ISO 27701 — Datenschutz im ISMS

ISO/IEC 27701 erweitert ein Managementsystem für Informationssicherheit um den Schutz personenbezogener Daten. Aus dem ISMS wird damit ein Datenschutzmanagementsystem, in der Norm als Privacy Information Management System bezeichnet.

Der Zuschnitt ist bewusst schmal. Die Norm erfindet keinen neuen Rahmen, sondern setzt auf dem vorhandenen auf: Sie ergänzt die Anforderungen aus ISO/IEC 27001 um datenschutzspezifische Punkte und die Maßnahmen aus ISO/IEC 27002 um zusätzliche Vorgaben. Wer kein ISMS hat, kann mit 27701 nicht anfangen.

Gedacht ist sie für Organisationen, die den Umgang mit personenbezogenen Daten gegenüber Dritten belegen müssen. Am stärksten profitieren Auftragsverarbeiter: IT- und Cloud-Dienstleister, Rechenzentren, Anbieter von Personalsoftware, Lohnabrechner, Callcenter, Marktforschung, Archiv- und Aktenvernichtungsdienstleister. Für sie ist Datenschutz kein interner Verwaltungsakt, sondern Gegenstand jeder Vertragsverhandlung.

Ein Missverständnis vorweg, weil es teuer werden kann: Ein ISO-27701-Zertifikat ist keine DSGVO-Zertifizierung. Die Verordnung kennt in Artikel 42 ein eigenes Verfahren mit Kriterien, die eine Aufsichtsbehörde genehmigen muss. ISO 27701 gehört nicht dazu. Wer im Vertrieb mit „DSGVO-zertifiziert“ wirbt, macht eine Aussage, die er nicht belegen kann.

Wie die Norm aufgebaut ist

Die Systematik unterscheidet sich von anderen Managementsystemnormen, weil sie nicht für sich steht, sondern zwei bestehende Werke modifiziert.

Inhaltlich sortieren sich die Zusatzmaßnahmen in vier Themenblöcke, die für beide Rollen gelten, aber unterschiedlich ausgeprägt sind:

Bedingungen der Verarbeitung. Auf welcher Grundlage wird verarbeitet, zu welchem Zweck, mit welcher Einwilligung, mit welchen Verträgen? Für Auftragsverarbeiter steht hier vor allem die Weisungsbindung — einschließlich des Verfahrens für den Fall, dass eine Weisung des Kunden erkennbar rechtswidrig ist.

Pflichten gegenüber betroffenen Personen. Information, Auskunft, Berichtigung, Löschung, Widerspruch, Datenübertragbarkeit, automatisierte Entscheidungen. Der Auftragsverarbeiter beantwortet diese Anfragen nicht selbst, muss den Verantwortlichen aber unterstützen können — und zwar in einer Frist, die der Kunde einhalten kann.

Datenschutz durch Technikgestaltung. Erhebung begrenzen, Daten minimieren, deidentifizieren, Aufbewahrungsfristen festlegen und umsetzen, temporäre Dateien beseitigen, Datenträger sicher behandeln. Dieser Block erzeugt in Projekten den größten technischen Aufwand.

Weitergabe und Übermittlung. Empfänger dokumentieren, Grundlagen für Übermittlungen in Drittländer, Umgang mit Unterauftragsverarbeitern samt Information des Kunden bei Wechseln, Verfahren bei Auskunftsersuchen von Behörden.

Was die Norm dagegen nicht leistet, gehört zur ehrlichen Darstellung dazu. Sie bewertet keine Rechtsgrundlagen — ob eine Verarbeitung auf ein berechtigtes Interesse gestützt werden darf, entscheidet niemand im Audit. Sie kennt keine gesetzlichen Meldefristen; dass ein Datenschutzvorfall der Aufsichtsbehörde binnen einer bestimmten Frist zu melden ist, folgt aus der Verordnung, nicht aus der Norm. Und sie regelt weder die Bestellpflicht für Datenschutzbeauftragte noch nationale Sonderregelungen. Die Zuordnungstabellen der Norm zur DSGVO sind eine Argumentationshilfe, keine Prüfliste für Rechtskonformität.

Der erste Schritt jedes Projekts ist deshalb nicht die Maßnahmenauswahl, sondern eine Klärung: In welcher Rolle sind wir bei welcher Verarbeitung? Die Antwort fällt für die meisten Unternehmen gemischt aus. Ein Softwareanbieter ist Auftragsverarbeiter für die Daten in der Anwendung seiner Kunden und Verantwortlicher für Beschäftigten-, Interessenten- und Abrechnungsdaten. Dann gelten beide Anhänge, und die Erklärung zur Anwendbarkeit muss beide abbilden.

Für wen sich der Aufwand lohnt und wann nicht

Der Nutzen entsteht dort, wo Datenschutz wiederholt geprüft wird. Auftragsverarbeiter mit vielen Geschäftskunden beantworten Fragebögen, empfangen Prüfteams und verhandeln über Auditrechte. Ein geprüftes Datenschutzmanagementsystem verkürzt diese Vorgänge spürbar. Es ersetzt sie nicht — das Prüfrecht des Kunden bleibt bestehen —, aber es verschiebt die Diskussion von „Zeigen Sie uns Ihre Maßnahmen“ zu „Wir sehen den Auditbericht ein“.

Ebenso wirkt sie nach innen. Datenschutz ist in vielen Unternehmen eine Person mit einem Ordner: die oder der Datenschutzbeauftragte, formal unabhängig, praktisch ohne Zugriff auf die Prozesse, in denen die Daten tatsächlich verarbeitet werden. Die Norm zwingt dazu, Verantwortlichkeiten in die Linie zu verlagern und Nachweise dort entstehen zu lassen, wo gearbeitet wird — ähnlich wie es die Rolle des Informationssicherheitsbeauftragten für die Sicherheit vorzeichnet.

Sinnvoll ist die Erweiterung auch für Konzerne mit Datenflüssen über Ländergrenzen. Die Norm zwingt dazu, Übermittlungen, Empfänger und Grundlagen vollständig zu erfassen — eine Arbeit, die ohne äußeren Anlass selten zu Ende gebracht wird.

Nicht sinnvoll ist sie in drei Fällen. Wenn Sie kein Informationssicherheits-Managementsystem betreiben und keines aufbauen wollen, ist 27701 der falsche Einstieg — die Vorarbeit macht den Großteil des Projekts aus. Wenn niemand danach fragt, entsteht kein Nutzen, der die jährliche Prüfung rechtfertigt. Und wenn das Ziel darin besteht, gegenüber einer Aufsichtsbehörde etwas nachzuweisen, greift die Norm daneben: Behörden prüfen die Rechtslage, nicht Ihr Zertifikat.

Der Weg zum Zertifikat

Der Ablauf einer Zertifizierung gilt unverändert, mit vier Besonderheiten.

Das Datenschutzsystem hängt am ISMS-Zyklus. Es bekommt keinen eigenen Dreijahreszyklus, sondern wird in den bestehenden eingegliedert. Wer im zweiten Jahr des Zyklus erweitert, wird beim nächsten Überwachungsaudit erstmals darauf geprüft und geht mit dem ISMS gemeinsam in die Rezertifizierung.

Der Geltungsbereich muss innerhalb des ISMS-Geltungsbereichs liegen. Er darf enger sein, nie weiter. Ein Geltungsbereich, der Standorte oder Dienste einschließt, die im ISMS nicht enthalten sind, wird von der Zertifizierungsstelle zurückgewiesen.

Die Auditzeit wird zusätzlich vergeben. Die Erweiterung ist kein kostenloser Anhang: Die Zertifizierungsstelle kalkuliert zusätzliche Tage, und der eingesetzte Auditor muss Datenschutzkompetenz nachweisen. Nicht jede Stelle hat für jede Branche entsprechend qualifizierte Auditoren verfügbar.

Die Risikobeurteilung bekommt eine zweite Perspektive. Neben dem Risiko für die Organisation ist das Risiko für die betroffenen Personen zu betrachten. Beides zusammenzuführen ist die anspruchsvollste konzeptionelle Aufgabe im Projekt, weil die Risikobehandlung eines Unternehmensrisikos anderen Abwägungen folgt als der Schutz eines Grundrechts.

Woran Projekte scheitern

Die Rollen sind pauschal zugeordnet. „Wir sind Auftragsverarbeiter“ steht in der Richtlinie, gilt aber nur für einen Teil der Verarbeitungen. Sobald der Auditor nach der Bewerberdatenbank oder dem Newsletter fragt, bricht die Zuordnung zusammen.

Das Verzeichnis der Verarbeitungstätigkeiten ist ein Altbestand. Erstellt bei Einführung der Verordnung, seitdem nicht fortgeschrieben. Neue Werkzeuge, neue Schnittstellen, neue Dienstleister fehlen. Der Auditor gleicht das Verzeichnis mit der Systemlandschaft ab, und die Lücken sind schnell sichtbar.

Das Löschkonzept ist eine Tabelle. Fristen sind je Datenart definiert, aber in keinem System hinterlegt. Gelöscht wird faktisch nie, Sicherungskopien sind ohne Begründung ausgenommen. Das ist die häufigste technische Feststellung überhaupt.

Betroffenenanfragen sind beschrieben, aber nicht belegt. Es gibt ein Verfahren und kein einziges bearbeitetes Beispiel. Wenn tatsächlich keine Anfragen eingehen, gehört das begründet — meist zeigt die Nachfrage aber, dass Anfragen im Kundenservice landen und dort formlos erledigt werden.

Unterauftragsverarbeiter sind unvollständig erfasst. Fachbereiche führen Werkzeuge ein, ohne den Datenschutz zu beteiligen. Die Liste, die dem Kunden vertraglich zugesagt ist, stimmt dann nicht mehr — und der vereinbarte Informationsweg bei Wechseln wurde nie benutzt.

Drittlandübermittlungen sind vertraglich abgesichert, aber nicht bewertet. Standardvertragsklauseln liegen vor, eine Betrachtung der Umstände im Empfängerland fehlt. Die Norm verlangt dokumentierte Grundlagen für die Übermittlung; ein Vertrag allein ist keine Bewertung.

Die Einwilligungsverwaltung ist nicht durchgängig. Ein Widerruf im Newsletter-System erreicht das Kundenverwaltungssystem nicht. Solche Brüche findet der Auditor, indem er einen Widerruf durch alle beteiligten Systeme verfolgt.

Die Datenschutz-Folgenabschätzung wurde nie ausgelöst. Es fehlt eine festgelegte Schwelle, ab der eine Verarbeitung als voraussichtlich risikoreich gilt. Ohne diese Schwelle stellt sich die Frage nie, und im System liegt keine einzige Folgenabschätzung — auch dann nicht, wenn Profilbildung, Videoüberwachung oder umfangreiche Beschäftigtendaten verarbeitet werden.

Zusatzmaßnahmen werden pauschal ausgeschlossen. Anhang B wird als nicht anwendbar erklärt, weil man sich als Verantwortlicher sieht — ohne Begründung je Verarbeitung. Ein Ausschluss ohne Herleitung ist im Audit dieselbe Feststellung wie eine fehlende Maßnahme.

Das Ergebnis wird falsch kommuniziert. Auf der Website steht nach der Zertifizierung „DSGVO-konform zertifiziert“. Das ist kein Auditbefund, aber ein Risiko — wettbewerbsrechtlich und gegenüber Kunden, die genauer hinsehen.

Abgrenzung zu anderen Datenschutznachweisen

Die praktische Reihenfolge ergibt sich daraus fast von selbst: erst das ISMS, dann die Datenschutzerweiterung, und cloudspezifische Nachweise wie BSI C5 parallel dazu, wenn Kunden im öffentlichen oder regulierten Sektor sie verlangen. Wer alles gleichzeitig startet, verhandelt drei Geltungsbereiche und drei Nachweislogiken zur selben Zeit — und liefert am Ende in keinem davon belastbare Historie.