ISO/IEC 27701 ist die internationale Norm, die ISO/IEC 27001 um ein Datenschutz-Informationsmanagementsystem (PIMS) erweitert. Einfach gesagt: Was ISO 27001 für die Informationssicherheit leistet, leistet ISO 27701 für den Datenschutz. Und hier liegt die Chance: Mit der inzwischen etablierten DSGVO, der anlaufenden KI-Verordnung und NIS 2, die Datenschutz verlangt, ist die Zusammenführung von Sicherheit und Datenschutz die klare Richtung des Marktes. In diesem Artikel erkläre ich, was ISO 27701 ist, wie die Norm mit der DSGVO zusammenhängt und warum Lead Implementer eine der vielversprechendsten Datenschutz-Zertifizierungen für 2026 ist.

Was ISO/IEC 27701 ist und was ein PIMS ist

ISO/IEC 27701, veröffentlicht 2019, ist eine internationale Norm, die die Anforderungen an die Einführung, Umsetzung, Aufrechterhaltung und fortlaufende Verbesserung eines Datenschutz-Informationsmanagementsystems (PIMS) definiert. Sie ist eine Erweiterung von ISO/IEC 27001 und ISO/IEC 27002, keine eigenständige Norm.

Ein PIMS ist für den Datenschutz, was ein ISMS für die Sicherheit ist: ein formaler, auditierbarer und zertifizierbarer Rahmen, der nachweist, dass Ihre Organisation personenbezogene Daten systematisch verwaltet und nicht von Fall zu Fall. Es deckt sowohl die Rolle des Verantwortlichen als auch die des Auftragsverarbeiters ab, mit spezifischen Anforderungen für jede der beiden.

Warum das heute wichtiger ist denn je: NIS 2 verlangt ein Informationssicherheitsmanagement, die KI-Verordnung fordert eine Daten-Governance für KI-Systeme, und die DSGVO ist längst etabliert. Ernsthafte Organisationen führen das alles in einem einzigen System zusammen. ISO 27701 ist das Bauteil, das Sicherheit und Datenschutz unter einem Managementrahmen vereint.

Die Beziehung zu ISO/IEC 27001

ISO/IEC 27701 funktioniert nicht allein: Sie setzt als Grundlage ein ISMS voraus, das ISO/IEC 27001 entspricht. Die Norm erweitert die Anforderungen von 27001 um datenschutzspezifische Abschnitte und fügt zwei neue Anhänge hinzu:

  • Anhang A: Maßnahmen speziell für Verantwortliche.
  • Anhang B: Maßnahmen speziell für Auftragsverarbeiter.

In der Praxis gilt: Wenn Ihre Organisation bereits nach ISO 27001 zertifiziert ist, ist die Zertifizierung nach 27701 eine Ergänzung und kein Neuaufbau. Zertifizierungsstellen verstehen sie als „Erweiterung“ des bestehenden 27001-Zertifikats. Das senkt Kosten und Dauer des Projekts erheblich.

Die Verbindung zur DSGVO

Das ist die wichtigste Lesart für den europäischen Markt. ISO 27701 ist nicht als Nachweis der DSGVO-Konformität zertifizierbar (es gibt keine offizielle DSGVO-Zertifizierung), aber die Umsetzung eines PIMS nach 27701 deckt den weit überwiegenden Teil der DSGVO-Anforderungen ab.

Anhang D der Norm enthält sogar eine detaillierte Zuordnung zwischen den Artikeln der DSGVO und den Abschnitten von 27701. Wer 27701 konsequent umsetzt, hat in der Praxis:

  • ein vollständiges und aktuelles Verzeichnis der Verarbeitungstätigkeiten;
  • die Rechtsgrundlagen jeder Verarbeitung dokumentiert;
  • die Rechte der betroffenen Personen über formale Prozesse gesteuert;
  • einen auditierbaren Prozess für die Datenschutz-Folgenabschätzung (DSFA);
  • ein Management von Datenschutzverletzungen mit festen Fristen und Vorlagen;
  • internationale Übermittlungen samt ihren Garantien dokumentiert.

Deshalb gehen viele Organisationen, die die Arbeit zur DSGVO-Konformität bereits geleistet haben, anschließend zu 27701 über: Sie können alles, was sie bereits haben, in einem zertifizierbaren Rahmen konsolidieren.

Möchten Sie sich als ISO/IEC 27701 Lead Implementer zertifizieren lassen?
Offizielle PECB-Schulung mit einem praktizierenden Berater, im Selbststudium oder mit Einzelbegleitung auf Englisch.

Zum Kurs →Mit Ricardo sprechen

Was der Kurs Lead Implementer abdeckt

Der Kurs PECB Certified ISO/IEC 27701 Lead Implementer ist eine intensive fünftägige Schulung. Das Programm umfasst:

  1. Grundlagen und Kontext. Datenschutzkonzepte, Beziehung zur DSGVO, Grundsätze eines PIMS.
  2. Planung und Umsetzung des PIMS. Aufbau auf einem ISMS nach ISO 27001 und Erweiterung auf den Datenschutz.
  3. Datenschutz-Risikoanalyse. DSFA, Identifikation von Verarbeitungen mit hohem Risiko, Methodik.
  4. Umsetzung der Maßnahmen der Anhänge A und B. Maßnahmen speziell für Verantwortliche und Auftragsverarbeiter.
  5. Messung, fortlaufende Verbesserung und Auditvorbereitung. Kennzahlen, Managementbewertung und Vorbereitung auf die Zertifizierung.

Für welche Profile die Norm relevant ist

ISO 27701 Lead Implementer eignet sich besonders für diese Profile:

  • Ein bereits zertifizierter Datenschutzbeauftragter, der sich dem internationalen Rahmen und der Zertifizierung öffnen möchte.
  • Ein Datenschutzberater, der über die reine DSGVO-Konformität hinaus Leistungen zur PIMS-Umsetzung anbieten möchte.
  • Ein Sicherheitsverantwortlicher (CISO) mit ISO 27001, der das ISMS auf den Datenschutz ausweiten möchte.
  • Ein Compliance-Verantwortlicher in stark regulierten Branchen (Banken, Gesundheitswesen, Versicherungen), in denen der Datenschutz kritisch ist.
  • Ein Auftragsverarbeiter, der sich zertifizieren lassen möchte, um seinen Kunden als Verantwortlichen seine Vertrauenswürdigkeit nachzuweisen.

Warum es eine Zertifizierung mit Zukunft ist

Drei Gründe, jetzt auf ISO 27701 zu setzen:

Erstens: regulatorische Konvergenz. Die KI-Verordnung führt spezifische Anforderungen an die Daten-Governance von KI-Systemen ein. NIS 2 stärkt die Informationssicherheit. Die DSGVO bleibt bestehen. Die Konvergenz ist ein PIMS, das alles vereint. ISO 27701 ist die Antwort.

Zweitens: zertifizierbar und nachweisbar. Anders als die DSGVO (die nicht formal zertifiziert wird) ist 27701 zertifizierbar. Immer mehr B2B-Kunden (vor allem in regulierten Branchen) verlangen von ihren Lieferanten 27001 + 27701 als Nachweis der Vertrauenswürdigkeit beim Datenschutz.

Drittens: eine niedrige Einstiegshürde für alle, die 27001 bereits haben. Wenn Ihre Organisation (oder Ihre Kunden) bereits nach ISO 27001 zertifiziert sind, ist die Ergänzung um 27701 ein überschaubares Projekt. Das erzeugt eine wachsende und vor allem stabile Nachfrage.

ISO 27701 ist das Bauteil, das Sicherheit und Datenschutz unter einem Managementrahmen vereint. 2026 wird es die Zertifizierung sein, die ernsthafte Datenschutzfachleute von denen unterscheidet, die die DSGVO nur an der Oberfläche kennen.

Schulung und Zertifizierung

Wenn Sie den Schritt zur offiziellen PECB-Zertifizierung gehen möchten, ist der Kurs ISO/IEC 27701 Lead Implementer der direkte Weg: offizielles PECB-Selbststudium, um in Ihrem eigenen Tempo voranzukommen und sich auf die Zertifizierungsprüfung vorzubereiten.