ISO/IEC 27701 – das Privacy Information Management System

Die Norm definiert Anforderungen und Umsetzungshinweise für ein PIMS: Leitlinien, Rollen, Risikobetrachtung und Controls für die Verarbeitung personenbezogener Daten – jeweils aus der Perspektive der Organisation als PII Controller (Verantwortlicher) und/oder PII Processor (Auftragsverarbeiter). Wie andere Managementsystem-Standards folgt sie in den Kapiteln 4–10 der harmonisierten Struktur der ISO-Managementsystemnormen: Kontext, Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung. Das PIMS ist damit kein Maßnahmenkatalog, sondern ein kontinuierlich betriebener Steuerungsrahmen mit definierten Verantwortlichkeiten und Nachweisen.

Die am 14. Oktober 2025 veröffentlichte zweite Ausgabe löst die Fassung von 2019 ab und macht ISO/IEC 27701 zu einem eigenständigen Standard: Eine ISO-27001-Zertifizierung ist keine Voraussetzung mehr für ein PIMS-Zertifikat. Parallel erschien ISO/IEC 27706:2025 mit Anforderungen an Zertifizierungsstellen für PIMS-Audits; sie ersetzt die bisherige ISO/IEC TS 27006-2. Für die Umstellung gilt eine dreijährige Übergangsfrist: Zertifizierungsstellen müssen ihre eigene Umstellung bis Ende Oktober 2027 abschließen, bestehende Zertifikate nach ISO/IEC 27701:2019 verlieren spätestens Ende Oktober 2028 ihre Gültigkeit. Zertifizierte Organisationen sollten den Umstieg daher in die regulären Überwachungs- und Re-Zertifizierungszyklen einplanen.

Eigenständig heißt nicht losgelöst: Die Neufassung ist an ISO/IEC 27001:2022 und ISO/IEC 27002:2022 ausgerichtet und übernimmt deren aktualisierte Control-Sprache und Terminologie. Für Organisationen mit bestehendem ISMS bleibt der naheliegende Weg die Integration – gemeinsamer Kontext, gemeinsame Risikomethodik und ein um Datenschutz erweitertes Statement of Applicability statt einer Parallelstruktur. Die harmonisierte Kapitelstruktur erleichtert zudem die Kombination mit weiteren Managementsystemen, etwa nach ISO 9001 oder ISO/IEC 42001. Neu ist die Wahlfreiheit: Organisationen ohne ISMS-Zertifikat können mit dem PIMS starten und die Informationssicherheits-Zertifizierung später ergänzen.

Die Controls der Neufassung sind in einem konsolidierten Annex A gebündelt und nach Rollen gegliedert: 31 Controls für PII Controller (u. a. Rechtsgrundlagen, Einwilligung, Betroffenenrechte, Privacy by Design und Transparenz), 18 Controls für PII Processor (u. a. Verarbeitung nur nach Kundenvereinbarung, Unterstützung des Verantwortlichen, Rückgabe und Löschung, Offenlegungen, Unterauftragsverarbeiter) sowie ein dritter Block gemeinsamer Sicherheits-Controls für beide Rollen. Die frühere Aufteilung in Annex A (Controller) und Annex B (Processor) der 2019er Fassung entfällt; Annex B enthält jetzt Umsetzungshinweise. Wichtiger Scoping-Schritt bleibt die Rollenbestimmung: Viele Organisationen sind je nach Verarbeitung beides und müssen beide Control-Sets betrachten.

ISO/IEC 27701 ersetzt keine gesetzlichen Vorgaben, operationalisiert aber zentrale DSGVO-Pflichten: Ein dokumentiertes, auditiertes PIMS stützt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO und liefert Auftragsverarbeitern belastbare Nachweise für die „hinreichenden Garantien“, die Art. 28 DSGVO verlangt – etwa in AVV-Verhandlungen und Kunden-Audits. Eine wichtige Einordnung: Ein ISO-27701-Zertifikat ist keine Zertifizierung nach Art. 42 DSGVO; solche Verfahren müssen von den Aufsichtsbehörden bzw. dem Europäischen Datenschutzausschuss genehmigt sein. Das PIMS-Zertifikat belegt ein funktionierendes Managementsystem – die rechtliche Bewertung einzelner Verarbeitungen bleibt davon unberührt.

Am größten ist der Nutzen für Organisationen, die personenbezogene Daten im Kundenauftrag verarbeiten und dies regelmäßig nachweisen müssen: Auftragsverarbeiter, Cloud- und SaaS-Anbieter sowie Managed-Service-Provider, bei denen PIMS-Nachweise Due-Diligence-Prüfungen und Vertragsverhandlungen verkürzen. Für Unternehmen mit bestehendem ISO-27001-ISMS ist die Erweiterung der effizienteste Weg, Datenschutz in vorhandene Governance-Strukturen zu integrieren. International tätige Organisationen profitieren davon, dass die Norm rechtsordnungsübergreifend angelegt ist und sich auf mehrere Datenschutzregime anwenden lässt. Seit der Revision :2025 kommen Organisationen hinzu, die gezielt mit dem Datenschutz-Managementsystem starten wollen, ohne zuvor ein ISMS zu zertifizieren.