ISO 27701: Datenschutzmanagement und Sicherheit verbinden

Datenschutzmanagement funktioniert am besten, wenn Verarbeitungsentscheidungen, Schutzmaßnahmen, die Bearbeitung von Betroffenenrechten und Verantwortlichkeiten von Lieferanten zusammenpassen. ISO/IEC 27701 bietet dafür einen Managementsystem-Ansatz: ein Datenschutz-Informationsmanagementsystem (Privacy Information Management System, PIMS).

Für einen CTO besteht die Herausforderung darin, dokumentierte Pflichten mit dem Systemverhalten zu verbinden. Eine Aufbewahrungsrichtlinie muss zu einem Löschprozess werden; eine Zusage als Auftragsverarbeiter muss Zugriff und Weiterverwendung einschränken; eine Datenschutzprüfung muss Releases beeinflussen. Sicherheitsmaßnahmen unterstützen diese Ergebnisse, können aber nicht bestimmen, ob eine Verarbeitung gerechtfertigt ist.

Die richtige Ausgabe und das Verhältnis zu Ihrem ISMS wählen

ISO/IEC 27701:2025 ist die zweite Ausgabe und legt die PIMS-Anforderungen als eigenständige Norm fest. Die ältere Ausgabe von 2019 war eine Erweiterung von ISO 27001 und ISO 27002. Bauen Sie eine neue Umsetzung nicht auf der Annahme auf, dass eine ISO-27001-Zertifizierung immer Voraussetzung ist. Klären Sie die anwendbare Ausgabe und die Übergangsregelungen mit Ihrer Zertifizierungsstelle.

Ein bestehendes ISMS nach ISO 27001 bleibt nützlich. Governance, Risikoprozesse, Dokumentenlenkung, interne Audits und Managementbewertung können beide Systeme unterstützen. ISO 27002 bietet Leitlinien für Informationssicherheitsmaßnahmen.

Halten Sie die Ziele auseinander. Sicherheit betrachtet Vertraulichkeit, Integrität und Verfügbarkeit. Datenschutz betrachtet außerdem Zwecke, Verhältnismäßigkeit, Transparenz und Folgen für die betroffenen Personen. Eine verschlüsselte Datenbank kann dennoch unnötig erhobene Informationen enthalten. Sicherheitsnachweise wiederzuverwenden ist sinnvoll; sie als Beleg für die Einhaltung des Datenschutzes zu behandeln, ist es nicht.

Den Geltungsbereich über die Verarbeitung festlegen, nicht nur über die Infrastruktur

Beginnen Sie mit den Diensten und Tätigkeiten, die das PIMS abdeckt. Beziehen Sie unterstützende Systeme, Teams, Lieferanten und Schnittstellen ein. Eine Grenze wie „produktive Cloud-Umgebung“ reicht nicht aus, wenn der Kundensupport personenbezogene Daten in ein separates Ticketsystem exportiert.

Dokumentieren Sie für jede Tätigkeit:

• Zweck, Kategorien personenbezogener Daten und betroffene Personengruppen.
• Rolle als Verantwortlicher oder Auftragsverarbeiter, einschließlich Tätigkeiten mit abweichenden Rollen.
• Erhebungsquellen, Empfänger, Speicherorte und Übermittlungswege.
• Aufbewahrungsregeln, Löschverhalten, Verantwortliche und anwendbare Pflichten.

Rollen hängen von der Verarbeitungstätigkeit ab, nicht einfach von der Identität des Unternehmens. Ein Softwareanbieter kann von Kunden hochgeladene Daten nach deren Weisungen verarbeiten und zugleich für seine eigenen Abrechnungsdaten Verantwortlicher sein. Diese Tätigkeiten brauchen unterschiedliche Entscheidungswege.

Weisen Sie Verantwortlichkeiten für Technik, Produkt, Datenschutz, Einkauf und Betrieb ausdrücklich zu. Wo ein Datenschutzbeauftragter vorgeschrieben oder benannt ist, wahren Sie seine unabhängige Beratungs- und Überwachungsrolle, statt ihn für die Wahl der Verarbeitungszwecke verantwortlich zu machen. Die DSGVO enthält die einschlägigen Pflichten für Verantwortliche, Auftragsverarbeiter und Datenschutzbeauftragte.

Datenschutzrisiken zusammen mit Sicherheitsrisiken bewerten

Nutzen Sie das Verarbeitungsverzeichnis, um Schäden für betroffene Personen ebenso wie Risiken für die Organisation zu ermitteln. Unbefugter Zugriff ist wichtig, ebenso aber übermäßige Erhebung, unerwartete Weiterverwendung, unrichtige Datensätze, unzugängliche Verfahren für Betroffenenrechte und eine Aufbewahrung über einen begründeten Bedarf hinaus.

Eine praktische Bewertung sollte jedes Risiko mit einer Tätigkeit, einer Folge, einer bestehenden Schutzmaßnahme, einer Behandlung, einer verantwortlichen Person und einem Anlass für eine Überprüfung verbinden. Dokumentieren Sie, warum das verbleibende Risiko akzeptiert wird oder warum weitere Arbeit nötig ist.

Betrachten Sie eine Berichtsfunktion, die Leistungsdaten von Beschäftigten exportiert. Authentifizierung und Zugriffsprotokollierung adressieren Sicherheitsbedenken. Die Datenschutzanalyse muss zudem prüfen, ob der Export unnötige Felder enthält, sensible Rückschlüsse offenlegt oder Verwendungen ermöglicht, die mit dem angegebenen Zweck unvereinbar sind.

Eine PIMS-Bewertung kann die rechtliche Bewertung unterstützen, erfüllt aber nicht automatisch die Anforderungen jeder Rechtsordnung. Nach Artikel 35 DSGVO erfordert eine Verarbeitung, die voraussichtlich ein hohes Risiko zur Folge hat, eine Datenschutz-Folgenabschätzung. Bewerten Sie diese Schwelle gesondert und bewahren Sie die Entscheidung und jede erforderliche Folgenabschätzung auf.

Pflichten in prüfbare Maßnahmen übersetzen

Vermeiden Sie eine Datenschutzrichtlinie, die die Technik nicht umsetzen kann. Legen Sie für jede Pflicht das erwartete Systemverhalten und die Nachweise fest, die es belegen. Das Folgende sind praktische Umsetzungsbeispiele, kein allgemeingültiger verpflichtender Maßnahmenkatalog.

Verschlüsselung, minimale Rechte, Protokollierung und Wiederherstellung bleiben wichtige gemeinsame Schutzmaßnahmen. Wählen Sie Maßnahmen nach dem Risiko aus: Artikel 32 DSGVO schreibt nicht in jeder Situation pauschal Verschlüsselung vor. Dokumentieren Sie Schlüsselzugriff, Wiederherstellung und Grenzen der Löschung, wo sie Datenschutzergebnisse beeinflussen. Hinweise zur Umsetzung finden Sie unter Verschlüsselung und Schlüsselverwaltung.

Betriebsverfahren aufbauen, die echten Fällen standhalten

Die Bearbeitung von Betroffenenrechten braucht einen Eingangsweg, klare Verantwortung, eine verhältnismäßige Identitätsprüfung, Suchen in Systemen, eine Prüfung von Informationen Dritter und eine sichere Übermittlung. Nach der DSGVO ist eine Antwort in der Regel innerhalb eines Monats fällig; zulässige Verlängerungen müssen innerhalb dieses ersten Monats mitgeteilt werden. Bewahren Sie Fallaufzeichnungen auf, die Entscheidungen erklären, nicht nur Zahlen geschlossener Tickets. Ein Ablauf für Auskunftsanfragen sollte auch manuelle Systeme und die Unterstützung durch Lieferanten abdecken.

Die Bewältigung von Vorfällen muss die technische Eindämmung von Entscheidungen über datenschutzrechtliche Meldungen unterscheiden. Nach der DSGVO melden Auftragsverarbeiter dem Verantwortlichen unverzüglich. Verantwortliche bewerten die Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Dokumentieren Sie die Begründung, wenn keine Meldung erfolgt, und bewerten Sie, ob ein hohes Risiko eine Benachrichtigung der betroffenen Personen erfordert.

Lieferantenverfahren sollten Weisungen, Unterauftragsverarbeiter, Unterstützung bei Anfragen und Vorfällen, Rückgabe oder Löschung sowie den Zugang zu Nachweisen prüfen. Wo die DSGVO gilt, haben Verträge nach Artikel 28 bestimmte vorgeschriebene Inhalte. Ein Lieferantenzertifikat ist ein unterstützender Nachweis, kein Ersatz für diese Bedingungen.

Internationale Übermittlungen erfordern eine gesonderte rechtliche Bewertung. Eine Zertifizierung nach ISO 27701 erlaubt sie nicht und neutralisiert keine Überwachungsrisiken. Dokumentieren Sie das anwendbare Übermittlungsinstrument, bewerten Sie seine Voraussetzungen und setzen Sie bei Bedarf ergänzende Maßnahmen um. Der Speicherort allein begründet keine Rechtskonformität.

Praxisbeispiel: ein Kundensupport-Dienst

Angenommen, ein SaaS-Anbieter verarbeitet zur Veranschaulichung Support-Nachrichten von Kunden nach deren Weisungen und ist für seine eigenen Kontaktdaten zu Kundenkonten verantwortlich. Beide Tätigkeiten nutzen dieselbe Support-Plattform.

Das Team erfasst Nachrichteninhalte, Anhänge, Kontokennungen, Lieferantenzugriffe und Exportziele. Dabei stellt es fest, dass ein Debugging-Export vollständige Nachrichten in einen Arbeitsbereich der Entwicklung mit längerer Aufbewahrung kopiert.

Die Behandlung ist konkret: vollständige Nachrichtenexporte durch minimierte Diagnosefelder ersetzen, Ausnahmezugriffe einschränken, eine genehmigte Aufbewahrungsfrist anwenden und dokumentieren, wer Ausnahmen genehmigt. Testen Sie, dass routinemäßige Exporte keine Nachrichtentexte enthalten und dass abgelaufene Diagnosedatensätze entfernt werden.

Das Nachweispaket enthält das Verarbeitungsverzeichnis, die Rollenbewertung, die Lieferantenbedingungen, die Risikoentscheidung, die Konfiguration, die Testergebnisse und den Freigabeverlauf. Die gemeinsame Überprüfung der Zugriffsmaßnahmen stützt sowohl Sicherheit als auch Datenschutz, während die Entscheidung über den Zweck des Exports datenschutzspezifisch bleibt.

Mit betrieblichen Nachweisen auf die Zertifizierung vorbereiten

Die Zertifizierung erfolgt durch eine unabhängige Zertifizierungsstelle, nicht durch ISO. Klären Sie vor der Terminierung der Bewertung Geltungsbereich, Ausgabe, Auditansatz und Erwartungen an die Nachweise. Ein typisches Erstzertifizierungsverfahren umfasst eine Prüfung der Bereitschaft und der Dokumentation, gefolgt von einer Bewertung der Umsetzung; klären Sie die Einzelheiten mit der ausgewählten Stelle.

Führen Sie ein internes Audit anhand der anwendbaren Anforderungen und Ihrer eigenen Verfahren durch. Ziehen Sie Stichproben aus Verarbeitungstätigkeiten, Betroffenenanfragen, Lieferantenentscheidungen, der Umsetzung der Aufbewahrung und Produktänderungen. Unterscheiden Sie ein fehlendes Dokument von einer Maßnahme, die zwar existiert, im Betrieb aber versagt.

Die Managementbewertung sollte Feststellungen, offene Risiken, Änderungen, Leistung und Ressourcen berücksichtigen. Korrekturmaßnahmen brauchen Verantwortliche, Abschlussnachweise und Wirksamkeitsprüfungen. Eine Zertifizierung kann Sicherheit über das abgegrenzte Managementsystem geben, belegt aber nicht die Einhaltung der DSGVO, schafft keine Rechtsgrundlage und deckt keine Tätigkeiten außerhalb dieses Geltungsbereichs ab.

Mit einer nachvollziehbaren Verarbeitungstätigkeit beginnen

Wählen Sie eine Tätigkeit aus, verfolgen Sie ihre Daten durch verbundene Systeme und Lieferanten und verknüpfen Sie jede wesentliche Pflicht mit einer verantwortlichen Person, einer Schutzmaßnahme und einem Entscheidungsverlauf. Überprüfen Sie sie nach relevanten Änderungen, statt auf das nächste Audit zu warten.

Secani unterstützt diesen Nachweisablauf, indem es Anforderungen, Maßnahmen, Systeme, Nachweise und Prüfentscheidungen verbindet. Teams können gemeinsame ISMS-Nachweise neben datenschutzspezifischen Entscheidungen aufbewahren, Lücken in zugewiesene Aufgaben überführen und die menschliche Freigabe KI-gestützter Vorschläge bewahren. Das erste nützliche Ergebnis ist eine geprüfte Kette vom Verarbeitungszweck über die umgesetzte Schutzmaßnahme bis zum stützenden Nachweis.