Datenschutz-Zertifizierung nach ISO 27701

Leider ist die Zertifizierung nach ISO 27701 keine Zertifizierung i.S.d. DSGVO.

Art. 42 DSGVO sieht die Möglichkeit einer Zertifizierung für Verarbeitungsvorgänge vor:

„Die Mitgliedstaaten, die Aufsichtsbehörden, der Ausschuss und die Kommission fördern insbesondere auf Unionsebene die Einführung von datenschutzspezifischen Zertifizierungsverfahren sowie von Datenschutzsiegeln und -prüfzeichen, die dazu dienen, nachzuweisen, dass diese Verordnung bei Verarbeitungsvorgängen von Verantwortlichen oder Auftragsverarbeitern eingehalten wird.“

Die Anforderungen, die eine mögliche akkreditierte Zertifizierungsstelle dabei einhalten muss, beschreibt Art. 43 der DSGVO:

„Die Mitgliedstaaten stellen sicher, dass diese Zertifizierungsstellen von einer oder beiden der folgenden Stellen akkreditiert werden:
1. der gemäß Artikel 55 oder 56 zuständigen Aufsichtsbehörde;
2. der nationalen Akkreditierungsstelle, die gemäß der Verordnung (EG) Nr. 765/2008 des Europäischen Parlaments und des Rates im Einklang mit EN-ISO/IEC 17065/2012 und mit den zusätzlichen von der gemäß Artikel 55 oder 56 zuständigen Aufsichtsbehörde festgelegten Anforderungen benannt wurde.“

Da es sich bei der ISO 27701 um eine Erweiterung der ISO 27001 handelt, stehen bei der Norm die Managementsysteme sowie Anforderungen an diese im Mittelpunkt. Die Akkreditierung von Zertifizierungsstellen für Managementsysteme richtet sich nach ISO 17021. Der Art. 43 DSGVO fordert eine Akkreditierung von Zertifizierungsstellen entsprechend ISO 17065. Diese Norm ist auf eine Zertifizierung von Produkten, Prozessen und Dienstleistungen ausgerichtet. Daher entspricht ein ISO 27001-Zertifikat strenggenommen (noch) nicht den Anforderungen der DSGVO. Man kann es vorrangig für ein formales Problem halten, da Managementsysteme im Kern auch prozessorientiert aufgebaut sind. Daher wäre für die Zukunft ein DSGVO-Zertifikat auf der Basis der ISO 27701 durchaus vorstellbar. Klare Ansagen von öffentlichen Stellen hierzu fehlen noch.

Auch wenn die neue ISO 27701 nach aktuellem Stand keine Zertifizierung im Sinne der DSGVO ermöglicht, bietet sie die Möglichkeit, den Nachweis des DSGVO-konformen Umgangs mit personenbezogenen Daten zu erbringen.

Soweit ein Unternehmen in den Anwendungsbereich einer gesetzlichen Regelung fällt, muss es diese anwenden. Die technischen Normen sind keine Gesetze. Daher kann ein Unternehmen die Normen wie ISO 27701 und ISO 27001 anwenden, muss es aber nicht. Sie können allerdings dann verbindlich werden, wenn die Einhaltung der Anforderungen einer bestimmen Norm – beispielsweise ISO 27001 oder ISO 27701 – vertraglich zugesichert wird. Rechtsverbindlichkeit erlangen die ISO-Normen auch dann, wenn Gesetze oder Rechtsverordnungen auf sie verweisen (bspw. IT-Sicherheitsgesetz).

Auch dann, wenn eine Norm weder von den Vertragsparteien zum Inhalt eines Vertrages gemacht worden ist, noch durch den Gesetzgeber verbindlich vorgeschrieben wurde, kann sie sich als sehr nützlich zeigen. Diese kann im Streitfall als Entscheidungshilfe, beispielsweise in Gerichtsprozessen, herangezogen werden.

Im Gegensatz zu Normen stehen die Gesetze nicht zur Disposition. Ein Unternehmen, das in den Anwendungsbereich der DSGVO fällt, muss die Vorgaben der DSGVO zwingen einhalten.

Das Standard-Datenschutzmodell (SDM) ist eine Vorgehensweise, mit der die rechtlichen Anforderungen aus der Datenschutz-Grundverordnung (DSGVO) in konkrete technische und organisatorische Maßnahmen übertragen werden können.

Im Gegensatz zu ISO 27001 und ISO 27701 liegt der Fokus jedoch nicht primär auf der Schaffung eines Managementsystems / Prozesses für den Betrieb inklusive kontinuierliche Verbesserung, sondern mehr auf der Auswahl einzelner Maßnahmen. Die Maßnahmen aus dem SDM können allerdings gut in das Managementsystem integriert werden, da sie bei der Erfüllung der Anforderungen der Norm hilfreich sind.

Der wichtigste Unterschied zwischen dem DMS und der ISO 27701 ist jedoch, dass das SDM nicht zertifizierungsfähig ist. Außerdem ist das SDM noch nicht fertig. Die Aufsichtsbehörden arbeiten schon seit 2016 an der Entwicklung des Modells und veröffentlichen regelmäßig neue Bausteine.

Eine erfolgreiche Zertifizierung nach ISO 27701 setzt zwingend eine Zertifizierung nach ISO 27001 voraus. Das bedeutet, neben den Anforderungen der ISO 27701 müssen auch alle Anforderungen der ISO 27001 erfüllt werden. Dabei spielt es keine Rolle, ob beide Normen zeitgleich im Unternehmen etabliert werden oder ob ein bestehendes ISMS nachträglich um die ISO 27701 erweitert wird.

Wichtig ist vor allem auch die Integration der Themen Informationssicherheit und Datenschutz in einem gemeinsamen Managementsystem. Es genügt also nicht, getrennte, parallel existierende Prozesse für beide Bereiche zu implementieren. Vielmehr müssen diese an den entsprechenden Stellen verzahnt werden. Eine enge Zusammenarbeit der Verantwortlichen für Informationssicherheit und Datenschutz ist unerlässlich.