ISO 27701 ist die Datenschutz-Erweiterung für ein bestehendes Informationssicherheitsmanagementsystem, wenn ein Unternehmen nachweisen muss, dass Auskunftsersuchen, Löschanforderungen, Auftragsverarbeiter und internationale Datentransfers nicht nur rechtlich beschrieben, sondern operativ gesteuert werden. An dieser Schnittstelle zeigt sich, ob Datenschutz im Alltag funktioniert oder nur in Richtlinien steht.
ISO/IEC 27701:2019 erweitert ein Informationssicherheitsmanagementsystem nach ISO/IEC 27001 um ein Datenschutz-Informationsmanagementsystem, häufig PIMS genannt. Während ISO/IEC 27001 die Steuerung von Informationssicherheitsrisiken organisiert, konkretisiert ISO/IEC 27701 Datenschutzanforderungen für den Umgang mit personenbezogenen Daten, Rollen, Nachweisen und Kontrollen. Stand: Juli 2026; die folgenden Ausführungen sind eine fachliche Einordnung und keine Rechtsberatung.
Wie ISO 27701 und ISO 27001 zusammenhängen
ISO/IEC 27001:2022 beschreibt Anforderungen an ein ISMS, also an ein Managementsystem für Informationssicherheit. Dazu gehören Kontextanalyse, Risikomanagement, Verantwortlichkeiten, dokumentierte Informationen, interne Audits und Managementbewertung. ISO/IEC 27002:2022 liefert ergänzende Leitlinien zu Informationssicherheitsmaßnahmen, etwa Zugriffskontrolle, Lieferantenbeziehungen, Protokollierung oder Vorfallmanagement.
ISO/IEC 27701 baut auf dieser Managementsystemlogik auf und ergänzt sie um Datenschutzsteuerung. Der Standard führt zusätzliche Anforderungen und Kontrollen ein, die sich auf personenbezogene Daten beziehen. Er unterscheidet dabei zwischen Organisationen, die als Verantwortliche über Zwecke und Mittel der Verarbeitung entscheiden, und Organisationen, die als Auftragsverarbeiter personenbezogene Daten im Auftrag eines anderen verarbeiten.
Wichtig ist die Zertifizierungslogik: ISO/IEC 27701 ist keine eigenständige Alternative zu ISO/IEC 27001. Eine Prüfung nach ISO/IEC 27701 erfolgt als Erweiterung eines zertifizierbaren oder zertifizierten ISMS nach ISO/IEC 27001. Ein Unternehmen, das bereits ein ISMS betreibt, startet daher nicht bei null, muss aber Datenschutzrisiken, Rollen, Prozesse und Nachweise sauber in den bestehenden ISMS-Rahmen integrieren.
In der Praxis entsteht durch die Versionen ein zusätzlicher Abstimmungsbedarf. ISO/IEC 27701:2019 verweist formal noch auf die ältere Struktur von ISO/IEC 27001 und ISO/IEC 27002, während viele Organisationen inzwischen auf ISO/IEC 27001:2022 und ISO/IEC 27002:2022 ausgerichtet sind. Deshalb sollte das PIMS nicht mechanisch an alte Control-Nummern gehängt werden. Sinnvoller ist ein Mapping, das die 27701-Anforderungen den aktuellen 27001:2022-Anforderungen, den relevanten 27002:2022-Maßnahmen und der eigenen Erklärung zur Anwendbarkeit zuordnet.
Was ein PIMS im Datenschutz konkret leisten muss
Ein Datenschutz-Informationsmanagementsystem übersetzt Datenschutzpflichten in steuerbare Prozesse. Es beschreibt nicht nur, welche personenbezogenen Daten verarbeitet werden, sondern auch warum, auf welcher Grundlage, durch wen, wie lange, mit welchen Schutzmaßnahmen und mit welchen Rechten für betroffene Personen. Für europäische Organisationen liegt der Bezug zur DSGVO nahe, insbesondere zu den Grundsätzen aus Art. 5, den Rechtsgrundlagen aus Art. 6, dem Verzeichnis von Verarbeitungstätigkeiten nach Art. 30, der Sicherheit der Verarbeitung nach Art. 32 und der Datenschutz-Folgenabschätzung nach Art. 35.
ISO/IEC 27701 ersetzt diese gesetzlichen Pflichten nicht und stellt keine behördliche DSGVO-Zertifizierung dar. Der Standard hilft jedoch, Datenschutzanforderungen systematisch zu organisieren, Verantwortlichkeiten zuzuweisen und Nachweise auditierbar zu machen. Leitlinien des EDPB, der BfDI oder des BSI können dabei als fachliche Orientierung dienen, bleiben aber vom Managementsystem zu unterscheiden.
Ein wirksames PIMS zeigt sich besonders an wiederkehrenden Abläufen. Ein Auskunftsersuchen einer betroffenen Person sollte nicht jedes Mal als Sonderfall behandelt werden. Es braucht einen definierten DSAR-Prozess, Zuständigkeiten, Identitätsprüfung, Suchlogik über Systeme hinweg, Fristenüberwachung, Entscheidungsregeln für Ausnahmen und nachvollziehbare Kommunikation. Durchlaufzeiten, Eskalationen und wiederkehrende Fehler sind dabei nützliche Reifegradindikatoren, weil sie zeigen, ob der Prozess tatsächlich beherrscht wird.
Verantwortlicher oder Auftragsverarbeiter: Warum das Scoping entscheidend ist
Eine der häufigsten Fehlannahmen bei ISO/IEC 27701 ist, dass alle Datenschutzkontrollen für jede Organisation in gleicher Weise gelten. Tatsächlich hängt der Umfang stark davon ab, ob eine Organisation als Verantwortlicher, als Auftragsverarbeiter oder in beiden Rollen handelt. Diese Unterscheidung ist kein juristisches Detail am Rand, sondern beeinflusst Prozesse, Verträge, Nachweise und Auditfragen.
Als Verantwortlicher muss eine Organisation unter anderem belegen können, dass sie Zwecke, Rechtsgrundlagen, Transparenzpflichten, Betroffenenrechte, Aufbewahrungsfristen und Datenschutz-Folgenabschätzungen steuert. Typische Nachweise sind ein gepflegtes Verzeichnis von Verarbeitungstätigkeiten, Datenschutzinformationen, Löschkonzepte, DPIA-Unterlagen, Richtlinien für Datenschutz durch Technikgestaltung und dokumentierte Entscheidungen über risikoreiche Verarbeitungen.
Als Auftragsverarbeiter verschiebt sich der Schwerpunkt. Hier stehen Weisungsmanagement, Auftragsverarbeitungsverträge, technische und organisatorische Maßnahmen, Sub-Prozessoren, Unterstützungsprozesse für Betroffenenrechte, Meldewege bei Datenschutzvorfällen und Rückgabe oder Löschung von Daten am Vertragsende im Vordergrund. In gemischten Geschäftsmodellen, etwa bei SaaS-Anbietern mit eigenen Marketingdaten und Kundendaten im Auftrag, sollten diese Rollen getrennt beschrieben und mit eigenen Nachweisen belegt werden.
Die Lieferkette verdient besondere Aufmerksamkeit. ISO/IEC 27701 macht Vendor-Management nicht zu einer Nebentätigkeit, sondern zu einem zentralen Teil der Datenschutzsteuerung. Auftragsverarbeitungsverträge, Sub-Prozessor-Freigaben, Transfer Impact Assessments, Lieferantenbewertungen und regelmäßige Kontrollnachweise werden im Audit häufig wichtiger als allgemeine Datenschutzrichtlinien, weil sie zeigen, wie die Organisation Risiken außerhalb der eigenen Systemgrenzen beherrscht.
Ein pragmatischer Fahrplan zur Einführung
Ein PIMS lässt sich am besten auf einem vorhandenen ISMS aufbauen, sollte aber nicht als reine Dokumentationsübung verstanden werden. Die Umsetzung beginnt mit Scope, Rollen und Datenflüssen und endet erst dann, wenn Prozesse im Betrieb nachweisbar funktionieren. Die folgenden Schritte bilden einen praxisnahen Ablauf, ohne die notwendige Anpassung an Branche, Rechtsraum und Organisationsgröße zu ersetzen.
Den PIMS-Scope festlegen und eindeutig beschreiben, welche Einheiten, Produkte, Standorte, Verarbeitungstätigkeiten und Rollen als Verantwortlicher oder Auftragsverarbeiter einbezogen sind.
Vorhandene ISMS-Dokumente gegen ISO/IEC 27701 mappen und die Erklärung zur Anwendbarkeit um Datenschutzkontrollen, Ausschlüsse und Begründungen erweitern.
Das Verzeichnis von Verarbeitungstätigkeiten, Datenflussübersichten und Systeminventare abgleichen, damit personenbezogene Daten nicht nur rechtlich, sondern auch technisch nachvollziehbar sind.
Datenschutzrisiken bewerten und mit bestehenden Informationssicherheitsrisiken verbinden, insbesondere bei sensiblen Daten, Profiling, Cloud-Diensten, Drittlandtransfers und umfangreicher Verarbeitung.
Richtlinien und Prozesse für Betroffenenrechte, Löschung, Datenschutzvorfälle, DPIA, Lieferantensteuerung, AVV, TIA und Sub-Prozessoren definieren oder nachschärfen.
Kontrollnachweise sammeln und im Betrieb testen, etwa DSAR-Fälle, DPIA-Entscheidungen, Lieferantenreviews, Schulungsnachweise, Zugriffsprüfungen und Vorfallübungen.
Interne Audits und Managementbewertung so erweitern, dass Datenschutzleistung, Abweichungen, Verbesserungen und Ressourcenbedarf regelmäßig bewertet werden.
Der größte Nutzen entsteht, wenn diese Schritte an reale Verarbeitungsvorgänge gebunden werden. Ein abstraktes ROPA ohne Verbindung zu Systemen, Verträgen und Löschprozessen hilft im Audit nur begrenzt. Ebenso wenig überzeugt eine DPIA-Vorlage, wenn niemand zeigen kann, wann sie ausgelöst wird, wer entscheidet und wie Maßnahmen nachverfolgt werden.
Audit und Zertifizierung: Was Prüfer typischerweise sehen wollen
Bei einem kombinierten ISO/IEC-27001- und ISO/IEC-27701-Audit wird das PIMS im Managementsystemkontext geprüft. Auditoren betrachten daher nicht nur Datenschutzdokumente, sondern auch deren Einbindung in Risikomanagement, interne Audits, Korrekturmaßnahmen, Kompetenzmanagement und Managementbewertung. Ein PIMS, das neben dem ISMS als paralleler Aktenordner existiert, wird selten überzeugend wirken.
Typische Nachweise sind die aktualisierte Erklärung zur Anwendbarkeit, Rollen- und Verantwortlichkeitsbeschreibungen, ROPA, DPIA-Unterlagen, Datenschutzrichtlinien, AVV und Sub-Prozessor-Listen, TIA-Dokumentation, Lieferantenbewertungen, DSAR-Fallakten, Vorfallprotokolle, Lösch- und Aufbewahrungskonzepte sowie Nachweise über Schulungen und interne Audits. Entscheidend ist weniger die Menge der Dokumente als ihre Konsistenz. Wenn ein Verarbeitungsvorgang im ROPA steht, sollte er sich in Datenflüssen, Rechtsgrundlage, Risikobewertung, Zugriffskonzept, Lieferantensteuerung und Löschlogik wiederfinden.
Häufige Schwachstellen liegen im Übergang zwischen Datenschutz und Informationssicherheit. Ein Beispiel ist die Erklärung zur Anwendbarkeit: Sie wird nach Einführung von ISO/IEC 27701 nicht aktualisiert, obwohl neue Datenschutzkontrollen relevant geworden sind. Ein anderes Beispiel ist die Lieferantensteuerung: Es gibt Verträge, aber keine belastbare Prüfung, ob Sub-Prozessoren, Drittlandtransfers oder technische Maßnahmen weiterhin zum Risiko passen.
Auch die 27001:2022-Umstellung sollte bewusst behandelt werden. Organisationen sollten erklären können, wie sie 27701-Anforderungen mit den aktuellen 27001:2022-Controls verbinden und welche internen Mappings verwendet werden. Das reduziert Reibung im Audit und verhindert, dass Datenschutzmaßnahmen isoliert von der modernen ISMS-Struktur bewertet werden.
Wann ISO/IEC 27701 sinnvoll ist
ISO/IEC 27701 ist besonders relevant für Organisationen, die bereits ISO/IEC 27001 nutzen oder die Einführung eines ISMS planen und zugleich regelmäßig personenbezogene Daten in größerem Umfang verarbeiten. Der Nutzen steigt, wenn mehrere Rechtsräume, anspruchsvolle Kundenanforderungen, Cloud- oder SaaS-Modelle, komplexe Lieferketten oder wiederkehrende Datenschutzprüfungen eine Rolle spielen. Durch die prinzipienbasierte Kontrollstruktur kann der Standard auch bei Datenschutzgesetzen außerhalb Europas helfen, etwa bei der Harmonisierung von Anforderungen aus CCPA/CPRA oder LGPD, ohne diese Gesetze im Einzelnen zu ersetzen.
Weniger sinnvoll ist ISO/IEC 27701, wenn keine belastbare ISMS-Grundlage vorhanden ist oder das Ziel lediglich darin besteht, kurzfristig ein Datenschutzsiegel zu erzeugen. Dann sollte zuerst geklärt werden, ob Scope, Risikomanagement, Verantwortlichkeiten und operative Kontrollen nach ISO/IEC 27001 ausreichend reif sind. Erst darauf lässt sich ein PIMS aufbauen, das mehr leistet als zusätzliche Dokumentation.
Häufige Fragen zu ISO/IEC 27701
Ist ISO/IEC 27701 dasselbe wie DSGVO-Konformität?
Nein. ISO/IEC 27701 bietet einen strukturierten Rahmen, um Datenschutzprozesse und Nachweise zu steuern, ersetzt aber keine rechtliche Prüfung und ist keine behördliche DSGVO-Zertifizierung. Eine Organisation muss weiterhin prüfen, welche gesetzlichen Anforderungen konkret gelten.
Kann ISO/IEC 27701 ohne ISO/IEC 27001 zertifiziert werden?
Nein. ISO/IEC 27701 ist als Erweiterung zu ISO/IEC 27001 und ISO/IEC 27002 konzipiert. Eine Zertifizierung setzt deshalb ein entsprechendes ISMS voraus, das im kombinierten Audit gemeinsam mit den Datenschutzanforderungen betrachtet wird.
Welche Dokumente sind für den Einstieg besonders wichtig?
Zu den wichtigsten Artefakten gehören ein belastbares ROPA, eine aktualisierte Erklärung zur Anwendbarkeit, DPIA-Unterlagen, Datenschutzrichtlinien, AVV, Lieferanten- und Sub-Prozessor-Nachweise, DSAR-Prozessbeschreibungen sowie Nachweise über interne Audits und Managementbewertungen. Diese Dokumente sollten miteinander konsistent sein und reale Prozesse abbilden.
Den PIMS-Aufbau belastbar verankern
ISO/IEC 27701 ist vor allem dann wertvoll, wenn Datenschutz nicht getrennt von Informationssicherheit behandelt wird. Der Standard verbindet rechtlich geprägte Datenschutzpflichten mit Managementsystemdisziplin: Scope, Risiko, Kontrollen, Nachweise, Audit und Verbesserung. Dadurch wird Datenschutz für DPOs, CISOs, Legal-Teams und IT-Leitung besser steuerbar.
Der nächste sinnvolle Schritt besteht darin, das bestehende ISMS, die wichtigsten Verarbeitungstätigkeiten und die Rollen als Verantwortlicher oder Auftragsverarbeiter gemeinsam zu betrachten. Wer dafür strukturierte Vorbereitung benötigt, kann eine ISO/IEC-27701-Schulung von Readynez als Einstieg nutzen; entscheidend bleibt jedoch, dass das PIMS anschließend an den realen Datenflüssen, Verträgen und Betriebsprozessen der Organisation ausgerichtet wird.
