ISO/IEC 27701
Datenschutz-Informationsmanagement nach ISO/IEC 27701
Machen Sie Ihren Umgang mit personenbezogenen Daten nachweisbar. Aegentra führt ein Datenschutz-Informationsmanagementsystem (PIMS) nach ISO/IEC 27701 ein – eigenständig oder integriert in ein bestehendes ISMS nach ISO/IEC 27001 – und ordnet die Nachweise, die die Rechenschaftspflicht nach der DSGVO unterstützen, mit Beraterinnen und Beratern in Europa, remote und vor Ort in Deutschland.
Was wir liefern
Was die Einführung liefert
Ihr schriftlicher Leistungsumfang legt die Ergebnisse und die Verantwortlichen fest. Das Projekt ist auf diese Ergebnisse ausgerichtet.
- Anwendungsbereich des PIMS
- Die Verarbeitungstätigkeiten, Systeme und Gesellschaften im Anwendungsbereich und die Entscheidung, ob das PIMS eigenständig ist oder ein bestehendes ISMS erweitert.
- Rollen als Verantwortlicher und Auftragsverarbeiter
- Ihre Rolle, je Verarbeitungstätigkeit bestimmt; sie entscheidet, welche Maßnahmen gelten.
- Verzeichnis von Verarbeitungstätigkeiten
- Ein Verzeichnis, das sich an Artikel 30 DSGVO orientiert und von Ihrem Team gepflegt werden kann.
- Datenschutz-Risikobeurteilung
- Risikokriterien, eine Beurteilung der Risiken für betroffene Personen und eine vereinbarte Behandlung.
- Erklärung zur Anwendbarkeit und Maßnahmen
- Die anwendbaren Maßnahmen für Verantwortliche, Auftragsverarbeiter oder beide, umgesetzt und nachgewiesen – einschließlich Betroffenenrechten, Übermittlungen, Aufbewahrung und Löschung.
- Nachweise und Übergabe
- Vorbereitung der Managementbewertung und eine geordnete Übergabe für das Zertifizierungsaudit.
Hintergrund
Was ISO/IEC 27701 ist
ISO/IEC 27701 ist die internationale Norm für Datenschutz-Informationsmanagementsysteme. Seit der Überarbeitung von 2025 kann sie als eigenständiges Managementsystem eingeführt werden; sie lässt sich auch in ein bestehendes ISMS nach ISO/IEC 27001 integrieren, sodass gemeinsame Managementsystem-Prozesse wiederverwendet werden.
Ein PIMS gibt Ihnen einen wiederholbaren Weg zu zeigen, wie personenbezogene Daten verarbeitet werden: wer entscheidet, was dokumentiert wird, wie Risiken behandelt und wie Anfragen betroffener Personen beantwortet werden.
ISO/IEC 27701 und die DSGVO
Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) macht Verantwortliche für die Einhaltung ihrer Grundsätze verantwortlich und verlangt, dass sie diese nachweisen können (Artikel 5 Absatz 2, Rechenschaftspflicht). Ein PIMS kann diese Rechenschaftspflicht mit dokumentierten Verarbeitungen, Risikoentscheidungen und Betriebsnachweisen unterstützen.
Eine Zertifizierung nach ISO/IEC 27701 beweist nicht die Einhaltung der DSGVO und ersetzt keine rechtliche Prüfung. Wir erbringen keine Rechtsberatung; arbeiten Sie dafür mit Ihrer oder Ihrem Datenschutzbeauftragten oder Ihrer Rechtsberatung zusammen.
Was diese Leistung nicht ist
Sie ist keine Zertifizierung, keine Rechtsberatung und keine Tätigkeit als Datenschutzbeauftragte oder Datenschutzbeauftragter. Das interne Audit eines von uns eingeführten PIMS wird gesondert beauftragt und von einer Person durchgeführt, die an der Einführung nicht beteiligt war, oder von einem anderen Anbieter.
So läuft es ab
Vom Verarbeitungsverzeichnis zum Zertifizierungsaudit
Erstgespräch
Wir klären Verarbeitungstätigkeiten, Gesellschaften und Systeme, ob Sie bereits nach ISO/IEC 27001 zertifiziert sind und welche Termine Sie anstreben, und bieten dann einen Festpreis an.
Rollen und Verzeichnis
Wir bestimmen je Tätigkeit die Rolle als Verantwortlicher oder Auftragsverarbeiter und erstellen das Verarbeitungsverzeichnis.
Datenschutzrisiko und Anwendbarkeit
Wir beurteilen Datenschutzrisiken, vereinbaren die Behandlung und dokumentieren die anwendbaren Maßnahmen in der Erklärung zur Anwendbarkeit.
Aufbau
Maßnahmen zu Transparenz, Betroffenenrechten, Übermittlungen, Aufbewahrung und Lieferanten werden mit Ihrem Team umgesetzt und nachgewiesen.
Internes Audit und Managementbewertung
Ein unabhängiges, gesondert beauftragtes internes Audit prüft das PIMS; danach bewertet die Leitung Ergebnisse und Maßnahmen.
Übergabe zur Zertifizierung
Wir ordnen die Nachweise für die Audits der Zertifizierungsstelle.
Für wen es passt
Für wen sich die Leistung eignet
- SaaS- und Dienstleistungsunternehmen, die personenbezogene Daten im Auftrag von Kunden verarbeiten.
- Organisationen, die Datenschutzfragen im Einkauf und bei Lieferantenprüfungen beantworten müssen.
- Organisationen mit einer Zertifizierung nach ISO/IEC 27001, die zunehmend nach Datenschutz gefragt werden.
- Verantwortliche, die Nachweise für ihre Rechenschaftspflicht wollen, die über Richtlinien hinausgehen.
Fragen
Häufige Fragen
Beweist eine ISO/IEC-27701-Zertifizierung die Einhaltung der DSGVO?
Nein. Kein ISO-Zertifikat beweist die Einhaltung einer Verordnung. Ein PIMS kann die Rechenschaftspflicht nach der DSGVO mit dokumentierten Verarbeitungen, Risikoentscheidungen und Betriebsnachweisen unterstützen; die Einhaltung erfordert aber eine eigene rechtliche Prüfung.
Brauchen wir zuerst ISO/IEC 27001?
Seit der Überarbeitung von 2025 nicht mehr: ISO/IEC 27701 kann eigenständig eingeführt werden. Wenn Sie bereits nach ISO/IEC 27001 zertifiziert sind, ist die Integration meist der effizienteste Weg.
Sind wir Verantwortlicher oder Auftragsverarbeiter?
Oft beides, je Verarbeitungstätigkeit entschieden. Für eigene Beschäftigten- und Marketingdaten sind Sie meist Verantwortlicher, für Daten, die Ihnen Kunden anvertrauen, Auftragsverarbeiter. Die Antwort entscheidet, welche Maßnahmen gelten.
Übernimmt Aegentra die Rolle unseres Datenschutzbeauftragten?
Nein. Diese Leistung führt ein Managementsystem ein. Sie ersetzt weder eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten noch eine Rechtsberatung.
Was kostet es?
Wir veröffentlichen keinen Preis. Nach einem Erstgespräch bieten wir einen Festpreis für den vereinbarten Umfang an. Gebühren der Zertifizierungsstelle sind gesondert.
Sie wollen Datenschutznachweise mit ISO/IEC 27701 aufbauen?
Nennen Sie uns Ihre Verarbeitungstätigkeiten, Ihre Rolle und Ihren Termin.