Die internationale Norm ISO/IEC 27701 ist die Erweiterung der ISO/IEC 27001 für den Datenschutz. Sie ergänzt ein bestehendes Informationssicherheits-Managementsystem (ISMS) um ein Datenschutz-Managementsystem (PIMS – Privacy Information Management System). Sie hilft Organisationen dabei, die strengen Anforderungen der DSGVO und anderer Datenschutzgesetze strukturiert umzusetzen.

Die folgende praxisnahe Umsetzungscheckliste ist so aufgebaut, dass sie direkt auf einem bestehenden ISO 27001-ISMS aufsetzt und damit unverbindlich helfen kann:

PIMS-Umsetzungshilfe nach ISO/IEC 27701

Phase 1: Anpassung des Anwendungsbereichs & Kontext (Erweiterung Klausel 4 & 5)

• Rollen im Datenschutz definieren: Klare Zuweisung von Verantwortlichkeiten (Verantwortlicher gem. Art. 4 Nr. 7 DSGVO, Auftragsverarbeiter gem. Art. 28 DSGVO sowie Datenschutzbeauftragter).
• PIMS-Anwendungsbereich festlegen: Bestimmen, für welche Geschäftsbereiche, Standorte und IT-Systeme das PIMS gilt (z. B. Unterscheidung zwischen Daten, bei denen man selbst Verantwortlicher ist, und solchen, die im Auftrag verarbeitet werden).
• Interne & externe Datenschutz-Anforderungen erfassen: Rechtliche Grundlagen (DSGVO, BDSG, branchenspezifische Gesetze) sowie vertragliche Verpflichtungen gegenüber Kunden dokumentieren.
• Datenschutz-Politik verfassen: Die Informationssicherheitspolitik um klare Grundsätze zum Schutz personenbezogener Daten (PII - Personally Identifiable Information) erweitern.

Phase 2: Datenschutz-Risikoanalyse & Werte-Inventar (Erweiterung Klausel 6)

• Verzeichnis von Verarbeitungstätigkeiten (VVT): Erstellen oder Abgleichen des Bestands aller Prozesse, in denen personenbezogene Daten verarbeitet werden (Art. 30 DSGVO).
• Datenschutz-Risikoanalyse (DPIA / DSFA): Identifikation von Risiken für die Rechte und Freiheiten natürlicher Personen (z. B. bei neuen Technologien oder sensiblen Kundendaten).
• Zweckbindung und Datenminimierung prüfen: Dokumentieren, für welchen konkreten Zweck personenbezogene Daten erhoben werden und ob sie auf das notwendige Maß beschränkt sind.
• Erweiterte SoA (Statement of Applicability): Die speziellen Maßnahmen für Verantwortliche (Controller) und/oder Auftragsverarbeiter (Processor) aus den Anhängen der ISO 27701 durchgehen und in den Risikobewältigungsplan integrieren.

Phase 3: Operativer Datenschutz & Betroffenenrechte (Erweiterung Klausel 7 & 8)

• Prozess für Betroffenenrechte einrichten: Etablierung eines standardisierten Workflows zur schnellen und fristgerechten Bearbeitung von Auskunfts-, Lösch- und Berichtigungsersuchen (Kap. III DSGVO).
• Einwilligungsmanagement: Prozesse zur Einholung, Dokumentation und jederzeitigen Widerrufbarkeit von Einwilligungen implementieren.
• Auftragsverarbeitung (AVV) managen: Prüfung, Pflege und Abschluss von Verträgen zur Auftragsverarbeitung mit allen relevanten Dienstleistern und Cloud-Anbietern.
• Datenschutz bei der Entwicklung (Privacy by Design / Default): Technische Vorgaben etablieren, damit neue IT-Systeme oder Webseiten von Haus aus datenschutzfreundlich konfiguriert sind.
• Mitarbeiterschulung zum Datenschutz: Regelmäßige Sensibilisierung des Teams für den Umgang mit personenbezogenen Daten und den Schutz von Kundengeheimnissen.

Phase 4: Überwachung, Audit & Kontinuierliche Verbesserung (Erweiterung Klausel 9 & 10)

• Datenschutz-Vorfälle (Data Breaches): Meldeprozess für Verletzungen des Schutzes personenbezogener Daten etablieren (innerhalb von 72 Stunden an die Aufsichtsbehörde gem. Art. 33 DSGVO).
• Interne Datenschutz-Audits: Regelmäßige Überprüfung der Einhaltung der PIMS-Prozesse und der technischen Datenschutzmaßnahmen.
• Management Review (Datenschutz): Die Geschäftsführung bewertet mindestens einmal jährlich die Leistung und Wirksamkeit des PIMS.
• [ ] Korrekturmaßnahmen (KVP): Bei Datenschutzvorfällen oder geänderten Rechtslagen (z. B. neue Judikatur) sofortige Anpassung der internen Prozesse und Richtlinien.