Aktuelles
Datum:
Die ISO/IEC 27701:2025 bringt eine wichtige Weiterentwicklung für das Datenschutzmanagement. Datenschutz wird nicht länger nur als ergänzende Maßnahme zur Informationssicherheit verstanden, sondern stärker als eigenständiges, steuerbares und prüfbares Managementsystem verankert. Für Unternehmen bedeutet das: Datenschutz muss klar organisiert, risikoorientiert gesteuert, nachvollziehbar dokumentiert und kontinuierlich verbessert werden. Die neue Norm bietet damit einen strukturierten Rahmen, um Datenschutz wirksamer in Governance-, Compliance- und Risikomanagementprozesse einzubinden.
ISO/IEC 27701:2025: Vom Datenschutz-Anhang zum eigenständigen Managementsystem
Mit der Neufassung der ISO/IEC 27701 wird Datenschutzmanagement neu eingeordnet. Während die bisherige Fassung häufig als Erweiterung bestehender Informationssicherheitsmanagementsysteme verstanden wurde, rückt die ISO/IEC 27701:2025 Datenschutz stärker als eigenständiges Managementsystem in den Mittelpunkt. International wird dieses System auch als Privacy Information Management System, kurz PIMS, bezeichnet.
Diese Entwicklung ist für Unternehmen besonders relevant, weil die Verarbeitung personenbezogener Daten zunehmend komplexer wird. Daten werden über verschiedene Systeme, Prozesse, Gesellschaften, Dienstleister und Plattformen hinweg verarbeitet. Gleichzeitig steigen die Anforderungen an Transparenz, Nachweisbarkeit und Verantwortlichkeit. Unternehmen müssen nicht nur gesetzliche Vorgaben erfüllen, sondern auch Erwartungen von Kunden, Mitarbeitenden, Geschäftspartnern und Aufsichtsbehörden berücksichtigen.
Ein rein maßnahmenorientierter Datenschutzansatz reicht dafür häufig nicht mehr aus. Entscheidend ist nicht nur, ob einzelne Datenschutzmaßnahmen vorhanden sind. Wichtig ist vielmehr, ob Datenschutz systematisch geplant, gesteuert, überprüft und verbessert wird. Genau hier setzt die ISO/IEC 27701:2025 an.
Was ändert sich durch die neue ISO/IEC 27701:2025?
Die neue ISO/IEC 27701:2025 stärkt den Managementsystemgedanken. Datenschutz wird dadurch organisatorisch klarer verankert und besser mit bestehenden Governance-Strukturen verbunden. Unternehmen erhalten einen Rahmen, mit dem sie Datenschutz nicht nur dokumentieren, sondern aktiv steuern können.
Im Mittelpunkt stehen unter anderem folgende Elemente:
- Kontext der Organisation
- Anwendungsbereich des Datenschutz-Managementsystems
- Anforderungen interessierter Parteien
- Führung und Verpflichtung der obersten Leitung
- Datenschutzpolitik und messbare Datenschutzziele
- Rollen, Verantwortlichkeiten und Befugnisse
- Risikobeurteilung und Risikobehandlung
- dokumentierte Informationen
- interne Audits und Managementbewertungen
Damit folgt die Norm stärker der Logik moderner Managementsystemstandards. Datenschutz wird anschlussfähiger an bestehende Systeme, etwa Informationssicherheit, Compliance, Risikomanagement oder Qualitätsmanagement.
Warum der Kontext der Organisation wichtiger wird
Ein Datenschutz-Managementsystem kann nur wirksam sein, wenn es zur jeweiligen Organisation passt. Deshalb verlangt die ISO/IEC 27701:2025 eine strukturierte Betrachtung interner und externer Einflussfaktoren.
Dazu gehören beispielsweise gesetzliche Anforderungen, vertragliche Verpflichtungen, bestehende Richtlinien, interne Governance-Strukturen, eingesetzte Technologien und organisatorische Besonderheiten. Auch die Erwartungen interessierter Parteien müssen berücksichtigt werden. Dazu zählen unter anderem Kunden, Beschäftigte, Aufsichtsbehörden, Geschäftspartner und externe Dienstleister.
Für Unternehmen bedeutet das: Datenschutz sollte nicht abstrakt aufgebaut werden, sondern die tatsächlichen Prozesse, Risiken und Verantwortlichkeiten der Organisation widerspiegeln. Ein wirksames Datenschutz-Managementsystem orientiert sich daher an der konkreten Unternehmensrealität.
Scope, Rollen und Verantwortlichkeiten als zentrale Governance-Faktoren
Ein zentraler Bestandteil der neuen Norm ist die klare Definition des Anwendungsbereichs. Unternehmen müssen festlegen, welche Organisationseinheiten, Prozesse, Verarbeitungstätigkeiten, Systeme und Schnittstellen vom Datenschutz-Managementsystem umfasst sind.
Ein unklarer Scope erschwert nicht nur die Steuerung des Datenschutzes, sondern auch dessen Prüfung und Nachweisbarkeit. Deshalb sollte der Anwendungsbereich nachvollziehbar dokumentiert, begründet und regelmäßig überprüft werden.
Ebenso wichtig ist die klare Zuweisung von Rollen, Verantwortlichkeiten und Befugnissen. Datenschutz funktioniert nicht allein über Richtlinien oder einzelne Maßnahmen. Er braucht eindeutige Zuständigkeiten, definierte Berichtslinien und eine sichtbare Verantwortung der Leitungsebene. Die ISO/IEC 27701:2025 betont Datenschutz damit stärker als Führungs- und Governance-Aufgabe.
Besonders relevant ist außerdem die Rolle der Organisation je Verarbeitungstätigkeit. Je nachdem, ob ein Unternehmen als Verantwortlicher, gemeinsam Verantwortlicher oder Auftragsverarbeiter handelt, unterscheiden sich Pflichten, Maßnahmen und Prüfschwerpunkte.
Risiken, Chancen und Datenschutzplanung
Die ISO/IEC 27701:2025 stärkt außerdem die risikoorientierte Steuerung. Datenschutzrisiken sollen nicht nur erkannt, sondern anhand eines definierten Prozesses bewertet, priorisiert und behandelt werden.
Dabei geht es sowohl um Risiken für die Organisation als auch um Risiken für betroffene Personen. Unternehmen müssen mögliche Auswirkungen analysieren, Eintrittswahrscheinlichkeiten einschätzen, Risikoniveaus bestimmen und geeignete Maßnahmen ableiten.
Wichtig ist zudem die Verbindung mit konkreten Datenschutzzielen. Diese sollten messbar, überprüfbar, mit Verantwortlichkeiten versehen und mit den erforderlichen Ressourcen hinterlegt sein. Dadurch wird Datenschutz planbarer, nachvollziehbarer und besser steuerbar.
Dokumentation, Audit und Managementbewertung
Ein weiterer Schwerpunkt der ISO/IEC 27701:2025 liegt auf dokumentierten Informationen. Unternehmen müssen nicht nur Datenschutzmaßnahmen umsetzen, sondern auch belegen können, welche Entscheidungen getroffen wurden, wer verantwortlich ist, welche Maßnahmen bestehen und wie deren Wirksamkeit bewertet wird.
Für Governance, Prüfungen und externe Nachweise ist das besonders wichtig. Eine belastbare Dokumentation schafft Transparenz und erleichtert es, Datenschutzanforderungen gegenüber internen und externen Stakeholdern nachzuweisen.
Dazu gehören auch interne Audits und Managementbewertungen. Unternehmen sollen regelmäßig prüfen, ob das Datenschutz-Managementsystem wirksam ist, ob Ziele erreicht werden und ob Anpassungsbedarf besteht. Datenschutz wird damit nicht als einmaliges Projekt verstanden, sondern als kontinuierlicher Verbesserungsprozess.
Was Unternehmen jetzt prüfen sollten
Unternehmen, die bereits Datenschutzstrukturen aufgebaut haben, sollten diese entlang der neuen Normlogik überprüfen. Besonders relevant sind dabei folgende Fragen:
- Ist der Scope des Datenschutz-Managementsystems klar definiert und dokumentiert?
- Sind interne und externe Anforderungen systematisch berücksichtigt?
- Sind Rollen, Verantwortlichkeiten und Berichtslinien eindeutig geregelt?
- Gibt es messbare Datenschutzziele?
- Werden Datenschutzrisiken strukturiert beurteilt und behandelt?
- Sind Maßnahmen, Entscheidungen und Nachweise ausreichend dokumentiert?
- Finden interne Audits und Managementbewertungen regelmäßig statt?
ISO/IEC 27701:2025
Die ISO/IEC 27701:2025 bietet Unternehmen damit die Möglichkeit, Datenschutz stärker in bestehende Governance- und Risikomanagementstrukturen zu integrieren. Der Mehrwert liegt vor allem darin, Datenschutz nicht nur als regulatorische Pflicht zu betrachten, sondern als steuerbaren, prüfbaren und kontinuierlich verbesserbaren Managementprozess.
Wie BDO Sie bei der Umsetzung unterstützt
Unser Team IT & Controls Assurance begleitet Sie bei der Einordnung und Umsetzung der ISO/IEC 27701:2025 – von der Gap-Analyse Ihres bestehenden Datenschutz-Managementsystems über die Datenschutz-Folgenabschätzung und die Prüfung dienstleistungsbezogener interner Kontrollsysteme bis zur Vorbereitung auf eine Zertifizierung. Sprechen Sie uns an, wenn Sie den Reifegrad Ihrer Datenschutzorganisation entlang der neuen Normlogik einordnen möchten.
