ISO 27701:2025: Datenschutz-Managementsystem auch ohne ISO 27001

Der nächste Kunde schickt einen Fragebogen zum Datenschutz, der übernächste will wissen, wie du Unterauftragnehmer steuerst, und der Einkauf eines Konzerns fragt nach einem Zertifikat. Seit dem 14. Oktober 2025 gibt es dafür eine neue Antwort: ISO/IEC 27701:2025 beschreibt ein Datenschutz-Managementsystem, das du auch ohne ISO 27001 aufbauen und zertifizieren lassen kannst. Dieser Artikel zeigt, was sich gegenüber 2019 geändert hat, für wen sich der Aufwand lohnt, wo die Grenzen der Norm liegen und wie du als Unternehmen mit rund 100 Mitarbeitenden vorgehst.

Was ist ISO 27701 und was bedeutet PIMS?

ISO/IEC 27701 ist die internationale Norm für ein Privacy Information Management System, kurz PIMS, auf Deutsch ein Datenschutz-Managementsystem. Sie beschreibt, wie du den Umgang mit personenbezogenen Daten (die Norm sagt "PII", personally identifiable information) planst, umsetzt, überprüfst und laufend verbesserst. Das Prinzip kennst du von jedem anderen Managementsystem: Du legst Verantwortlichkeiten fest, bewertest Risiken, setzt Maßnahmen um, prüfst intern und berichtest an die Leitung.

Die Norm ersetzt nicht die DSGVO. Die DSGVO sagt, was rechtlich gilt. ISO 27701 sagt, wie du das organisierst, damit es nicht von einzelnen Personen und Excel-Listen abhängt. Weil die Norm international gedacht ist, deckt sie nicht nur EU-Recht ab. Ein Anhang der Norm ordnet die Maßnahmen den Artikeln der DSGVO zu, sodass du die Brücke zum europäischen Recht nicht selbst bauen musst.

Bis 2025 war ISO 27701 eine Erweiterung. Die Fassung von 2019 setzte auf ISO 27001 und ISO 27002 auf, ohne ein funktionierendes Informationssicherheits-Managementsystem (ISMS) ging nichts. Genau das hat sich geändert.

Was ist neu in ISO 27701:2025 gegenüber 2019?

Die zweite Ausgabe ist am 14. Oktober 2025 erschienen. Die Zertifizierungsstellen haben im selben Atemzug mit ISO/IEC 27706:2025 ein neues Regelwerk bekommen, das festlegt, wie sie PIMS prüfen und welche Kompetenz ihre Auditoren mitbringen müssen. Die Analysen der British Standards Institution, von A-LIGN und von Scrut nennen dieselben Kernänderungen, die wir hier zusammenfassen.

Eigenständig statt Erweiterung

Die wichtigste Änderung steht in jeder Quelle an erster Stelle: Die Norm ist ein eigenständiger Standard und nicht mehr von ISO 27001 abhängig. Du kannst ein PIMS einführen und zertifizieren lassen, ohne vorher ein ISMS zertifiziert zu haben. Das war 2019 nicht möglich.

Eigenständig heißt allerdings nicht, dass die Sicherheit entfällt. Die Norm bringt die Sicherheitsmaßnahmen, die für den Schutz personenbezogener Daten nötig sind, jetzt selbst mit. Wer ISO 27001 hat, findet vieles wieder und spart Arbeit. Wer kein ISMS hat, muss nicht erst ein Parallelprojekt starten.

Neue Struktur: Klauseln 4 bis 10 und drei Tabellen in Anhang A

Die Norm folgt jetzt der gemeinsamen Struktur der ISO-Managementsysteme, wie du sie von ISO 27001:2022 kennst. Die Klauseln 4 bis 10 behandeln Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung, nur eben auf den Datenschutz zugeschnitten. Dieselbe Grundstruktur nutzt auch ISO 42001 für KI-Managementsysteme. Wer mehrere Normen betreibt, kann damit ein gemeinsames Managementsystem führen statt drei getrennter.

Die Maßnahmen stehen in Anhang A, gegliedert in drei Tabellen:

• A.1 enthält Maßnahmen für Verantwortliche, zum Beispiel zu Rechtsgrundlagen, Einwilligung, Betroffenenrechten, Privacy by Design und Übermittlungen in Drittländer.
• A.2 enthält Maßnahmen für Auftragsverarbeiter, etwa zu Kundenverträgen, Zweckbindung, Unterauftragnehmern und Offenlegungen.
• A.3 enthält die gemeinsamen Sicherheitsmaßnahmen, die für beide Rollen gelten, etwa Zugriffskontrolle, Kryptografie und Vorfallmanagement. Sie lehnen sich an ISO 27002:2022 an.

Dazu kommt ein Anhang B mit Umsetzungshinweisen, der das "Was" in Anhang A vom "Wie" trennt. Weitere Anhänge enthalten Zuordnungstabellen, unter anderem zu den DSGVO-Artikeln und eine Entsprechungstabelle zur Fassung von 2019, die dir bei der Umstellung hilft.

Inhaltlich bringt die Norm nach Einschätzung des Prüfers Schellman kaum völlig neue Anforderungen mit, sie sortiert vor allem um. Neu sind zum Beispiel die Pflicht, in der Kontextanalyse zu prüfen, ob der Klimawandel für dein PIMS relevant ist (wie in ISO 27001:2022), eine klarere Trennung zwischen "muss" und "sollte" im Normtext sowie ausdrückliche Hinweise zu Cloud-Diensten, Übermittlungen in Drittländer, biometrischen Daten, Gesundheitsdaten, IoT und KI-gestützter Verarbeitung.

Rollen: Verantwortlicher und Auftragsverarbeiter

Die Norm unterscheidet klar zwischen der Rolle des Verantwortlichen (die Organisation entscheidet über Zweck und Mittel der Verarbeitung) und der des Auftragsverarbeiters (die Organisation verarbeitet im Auftrag eines anderen). Viele Firmen sind beides: Für eigene Beschäftigte und eigene Kunden bist du Verantwortlicher, für die Daten deiner Kunden in deiner Software Auftragsverarbeiter. Das PIMS musst du pro Verarbeitung der richtigen Rolle zuordnen, und das ist der erste echte Arbeitsschritt im Projekt.

Zeitplan: Übergangsfrist bis Oktober 2028

Wer ein Zertifikat nach ISO 27701:2019 hat, muss bis Oktober 2028 auf die Ausgabe 2025 umstellen. Die britische Akkreditierungsstelle UKAS nennt als Stichtag den 31. Oktober 2028, andere Quellen den 1. Oktober 2028. Die Zertifizierungsstellen selbst müssen ihre Umstellung früher abschließen (laut UKAS bis 31. Oktober 2027). Frag bei deiner Zertifizierungsstelle nach dem genauen Termin und danach, wie die Umstellung in dein Überwachungsaudit passt. Ein Zertifikat, das nach dem Stichtag nicht umgestellt ist, verliert nach Angaben von Beratern seine Gültigkeit, und dann steht ein vollständiges Erstaudit an.

Wenn du jetzt neu startest, richte dich direkt an der Ausgabe 2025 aus. Eine Umstellung später kostet dich unnötig Zeit.

ISO 27001 vs. ISO 27701: Die Unterschiede im Überblick

Beide Normen nutzen dasselbe Gerüst, aber sie schützen Unterschiedliches. ISO 27001 fragt: "Was passiert mit den Informationen unseres Unternehmens, wenn etwas schiefgeht?" ISO 27701 fragt zusätzlich: "Was passiert mit den Menschen, deren Daten wir verarbeiten?" Die Perspektive wechselt vom Schaden fürs Unternehmen zum Schaden für Betroffene, und das ändert die Risikobewertung spürbar.

Wie die Zertifizierung nach ISO 27001 abläuft, beschreibt der Artikel zur ISO-27001-Zertifizierung. Für ein PIMS gilt in der Praxis das gleiche Muster: Stufe-1-Audit (Dokumentenprüfung), Stufe-2-Audit (Wirksamkeit im Betrieb), danach jährliche Überwachungsaudits und eine Rezertifizierung nach drei Jahren.

Für wen lohnt sich eine Zertifizierung nach ISO 27701?

Nicht für jedes Unternehmen. Die ehrliche Antwort hängt davon ab, wer dich nach Datenschutznachweisen fragt und wie oft.

Auftragsverarbeiter, SaaS-Anbieter und MSPs

Hier liegt der klarste Nutzen. Wenn du Daten im Auftrag deiner Kunden verarbeitest, sind deine Kunden als Verantwortliche verpflichtet, dich sorgfältig auszuwählen. Sie prüfen den Auftragsverarbeitungsvertrag (AVV) und bewerten dich als Dienstleister, oft mit einem eigenen Fragebogen. Je mehr Kunden du hast, desto öfter beantwortest du dieselben Fragen in anderen Formaten.

Ein Beispiel: Ein Softwarehaus mit 100 Mitarbeitenden betreibt eine Personalsoftware für 120 Kunden. Jeder Kunde fragt nach Verschlüsselung, Unterauftragnehmern, Löschkonzept, Standorten und Meldewegen bei Datenpannen. Ein PIMS-Zertifikat beantwortet nicht jede Frage, aber es zeigt, dass diese Fragen systematisch gesteuert werden und ein unabhängiger Auditor das geprüft hat. Manche Kunden akzeptieren dann den Verweis auf das Zertifikat und den Geltungsbereich als Antwort auf einen Teil der Standardfragen. Ob deine Kunden das tun, klärst du am besten vorab mit den zwei oder drei größten.

Für MSPs, die Systeme ihrer Kunden betreiben, gilt dasselbe, weil sie fast immer Zugriff auf personenbezogene Daten haben. Als IT-Dienstleister stehst du ohnehin in einer Doppelrolle zwischen eigener Compliance und der deiner Kunden, und das PIMS-Zertifikat stärkt die Datenschutzseite davon.

Firmen mit vielen Kundenanfragen zu Datenschutznachweisen

Auch Unternehmen, die keine klassischen Auftragsverarbeiter sind, bekommen Anfragen: Ein Industriezulieferer, der Kundendaten für Garantiefälle speichert, ein Personaldienstleister mit Bewerberdaten, eine Beratung mit Zugriff auf Mandantendaten. Wenn du mehr als ein paar solcher Anfragen pro Quartal bearbeitest, rechnet sich ein Managementsystem, weil du Antworten einmal sauber ablegst und nicht jedes Mal neu zusammensuchst.

Wann du es dir sparen kannst

Wenn niemand ein Zertifikat verlangt und du nur eigene Beschäftigtendaten und wenige Kundendaten verarbeitest, reicht oft ein gut geführtes Datenschutzkonzept mit Datenschutzbeauftragtem, aktueller Übersicht über deine Verarbeitungen und regelmäßiger Kontrolle. Die Zertifizierung kostet Zeit und Geld für Audits, und die Pflege hört nach dem Erstaudit nicht auf. Wer das Geld lieber in Maßnahmen als in Zertifikate steckt, ist auf der sicheren Seite, solange er die Dokumentation sauber führt. Die Normstruktur kannst du trotzdem als Vorlage nutzen, ohne dich zertifizieren zu lassen.

Wie hängt ISO 27701 mit DSGVO, Verarbeitungsverzeichnis, TOMs, DSFA und AVV zusammen?

Die Norm baut auf den Dokumenten auf, die du für die DSGVO ohnehin brauchst. Sie ersetzt sie nicht, sondern ordnet sie in ein System, das jemand regelmäßig prüft.

Etwas konkreter, was das im Alltag heißt:

Das Verarbeitungsverzeichnis ist die Datenlandkarte, auf der alles andere aufbaut. Ohne sie weißt du nicht, welche Prozesse in den Geltungsbereich gehören, welche Rolle du dort hast und welche Risiken du bewerten musst. Ein Auditor wird als Erstes fragen, ob die Liste vollständig und aktuell ist.

Die technischen und organisatorischen Maßnahmen sind der Überlappungsbereich mit ISO 27001. Hast du ein ISMS, steht ein großer Teil bereits, du musst ihn nur mit den Verarbeitungstätigkeiten verknüpfen. Hast du keins, entstehen diese Maßnahmen jetzt im PIMS.

Die Datenschutz-Folgenabschätzung ist der Ort, an dem sich die Risikoperspektive zeigt. Du bewertest nicht, wie teuer ein Vorfall für dein Unternehmen wird, sondern was er für die betroffenen Personen bedeutet. Die Norm verlangt das in der Planung, und die DSFA liefert dafür die Methode. Nach Angaben von Anbieter-Blogs (etwa Vanta) bezieht die Norm in die DSFA ausdrücklich auch KI-Modelle und algorithmische Entscheidungen mit ein, die personenbezogene Daten nutzen.

Die Datenpannen-Prozesse gehören in dasselbe Managementsystem. Auch die Meldepflichten sind in Bewegung: Die EU-Kommission hat im November 2025 mit dem Digital Omnibus Änderungen an den DSGVO-Meldungen vorgeschlagen, darunter eine längere Frist. Beschlossen ist davon nach aktuellem Stand nichts. Was geplant ist, steht im Artikel zum Digital Omnibus und den DSGVO-Meldepflichten. Ein Managementsystem mit sauberem Incident-Prozess lässt sich an solche Änderungen anpassen, ohne dass du es neu bauen musst.

Ist ISO 27701 eine DSGVO-Zertifizierung nach Art. 42?

Nein, und das solltest du in jedem Kundengespräch klar sagen. ISO 27701 ist nach unserem Kenntnisstand nicht als Zertifizierung nach Art. 42 DSGVO genehmigt, Stand Oktober 2026. Wer "DSGVO-konform zertifiziert" auf die Website schreibt, weil er ein ISO-27701-Zertifikat hat, kann Kunden in die Irre führen und Ärger auslösen.

Der Unterschied liegt im Verfahren. Art. 42 DSGVO beschreibt Zertifizierungsverfahren, die freiwillig sind (Abs. 3), auf Kriterien beruhen müssen, die die zuständige Aufsichtsbehörde oder der Europäische Datenschutzausschuss genehmigt hat (Abs. 5), und für höchstens drei Jahre ausgestellt werden (Abs. 7). Die Zertifizierungsstellen müssen nach Art. 43 DSGVO akkreditiert sein. In Deutschland erfolgt das gemeinsam durch die DAkkS und die Aufsichtsbehörden. Eine ISO-27701-Zertifizierung läuft dagegen als Managementsystem-Zertifizierung über eine Zertifizierungsstelle, die nach den Regeln für Managementsysteme akkreditiert ist. Ein von der Aufsicht genehmigter Kriterienkatalog steckt nach unserem Kenntnisstand nicht dahinter. Das Fachportal dr-datenschutz.de hat diesen Unterschied schon zur Fassung von 2019 beschrieben, und Quellen zur Ausgabe 2025 führen ISO 27701 weiterhin nicht als Zertifizierung nach Art. 42.

Genehmigte Verfahren gibt es durchaus. So hat die hessische Datenschutzaufsicht im Juni 2025 eine Zertifizierungsstelle für den Kriterienkatalog AUDITOR zugelassen, der für Cloud-Dienste gedacht ist und auf die Pflichten von Auftragsverarbeitern nach Art. 28 DSGVO zielt. Wer als Cloud-Anbieter ein formales DSGVO-Zertifikat will, schaut also in dieses Verfahren. Es ist eine eigene Schiene mit eigenem Aufwand.

Was folgt daraus? Zwei Dinge. Erstens kann ein ISO-27701-Zertifikat nicht den Platz einnehmen, den die DSGVO für genehmigte Zertifizierungen vorsieht. Art. 28 Abs. 5 und Art. 32 Abs. 3 DSGVO erwähnen genau diese genehmigten Verfahren als einen Baustein, mit dem sich hinreichende Garantien beziehungsweise die Einhaltung der Sicherheitsanforderungen belegen lassen. Zweitens gilt auch für ein genehmigtes Verfahren nach Art. 42 Abs. 4, dass es die Verantwortung des Verantwortlichen oder Auftragsverarbeiters nicht mindert. Ein Zertifikat ersetzt also nie die Prüfung deiner Verarbeitungen im Einzelfall.

Das macht ISO 27701 nicht wertlos. Es ist ein international bekannter Nachweis, dass du Datenschutz systematisch steuerst und ein unabhängiger Auditor das geprüft hat. Aber es ist ein Managementsystem-Nachweis und keine rechtliche Prüfung. Ob eine einzelne Verarbeitung rechtmäßig ist, ob deine Rechtsgrundlage trägt oder ob ein Drittlandtransfer zulässig ist, beantwortet das Zertifikat nicht. Das ist keine Rechtsberatung: Klär Zweifelsfälle mit deiner Rechtsabteilung, deinem Datenschutzbeauftragten oder einer Kanzlei.

Aufbauplan: ISO 27701 in einem Unternehmen mit 100 Mitarbeitenden

Das Vorgehen hängt davon ab, ob du schon ein ISMS hast. Die ersten Schritte sind in beiden Fällen gleich.

Schritt 1: Rolle und Geltungsbereich klären

Entscheide, welche Verarbeitungen ins PIMS gehören. Bei 100 Mitarbeitenden empfiehlt sich meist ein Start mit den Verarbeitungen, die Kunden besonders interessieren. Bei einem SaaS-Anbieter ist das der Betrieb der Software für Kunden, bei einem Dienstleister die Systeme der Kunden. Ordne jeder Verarbeitung die Rolle zu: Verantwortlicher, Auftragsverarbeiter oder beides. Halte Standorte, Systeme, Unterauftragnehmer und Schnittstellen im Geltungsbereich fest. Die Methodik ist dieselbe wie beim Geltungsbereich eines ISMS.

Benenne außerdem die Verantwortlichen. Du brauchst jemanden, der das PIMS steuert (häufig der Datenschutzbeauftragte, bei kleinen Firmen gemeinsam mit dem ISB), einen Sponsor in der Geschäftsführung, und je Fachbereich einen Ansprechpartner, etwa aus HR, Vertrieb und Entwicklung.

Variante A: Du hast ein ISMS und verzahnst beide Systeme

Das ist der leichtere Weg. Du erweiterst ein bestehendes Managementsystem, statt ein zweites zu bauen.

• Ein Managementsystem, eine Dokumentenstruktur. Kontext, Politik, Rollen, interne Audits, Management Review und Korrekturmaßnahmen existieren bereits. Du ergänzt Datenschutzaspekte, statt neue Dokumente anzulegen. Eine zusätzliche Datenschutzleitlinie oder ein Abschnitt in der bestehenden Leitlinie genügt, wenn die Anforderungen der Norm abgedeckt sind.
• Gemeinsame Risikomethode mit zusätzlicher Frage. Behalte die Methode aus dem ISMS, aber ergänze die Perspektive der Betroffenen. Bei jedem Risiko fragst du auch, welchen Schaden eine betroffene Person nähme.
• Maßnahmen verknüpfen. Die gemeinsamen Sicherheitsmaßnahmen in A.3 überschneiden sich stark mit den Controls aus ISO 27001. Du musst sie nicht doppelt umsetzen, sondern in der Anwendbarkeitserklärung (Statement of Applicability, SoA) auf die vorhandenen Maßnahmen verweisen und neue ergänzen, wo die Datenschutzseite mehr verlangt.
• Gemeinsames Audit. Mit demselben Zertifizierer lässt sich das PIMS-Audit oft mit dem ISMS-Überwachungsaudit koppeln. Frag nach, ob und wie. Die konkrete Auditplanung und die Auditdauer legt die Zertifizierungsstelle fest.

In ISMS Lite erfasst du Verarbeitungstätigkeiten mit Zweck, Empfängern, Löschfristen und Rechtsgrundlage und verknüpfst sie mit Assets, Dienstleistern und TOMs. Änderungen an Verarbeitungstätigkeiten werden versioniert, und eine Tätigkeit, die eine Datenschutz-Folgenabschätzung braucht, benötigt eine abgeschlossene Bewertung. So entsteht die Verknüpfung zwischen Datenlandkarte und Maßnahmen, die das PIMS verlangt, im selben System wie dein ISMS.

Variante B: Du startest ohne ISMS

Auch das geht seit 2025. Du baust allerdings die gesamte Managementsystem-Mechanik neu und solltest dafür etwas mehr Zeit einplanen. Die Norm erwartet die Grundbausteine jedes Managementsystems: Politik, Ziele, Rollen, dokumentierte Information, interne Audits, Management Review, Korrekturmaßnahmen. Wie das für ein ISMS aussieht, zeigt der Leitfaden zum ISMS-Aufbau. Für das PIMS gilt dasselbe Gerüst, nur mit Datenschutzinhalten.

Bei 100 Mitarbeitenden hilft ein schlanker Ansatz:

• Starte mit dem, was du hast. Verarbeitungsverzeichnis, TOMs, AVV-Liste und Löschkonzept existieren in den meisten Firmen schon. Prüfe sie auf Aktualität und ordne sie den Maßnahmen aus Anhang A zu.
• Schließe die Lücken bei Sicherheit. Die gemeinsamen Maßnahmen in A.3 verlangen Zugriffskontrolle, Kryptografie, Protokollierung, Vorfallmanagement und Lieferantensteuerung. Wenn dir hier etwas fehlt, ist das die größte Baustelle, weil du sie ohne ISMS neu aufbaust.
• Dokumentiere schlank. Eine Leitlinie, ein Prozessdokument je Kernprozess und Nachweise aus dem laufenden Betrieb reichen. Ein Auditor will Wirksamkeit sehen, keine Aktenberge.

Phasenplan für ein Unternehmen mit 100 Mitarbeitenden

Die folgenden Zeiten sind eine grobe Planungsgröße und kein Wert aus der Norm. Mit bestehendem ISMS rechnest du eher mit drei bis vier Monaten bis zur Auditreife, ohne ISMS eher mit sechs bis neun.

In Phase 3 liegt meist der größte Aufwand. Die Lieferkette frisst Zeit: Du musst wissen, welche Unterauftragnehmer personenbezogene Daten verarbeiten, ob es dafür Verträge gibt und wie du sie überwachst. Ein Sicherheits- und Datenschutzfragebogen je Dienstleister gibt dafür die Struktur.

Zertifizierungsstelle und Audit

Hol mindestens zwei Angebote ein. Zertifizierungsstellen berechnen den Aufwand nach Mitarbeiterzahl, Standorten und Komplexität der Verarbeitung, und was sie für dein Unternehmen kalkulieren, unterscheidet sich je nach Anbieter. Frag nach, ob die Stelle bereits nach ISO/IEC 27706:2025 arbeitet, welche Erfahrung ihre Auditoren mit deiner Branche haben und wie sie den Übergang für bestehende Zertifikate handhabt. Eine Zusammenführung mit einem ISO-27001-Audit beim selben Anbieter kann Termine und Reisekosten sparen.

Bereite dich auf zwei Phasen vor. In Stufe 1 prüft der Auditor, ob dein System auf dem Papier steht und ob Geltungsbereich, Rollen und Anwendbarkeitserklärung stimmig sind. In Stufe 2 will er Nachweise aus dem Betrieb sehen: Wie hast du die letzte Betroffenenanfrage bearbeitet, wie wurde der letzte Dienstleister geprüft, was ist bei der letzten Datenpanne passiert? Solche Nachweise sammelst du am besten laufend. Ein internes Audit vor dem Zertifizierungsaudit deckt Lücken auf, bevor es der Zertifizierer tut.

Auch hier hilft ein System, das Nachweise zusammenhält. ISMS Lite hat die ISO-27701-Controls nicht als fertiges Framework hinterlegt, aber das Audit-Protokoll hält jede Änderung fest, die Dienstleisterverwaltung führt Bewertungen, Verträge und Wiederbewertungsfristen, und Maßnahmen lassen sich mit Fristen und Verantwortlichen verfolgen. Eigene Frameworks legst du im offenen JSON-Format an, wenn du die Maßnahmen aus Anhang A gegen deine Umsetzung abbilden willst.

Checkliste: ISO 27701:2025 einführen

Entscheidung und Rolle

• Anlass geklärt: Welche Kunden oder Ausschreibungen verlangen den Nachweis?
• Entscheidung der Geschäftsführung dokumentiert, Budget und Ressourcen benannt
• PIMS-Verantwortliche und Ansprechpartner je Fachbereich festgelegt
• Rolle je Verarbeitung bestimmt (Verantwortlicher, Auftragsverarbeiter oder beides)

Geltungsbereich und Datenlandkarte

• Geltungsbereich mit Standorten, Systemen, Unterauftragnehmern und Schnittstellen beschrieben
• Verarbeitungsverzeichnis vollständig und auf dem aktuellen Stand
• Löschfristen und Aufbewahrungsregeln je Verarbeitung festgelegt
• Drittlandübermittlungen erfasst, Rechtsgrundlage dokumentiert

Risiko und Maßnahmen

• Risikomethode um die Perspektive der Betroffenen erweitert
• DSFA-Schwellenprüfung für neue Verarbeitungen eingeführt
• Anwendbarkeitserklärung für Anhang A erstellt, Ausschlüsse begründet
• TOMs den Verarbeitungstätigkeiten zugeordnet, Umsetzungsstatus gepflegt
• Gemeinsame Sicherheitsmaßnahmen (A.3) mit dem ISMS abgeglichen

Lieferkette und Verträge

• AVVs mit allen Dienstleistern abgeschlossen und auf Aktualität geprüft
• Unterauftragnehmer erfasst und freigegeben
• Kundenverträge enthalten Weisungsrecht, Unterauftragnehmer-Regelung und Meldeweg
• Wiederbewertung kritischer Dienstleister terminiert

Betroffene und Vorfälle

• Prozess für Auskunft, Berichtigung und Löschung beschrieben und getestet
• Datenpannen-Prozess mit Meldefristen, Rollen und Vorlagen vorhanden
• Mitarbeitende zu Datenschutz geschult, Nachweise abgelegt

Nachweise und Audit

• Datenschutzleitlinie und Ziele von der Leitung freigegeben
• Internes Audit gegen die Ausgabe 2025 durchgeführt
• Management Review mit Protokoll und Maßnahmen abgeschlossen
• Zertifizierungsstelle ausgewählt, Terminplan für Stufe 1 und 2 abgestimmt
• Bei bestehendem Zertifikat nach 2019: Entsprechungstabelle abgearbeitet, Umstellungstermin geklärt

Häufige Fehler bei ISO 27701

ISO 27701 als DSGVO-Zertifikat verkaufen. "DSGVO-zertifiziert" auf der Website oder im Angebot ist irreführend und kann Ärger mit Kunden und Wettbewerbern auslösen. Formuliere präzise: "zertifiziert nach ISO/IEC 27701" mit Geltungsbereich, Ausstellungsdatum und Zertifizierungsstelle. Mehr darf das Zertifikat nicht versprechen.

Die Rolle nicht sauber klären. Wer pauschal sagt "wir sind Auftragsverarbeiter", übersieht die Verarbeitungen, bei denen er Verantwortlicher ist, etwa Bewerber-, Beschäftigten- und Marketingdaten. Das Zertifikat gilt dann für einen Ausschnitt, den dein Geltungsbereich nicht sauber abbildet, und der Auditor findet es schnell.

Das Verarbeitungsverzeichnis als Einmalprojekt behandeln. Ein Verzeichnis, das beim Audit zwei Jahre alt ist, widerlegt das ganze Managementsystem. Lege Verantwortliche und Prüfintervalle fest und prüfe bei jedem neuen System und jedem neuen Dienstleister nach.

Ein zweites System neben dem ISMS bauen. Getrennte Leitlinien, getrennte Audits und doppelte Maßnahmenlisten verdoppeln die Pflege. Nutze die gemeinsame Struktur der Normen und führe ein Managementsystem mit zwei Schwerpunkten.

Die Übergangsfrist verschlafen. Wer noch ein Zertifikat nach 2019 hat, muss bis Oktober 2028 umstellen. Wer erst im letzten Halbjahr anfängt, muss mit Engpässen bei den Auditterminen rechnen. Plane die Umstellung ins nächste Überwachungsaudit ein und nutze die Entsprechungstabelle der Norm.

Fazit: Das Zertifikat belegt dein System, nicht die Rechtmäßigkeit

ISO 27701:2025 macht aus einer Erweiterung für ISO-27001-Kunden ein eigenständiges Werkzeug, das vor allem Auftragsverarbeitern, SaaS-Anbietern und MSPs Antworten auf Kundenfragen liefert. Für den Einstieg brauchst du keine Zertifizierung: Starte mit Rolle und Geltungsbereich, einem aktuellen Verarbeitungsverzeichnis und einer Gap-Analyse gegen Anhang A. Dann weißt du, ob sich der Weg bis zum Audit für dein Unternehmen rechnet. Die rechtliche Prüfung der einzelnen Verarbeitungen bleibt trotzdem bei dir, deinem Datenschutzbeauftragten und, wo nötig, deiner Kanzlei.

Weiterführende Artikel

• ISO 27001 Zertifizierung: Ablauf, Kosten und Aufwand für KMU
• ISMS aufbauen: Der komplette Leitfaden für Unternehmen mit 50 bis 500 Mitarbeitern
• Internes ISMS-Audit durchführen: Planung, Checkliste und Bericht
• Datenschutzbeauftragter: Wann Pflicht, was er tut, intern vs. extern
• ISO 42001: KI-Managementsystem aufbauen und zertifizieren lassen