ISO/IEC 27701 war bis dieses Jahr ein Zusatz: ein Dokument, das einer Organisation mit einem ISO-27001-System sagte, welche zusätzlichen Anforderungen und Maßnahmen es auch zu einem Datenschutz-Managementsystem machten. Die zweite Ausgabe, ISO/IEC 27701:2025, veröffentlicht im Oktober 2025, hebt die Ausgabe 2019 auf, ersetzt sie und ist als eigenständige Managementsystemnorm neu gefasst: eigene Abschnitte 4 bis 10, ein eigener Anhang A, ein eigenes Zertifikat nach ISO/IEC 27706:2025. Dieser Artikel liest die neue Ausgabe Zeile für Zeile für ein Softwareunternehmen, mit dem Katalog, den StandardOS davon führt, als Daten: 103 Anforderungen, jede mit dem ISO-27001-Abschnitt oder der Maßnahme, der sie entspricht, der Lücke, die 27701 darüber hinaus verlangt, und den DSGVO-Artikeln, die ihre Aufzeichnung belegt.

Was sich geändert hat: eine Norm, ein Anhang A, zwei Rollen

Die Ausgabe 2019 erweiterte ISO 27001 durch Verweis, ein PIMS konnte also ohne ISMS nicht existieren. Die Ausgabe 2025 wendet die harmonisierte Struktur an, die ISO für alle ihre Managementsystemnormen nutzt: Abschnitt 4 Kontext, 5 Führung, 6 Planung, 7 Unterstützung, 8 Betrieb, 9 Bewertung der Leistung, 10 Verbesserung, dieselbe Nummerierung wie ISO 27001:2022, mit einer Datenschutzpolitik, Datenschutzzielen und einer Datenschutz-Risikobeurteilung, die Risiken für die Menschen liest, deren Daten verarbeitet werden, nicht nur Risiken für die Organisation. Abschnitt 6.1.3 wählt die Maßnahmen aus Anhang A über die Risikobehandlung aus und schreibt eine Erklärung zur Anwendbarkeit, genau wie 27001 mit dem eigenen Anhang A.

Anhang A ist nun ein Anhang in drei Tabellen. Tabelle A.1 enthält 31 Maßnahmen für PII-Verantwortliche in vier Gruppen: Bedingungen für Erhebung und Verarbeitung, Pflichten gegenüber PII-Betroffenen, Datenschutz durch Technikgestaltung und Voreinstellungen, sowie Weitergabe, Übermittlung und Offenlegung von PII. Tabelle A.2 enthält 18 Maßnahmen für PII-Auftragsverarbeiter in denselben vier Gruppen. Tabelle A.3 enthält 29 Informationssicherheitsmaßnahmen, die beide Rollen umsetzen, jede eine 27001-Maßnahme für personenbezogene Daten gelesen. Anhang B gibt Umsetzungsleitlinien unter derselben Nummerierung, und Anhang F ordnet jede Maßnahme von 2025 ihrem Gegenstück von 2019 zu und zurück. Für ein Softwareunternehmen sind beide Rollen vorhanden: es ist Verantwortlicher für die eigenen Kunden- und Mitarbeiterdaten und Auftragsverarbeiter für die Daten, die seine Kunden in das Produkt geben, also gelten A.1, A.2 und A.3 alle, und die DSGVO-Bestimmung sagt, welche Pflichten für jede Rolle greifen.

Die 70 Zeilen, die ein 27001-System schon halb abdeckt

Siebzig der 103 Anforderungen entsprechen etwas, das ein laufendes ISO-27001-System schon hat, und keine davon deckt es vollständig ab. Die 25 Abschnitte entsprechen ihren 27001-Zwillingen: derselbe Kontext, dieselbe Führung, Planung, Unterstützung, Betrieb, Bewertung und Verbesserung, mit einer Lücke je Abschnitt. Die Datenschutzpolitik in 5.2 steht neben der Informationssicherheitspolitik und verpflichtet sich gegenüber den betroffenen Menschen; die Risikobeurteilung in 6.1.2 beurteilt Risiken für PII-Betroffene, das ist die Überlegung, die eine Datenschutz-Folgenabschätzung braucht; die dokumentierte Information in 7.5 fügt das Verzeichnis der Verarbeitungstätigkeiten, die Einwilligungen, die Abschätzungen und die Anträge zu dem hinzu, was 27001 lenkt; die Managementbewertung in 9.3 nimmt Rückmeldungen von PII-Betroffenen und Regulierern als Eingabe.

Die 29 Sicherheitsmaßnahmen der Tabelle A.3 entsprechen eins zu eins den Maßnahmen von Anhang A der 27001:2022, und die Lücke ist jedes Mal von derselben Art: die 27001-Maßnahme ist nicht für personenbezogene Daten geschrieben, und 27701 verlangt, dass sie es ist. Die Klassifizierung (A.3.5) nennt PII und ihre besonderen Kategorien, wo 27001 nach Vertraulichkeit klassifiziert; die Protokollierung (A.3.25) hält fest, wer wann auf welche personenbezogenen Daten zugegriffen hat, damit eine Verletzung rekonstruiert und ein Antrag beantwortet werden kann; Backups (A.3.24) unterliegen Aufbewahrung und Löschung, damit eine Wiederherstellung gelöschte Daten nicht zurückholt; das Vorfallmanagement (A.3.11 und A.3.12) plant und führt die Meldungen von Verletzungen mit ihren gesetzlichen Fristen durch; der sichere Entwicklungslebenszyklus (A.3.27) schließt Datenschutz durch Technikgestaltung und Voreinstellungen ein; Testinformationen (A.3.31) schließen personenbezogene Daten als Testdaten aus, sofern sie nicht de-identifiziert sind. Die übrigen 16 Entsprechungen liegen in den Tabellen A.1 und A.2, wo eine Datenschutzmaßnahme eine Sicherheitsmaßnahme erweitert: die Verträge mit Auftragsverarbeitern und die Kundenvereinbarung erweitern die Lieferantenvereinbarungen von A.5.20, die Verzeichnisse der Verarbeitung erweitern den Schutz von Aufzeichnungen von A.5.33, Aufbewahrung, Entsorgung und temporäre Dateien erweitern die Löschung von Informationen von A.8.10, die Maßnahmen zu Unterauftragsverarbeitern erweitern die Lieferantensicherheit von A.5.19.

Die 33 Zeilen, die keine Sicherheitsmaßnahme erzeugt

Dreiunddreißig Maßnahmen haben überhaupt kein 27001-Gegenstück, 24 für Verantwortliche und 9 für Auftragsverarbeiter, und sie sind die Substanz des Datenschutzes: den Zweck (A.1.2.2) und die Rechtsgrundlage (A.1.2.3) bestimmen und dokumentieren; Einwilligung bestimmen, einholen und aufzeichnen (A.1.2.4 und A.1.2.5); die Datenschutz-Folgenabschätzung (A.1.2.6); die Vereinbarung gemeinsam Verantwortlicher (A.1.2.8); die zehn Maßnahmen von A.1.3 zu den Pflichten gegenüber PII-Betroffenen, von der bereitzustellenden Information bis zu Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch und automatisierter Entscheidungsfindung; Begrenzung von Erhebung und Verarbeitung, Richtigkeit, Minimierung und De-Identifizierung (A.1.4.2 bis A.1.4.6); die Grundlage und die Länder für Übermittlungen und die Aufzeichnungen der Übermittlungen (A.1.5.2 bis A.1.5.4). Auf Seiten des Auftragsverarbeiters: Verarbeitung nur für die Zwecke des Kunden und nie für Marketing (A.2.2.3 und A.2.2.4), das Melden einer rechtswidrigen Weisung (A.2.2.5), die Pflichten des Kunden und die der PII-Betroffenen (A.2.2.6 und A.2.3.2), Grundlage und Länder der Übermittlung (A.2.5.2 und A.2.5.3) und der Umgang mit Offenlegungsersuchen (A.2.5.5 und A.2.5.6). Ein Unternehmen, das von seinem ISO-27001-System ausgeht, baut diese aus dem Nichts, und das Verzeichnis der Verarbeitungstätigkeiten ist die erste davon: jede andere Datenschutzmaßnahme verweist darauf zurück.

Die DSGVO-Artikel, die die Maßnahmen belegen

ISO/IEC 27701 ordnet sich in einem eigenen Anhang der DSGVO zu, und der Katalog liest die Zuordnung von der anderen Seite: für jede Maßnahme, welchen Artikel der Verordnung (EU) 2016/679 ihre Aufzeichnung belegt. Zweiunddreißig Artikel kommen vor. Vierzehn Zeilen belegen das Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30; achtzehn belegen die Pflichten des Auftragsverarbeiters nach Artikel 28, von der Kundenvereinbarung bis zum Wechsel des Unterauftragsverarbeiters; dreiundzwanzig belegen die Sicherheit der Verarbeitung nach Artikel 32; sechs belegen die Meldung von Verletzungen nach Artikel 33; vier belegen die Folgenabschätzung nach Artikel 35. Nichts davon ist eine Konformitätsvermutung: die Verordnung nennt keine Norm, ein Zertifikat beweist, dass der Prozess existiert, und die Aufsichtsbehörde liest den Prozess gegen den Text. Was die Zuordnung einem Softwareunternehmen gibt, ist der Prüfpfad in die andere Richtung: wenn der Fragebogen eines Kunden oder eine Behörde fragt, wie Artikel 30 oder Artikel 33 erfüllt wird, ist die Antwort eine Maßnahme mit einer Aufzeichnung dahinter.

Was damit zu tun ist

Die Reihenfolge, die funktioniert, ist die des Katalogs. Zuerst die 70 Zeilen, die das 27001-System erweitern, weil der Nachweis schon existiert und die Lücke ein Absatz je Zeile ist: personenbezogene Daten in der Klassifizierung nennen, die Aufbewahrungsregel in die Backup-Richtlinie aufnehmen, die Meldeschritte in das Vorfallverfahren aufnehmen. Dann die 33 reinen Datenschutzzeilen, beginnend mit dem Verzeichnis der Verarbeitungstätigkeiten, der Rechtsgrundlage je Zweck und der Folgenabschätzung für die Funktionen, die eine brauchen; die Auftragsverarbeitungsbedingungen und die Meldefrist sind die beiden, nach denen die Kunden zuerst fragen. Ein Zertifikat nach der Ausgabe 2025 ist dann die Drittprüfung eines Systems, das die Verordnung bereits beantwortet, und das ist auch die Reihenfolge, in der ein Käufer unter DORA, NIS2 oder der DSGVO es liest.