.

Einfach ausgedrückt, ist ISO 27701 eine Erweiterung von ISO 27001, der anerkanntesten Norm der ISO-Familie (International Organisation for Standardisation).

Was ist der Unterschied zwischen ISO 27701 und ISO 27001?

Der Hauptunterschied zwischen den beiden Normen liegt in ihrem Anwendungsbereich.

Während es bei ISO 27001 um das Management der Informationssicherheit geht, konzentriert sich ISO 27701 auf das Management des Datenschutzes.
ISO 27001 bietet einen Rahmen für die Einrichtung, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung eines Informationssicherheitsmanagementsystems (ISMS). Im Vergleich dazu erweitert ISO 27701 diesen Ansatz zur Verwaltung des Datenschutzes durch ein Datenschutz-Informationsmanagementsystem (ISMS).

Wie profitieren Unternehmen von der Zertifizierung nach ISO 27701?

Globale Datenübertragungen nutzen

Fast 137 von 195 Ländern weltweit haben Datenschutzbestimmungen. Probleme beim grenzüberschreitenden Datentransfer ergeben sich jedoch aus der Forderung des Gerichtshofs der Europäischen Union (EuGH) nach „wesentlicher Gleichwertigkeit“. Diese Maßnahme stellt sicher, dass der von Nicht-EU-Staaten gebotene Datenschutz, mit dem der EU-Datenschutzverordnung vergleichbar ist.

Zuvor unterstützte das Safe-Harbour-System die Datenübermittlung zwischen der EU und den USA. Nach der Entscheidung in der Rechtssache Schrems I im Jahr 2015 wurde es jedoch durch das EU-US Privacy Shield ersetzt. Auch dieser Rahmen wurde für ungültig erklärt, da im Fall Schrems II im Jahr 2020 ähnliche Bedenken hinsichtlich des Datenschutzes und der Überwachung geltend gemacht wurden.

Der 2023 verabschiedete EU-US-Datenschutzrahmen (Data Privacy Framework, DPF) zielt zwar vorerst auf eine Lösung des Problems ab, ist aber ebenfalls mit ähnlichen Kritikpunkten konfrontiert wie seine Vorgänger. Eine weitere rechtliche Anfechtung (wie Schrems III) könnte diesen Rahmen möglicherweise erneut außer Kraft setzen.

Zur Unterstützung bei grenzüberschreitenden Datenübermittlungen können sich Unternehmen auch auf Standardvertragsklauseln (SCC) und verbindliche unternehmensinterne Vorschriften (BCR) stützen. Zusätzliche Sorgfaltspflichten für die Unternehmen des Datenexporteurs zur Feststellung des „angemessenen“ Schutzniveaus für personenbezogene Daten, das von den Unternehmen des Datenimporteurs geboten wird, machen die Aufgabe jedoch für beide Parteien beschwerlich.

ISO 27701 löst diese Unstimmigkeiten

Solche Unstimmigkeiten mit der Stabilität und der grenzüberschreitenden Kompatibilität werden durch ISO 27701 weitgehend gelöst. Sie bietet dauerhafte Stabilität und robuste, durchsetzbare Mechanismen, die den Datenschutz unabhängig von der Gerichtsbarkeit gewährleisten. Das Problem der Neutralisierung der lokalen Überwachung kann durch eine Mischung aus Risikomanagement, Datenübertragungsbewertungen (Klauseln 7.5 und 8.5) und zusätzlichen Maßnahmen (z. B. Verschlüsselung und Anonymisierung), wie in der Norm beschrieben, ausreichend gelöst werden.

Darüber hinaus bietet die ISO 27701-Zertifizierung ein effizientes und umfassendes Tool für Unternehmen, um die Anforderung der „wesentlichen Äquivalenz“ gemäß der DSGVO zu bewerten, zu informieren und zu bestimmen. Die Zertifizierung nach ISO 27701 hilft Unternehmen, die Kluft zwischen verschiedenen regionalen Datenschutzvorschriften zu überbrücken, und befähigt sie, auf internationaler Ebene zu operieren.

Kundenvertrauen mit der ISO 27701 steigern

ISO 27701 bietet den Standard, der notwendig ist, um bei der Verwaltung von Daten Vertrauen aufzubauen. Die Zertifizierung belegt die Einhaltung von Richtlinien, Verfahren und Protokollen, die nach einer internationalen Norm wie ISO 27701 entwickelt wurden, und stärkt das Vertrauen der Beteiligten. Die Norm ermöglicht es Unternehmen, Risiken in jeder Phase der Datenverarbeitung besser zu minimieren.

ISO 27701 sorgt für mehr Transparenz bei den bestehenden Datenschutzkontrollen und vermittelt den Beteiligten ein klares Bild von den Kontrollen, die zum Schutz personenbezogener Daten durchgeführt werden. Diese transparente Data-Governance-Praxis gibt externen Stakeholdern die Gewissheit, dass sie sich uneingeschränkt für den Datenschutz einsetzen. Sie führt zu einer fundierten Entscheidungsfindung und zu einer Tendenz zum Aufbau von Vertrauen.

Die ISO 27701-Zertifizierung fördert eine natürliche Affinität bei Kunden, Aufsichtsbehörden, Investoren, Lieferanten, Verkäufern und Partnern. Die Hervorhebung des Zertifizierungsstatus in Anzeigen, Marketingmaterialien, Online-Portalen und in der Kundenkommunikation stärkt die Glaubwürdigkeit des Unternehmens und erhöht die Chancen auf neue Geschäftsmöglichkeiten.

Datenschutz einhalten mit der ISO 27701

Verbesserte Einhaltung des Datenschutzes

Ein ISO 27001-konformes ISMS bildet die Grundlage, auf der die Einhaltung der meisten internationalen Datenschutzvorschriften leicht erreicht werden kann. Die Einhaltung spezifischer Vorschriften, wie z. B. des kalifornischen CCPA und der EU-Datenschutzgrundverordnung (DSGVO), erfordert jedoch zusätzliche Arbeit, um die gerichtsspezifischen Vorbehalte und Feinheiten zu berücksichtigen.

Es gibt viele wichtige Bereiche, in denen sich ISO 27701 und die DSGVO überschneiden, so dass die Einhaltung der letzteren erst dann möglich ist, wenn die erstere erfüllt ist. Und da die DSGVO den Grundstein für ein umfassendes, weltweites Datenschutzgesetz gelegt hat – den so genannten Brüsseler Effekt – kann man mit Sicherheit sagen, dass ISO 27701 ein Allheilmittel für die Einhaltung des Datenschutzes ist.

Wie sieht der Prozess für die ISMS-Zertifizierung aus?

Bevor Sie in die Lektüre eintauchen, möchten wir Sie darauf hinweisen, dass dieser Artikel keine Schritt-für-Schritt-Anleitung zur ISMS-Zertifizierung ist. Der Lebenszyklus der ISMS-Zertifizierung umfasst zwei Phasen: die Vor-Audit-Phase und die Audit-Phase. Hier fassen wir die Prozesse zusammen, die ab dem Zeitpunkt ablaufen, an dem ein externer Prüfer zur Überprüfung vor Ort ist. Diese Phase ist eher zyklisch und besteht aus vier Teilen.

Wir haben die Vor-Audit-Phase in einem Artikel ausführlich beschrieben, den Sie hier finden können.

Überschneidungen der ISO 27701 mit der DSGVO

Die wichtigsten Anforderungen der Norm, die sich mit der DSGVO überschneiden, sind

Die Durchführung von Datenschutz-Risikobewertungen (Klauseln 5.4 und 5.6) erfüllt die Anforderungen von Artikel 35 der DSGVO zur Identifizierung und Bewertung von Datenschutzrisiken.

Eine Bestandsaufnahme der personenbezogenen Daten und eine Klassifizierung der Daten nach Sensibilität und Risiko hilft bei Auskunftsersuchen der betroffenen Personen (DSAR).

Klare Richtlinien zur Datenaufbewahrung helfen beim Recht auf Löschung (Artikel 17 der DSGVO) und bei der Datenminimierung (Artikel 5 (1) (c)).
Die Festlegung von Rollen und Zuständigkeiten (Klausel 6.3.1.1) erfüllt die Anforderungen der DSGVO in Bezug auf die Festlegung der Zuständigkeiten für das Dateneigentum, die Datenverwaltung, die Datenschutz-Folgenabschätzung, das Management von Datenschutzverletzungen usw. Der Umfang dieser Bestimmung kann auch bei der Benennung eines DSB gemäß Artikel 37 der DSGVO beobachtet werden.

Fazit: Unsere wichtigsten Erkenntnisse zur ISO 27701

Die Einhaltung der regionalspezifischen Datenschutzgesetze und -vorschriften ist ein Muss. Sie sind jedoch auf den Geltungsbereich der Verordnung beschränkt, für den sie gilt. Die ISO 27701 löst dieses Problem durch ihre internationale Akzeptanz, ohne dass eine zwingende Einhaltung erforderlich ist.

Unternehmen können sich dafür entscheiden, die Norm für die Entwicklung, Wartung und kontinuierliche Verbesserung ihres ISMS zu verwenden. ISO 27701 erleichtert nicht nur die Einhaltung der gerichtsspezifischen Datenschutzvorschriften, sondern stärkt auch das Vertrauen und die Glaubwürdigkeit des Unternehmens auf dem internationalen Markt.

Wenn dein Unternehmen ISO 27001-zertifiziert ist und Unterstützung bei der ISO 27701- Compliance sucht, bietet Kertos Unterstützung für alle ISO-Standards und Frameworks in einer einzigen, benutzerfreundlichen Plattform. Buche noch heute eine Demo, um unsere Expertise zu testen.