ISO/IEC 27701 ist die internationale Norm für ein Datenschutz-Managementsystem, auch PIMS genannt. Im Oktober 2025 hat sie sich grundlegend verändert und ist von einer Ergänzung zu ISO/IEC 27001 zu einer eigenständigen Norm geworden, die für sich allein umgesetzt und zertifiziert werden kann. Dieser Leitfaden erklärt, was die Revision 2025 geändert hat, wie ein PIMS zugleich die DSGVO und das Schweizer revDSG erfüllt, wie Zertifizierung und Audits ablaufen, und welcher Schulungsweg zu Ihrer Rolle passt.
Wo die Norm heute steht
ISO/IEC 27701:2025 (Ausgabe 2) wurde am 14. Oktober 2025 als eigenständige Norm veröffentlicht und ist keine Erweiterung von ISO/IEC 27001 mehr. Organisationen, die nach der Ausgabe 2019 zertifiziert sind, haben bis Oktober 2028 Zeit für die Transition, danach sind auf der Ausgabe 2019 beruhende Zertifikate nicht mehr gültig.
Was ist ISO/IEC 27701?
ISO/IEC 27701 legt die Anforderungen an ein Datenschutz-Managementsystem fest. Wo ISO/IEC 27001 die Informationssicherheit regelt, regelt ISO/IEC 27701 den Datenschutz und ergänzt die Massnahmen, die eine Organisation benötigt, wenn sie als Verantwortlicher oder als Auftragsverarbeiter personenbezogener Daten handelt. Ein zertifiziertes PIMS verwandelt Datenschutzpflichten, die üblicherweise in Rechtsgutachten und Richtliniendokumenten stecken, in ein betriebsfähiges System mit Verantwortlichen, Nachweisen und unabhängiger Sicherheit dahinter.
Was ist ein Datenschutz-Managementsystem (PIMS)?
Ein PIMS ist die Gesamtheit der Richtlinien, Rollen, Prozesse und Massnahmen, die eine Organisation einsetzt, um personenbezogene Daten verantwortungsvoll zu verwalten und nachzuweisen, dass sie dies tut. ISO/IEC 27701 ist die Norm, nach der ein PIMS unabhängig zertifiziert werden kann, worauf sich ein Kunde, eine Aufsichtsbehörde oder ein Schweizer Datenschutzbeauftragter stützen kann.
Die Zertifizierung wird von einer akkreditierten Zertifizierungsstelle ausgestellt, nicht von der ISO und nicht von einem Schulungsanbieter. Die Schulung bereitet die Personen vor, während das Audit die Organisation zertifiziert. Das sind zwei getrennte Vorgänge, und diese Unterscheidung ist wichtig, wenn Sie ein Budget planen.
Verantwortlicher oder Auftragsverarbeiter: welche Rolle zertifizieren Sie?
Ihre Rolle in der Verarbeitungsbeziehung prägt Ihr gesamtes PIMS. Ein Verantwortlicher für personenbezogene Daten entscheidet über die Zwecke und Mittel der Verarbeitung, was ihn für Rechtsgrundlage, Transparenz und die Rechte der Personen verantwortlich macht, deren Daten er hält. Ein Auftragsverarbeiter handelt ausschliesslich auf der Grundlage der dokumentierten Weisungen des Verantwortlichen, was seine Pflichten in Richtung Sicherheit, Verwaltung von Unterauftragsverarbeitern und getreue Ausführung der Weisungen verschiebt. Viele Organisationen sind beides zugleich, Verantwortliche für die Daten ihres eigenen Personals und ihrer Kunden und Auftragsverarbeiter für die Kundendaten, die sie verarbeiten.
Der Verantwortliche im Vergleich zum Auftragsverarbeiter nach ISO/IEC 27701
Dimension: Entscheidet über Zwecke und Mittel
Dimension: Primäre Rechenschaftspflicht
Dimension: Wesentliche Auditnachweise
Dimension: Typisches Beispiel
Die Revision 2025: ISO/IEC 27701 ist jetzt eigenständig.
Das Wichtigste, was man über ISO/IEC 27701 im Jahr 2025 verstehen muss, ist, dass sie keine Erweiterung von ISO/IEC 27001 mehr ist. Die Ausgabe 2019 setzte zuvor ein nach ISO/IEC 27001 konformes ISMS voraus. Die Ausgabe 2025, am 14. Oktober 2025 als Ausgabe 2 veröffentlicht, ist eine eigenständige Norm mit einem eigenen vollständigen Satz von Managementsystem-Klauseln, sodass ein PIMS unabhängig von jedem ISMS zertifiziert werden kann. Organisationen, die bereits ISO/IEC 27001 betreiben, können beide weiterhin integrieren, was für sicherheitsgeführte Teams der effizienteste Weg bleibt.
ISO/IEC 27701:2019 im Vergleich zur Ausgabe 2025
Aspekt: Status
Aspekt: Voraussetzung ISO 27001
Aspekt: Struktur
Aspekt: Anhang A
Aspekt: Erweiterte Leitlinien
Aspekt: Leitlinien für Zertifizierungsstellen
Seit der Revision 2025 können Sie ein PIMS umsetzen und zertifizieren, ohne dass ISO/IEC 27001 vorhanden ist. Das senkt die Hürde für datenschutzgetriebene Organisationen, die nie eine vollständige Sicherheitszertifizierung anstreben wollten, und ist der wichtigste Grund, weshalb die Norm nun ein breiteres Publikum erreicht. Teams, die ein eigenständiges PIMS von Grund auf aufbauen, finden die Methodik in der ISO 27701 Lead Implementer Schulung.
Schweizer Doppelkonformität: das revDSG und die DSGVO zusammen
Hier verdient sich die Norm ihren Platz für Schweizer Organisationen, und das ist der Blickwinkel, den die meisten Leitfäden übersehen. Da die Schweiz ausserhalb der EU liegt, unterliegt ein Schweizer Unternehmen, das Personen in der EU Waren oder Dienstleistungen anbietet, extraterritorial der DSGVO, während es im Inland weiterhin dem Schweizer revDSG unterliegt, sodass die meisten Schweizer Organisationen einer gewissen Grösse beide Pflichten gleichzeitig tragen.
Ein PIMS, zwei Regime
ISO/IEC 27701 gibt Ihnen einen einzigen Massnahmenrahmen, der sich zugleich an der DSGVO der EU und am Schweizer revDSG ausrichtet. Sie erstellen die Zuordnung einmal und belegen beide Regime zusammen, mit einem einzigen Satz von Massnahmen, einem einzigen Auditzyklus und einem einzigen Nachweisbestand, statt zwei voneinander getrennte Compliance-Programme zu führen.
Das Schweizer revDSG, in Kraft seit dem 1. September 2023, teilt den grössten Teil seiner DNA mit der DSGVO und deckt Transparenz, Zweckbindung, Sicherheit der Verarbeitung und die Rechenschaftspflicht von Verantwortlichen und Auftragsverarbeitern ab. Ein nach ISO/IEC 27701 gestaltetes PIMS erfüllt beide mit demselben Rahmen, statt durch einen getrennten parallelen Aufwand.
Wie ISO/IEC 27701 sich an der DSGVO und am Schweizer revDSG ausrichtet
Datenschutzpflicht: Rechtsgrundlage und Einwilligung
Datenschutzpflicht: Informationspflicht und Transparenz
Datenschutzpflicht: Rechte der betroffenen Personen
Datenschutzpflicht: Verzeichnis von Verarbeitungstätigkeiten (RoPA)
Datenschutzpflicht: Sicherheit der Verarbeitung
Datenschutzpflicht: Meldung von Verletzungen
Datenschutzpflicht: Folgenabschätzung (DSFA)
Datenschutzpflicht: Auftragsverarbeitung
Datenschutzpflicht: Grenzüberschreitende Übermittlungen
Die Zuordnung ist Orientierung, kein Rechtsgutachten
Die vorstehenden Artikelverweise sind indikativ und sollten mit qualifizierten Schweizer und EU-Rechtsberatern bestätigt werden. ISO/IEC 27701 unterstützt und belegt die Konformität mit der DSGVO und dem revDSG, begründet aber für sich allein keine rechtliche Compliance, über die letztlich nur eine zuständige Behörde oder ein Gericht entscheiden kann.
ISO/IEC 27701 ist kein von der EDÖB ausgestelltes Rechtszertifikat, und kein ISO-Zertifikat ersetzt die eigenen Anforderungen des revDSG. Sie ist eine international anerkannte Sicherungsnorm, und ein zertifiziertes PIMS ist ein glaubwürdiger Nachweis eines ausgereiften Datenschutzprogramms, den eine Schweizer Aufsichtsbehörde, ihr EU-Pendant oder ein anspruchsvoller Grosskunde bei einer Due Diligence respektieren wird. Die Zuordnung der Doppelkonformität bewusst aufzubauen, ist ein zentraler Bestandteil der ISO 27701 Lead Implementer Schulung.
Wo ISO/IEC 27701 neben anderen Normen steht
Käufer bewerten ISO/IEC 27701 selten isoliert. ISO/IEC 27001 regelt die Informationssicherheit über ein ISMS, während ISO/IEC 27701 den Datenschutz über ein PIMS regelt, und die beiden bleiben natürliche Partner, auch jetzt, da die Datenschutznorm eigenständig ist. Wenn Sie entscheiden, wo Sie auf der Sicherheitsseite beginnen sollen, geht unser Leitfaden zu Zertifizierung und Schulung ISO 27001 direkt auf das ISMS ein. ISO/IEC 42001 für die KI-Governance und SOC 2 für die Sicherheitsattestierung sind nahe Nachbarn von ISO/IEC 27701, ohne Ersatz dafür zu sein.
Wie Sie ISO/IEC 27701 umsetzen und zertifizieren
Die Umsetzung folgt einem erkennbaren Bogen, ob Sie ein bestehendes ISMS erweitern oder ein eigenständiges PIMS aufbauen. Sie beginnen damit, den Geltungsbereich zu definieren und zu bestätigen, ob Sie sich als Verantwortlicher, als Auftragsverarbeiter oder als beides zertifizieren lassen. Von dort führen Sie eine Gap-Analyse gegen die Norm durch, entwerfen und dokumentieren die fehlenden Massnahmen, weisen Verantwortlichkeiten zu und betreiben das System lange genug, um echte Aufzeichnungen zu erzeugen. Eine Managementbewertung und ein internes Audit schliessen den Kreis, bevor Sie eine externe Zertifizierungsstelle einladen.
Welche Auditnachweise suchen ISO/IEC 27701 Auditoren?
Auditoren suchen Nachweise, dass die Massnahmen nicht nur niedergeschrieben sind, sondern tatsächlich funktionieren. Dazu gehören ein aktuelles Verzeichnis von Verarbeitungstätigkeiten, ein nachweisbarer Umgang mit Anfragen betroffener Personen, funktionierende Risikobeurteilungen, Verträge und Massnahmen, die Unterauftragsverarbeiter abdecken, sowie klare Aufzeichnungen über Managementbewertung und kontinuierliche Verbesserung. Zu lernen, diese Nachweise zu sammeln und zu beurteilen, ist der Kern der ISO 27701 Lead Auditor Schulung.
Wie lange ist ein ISO/IEC 27701 Zertifikat gültig?
Ein Zertifikat wird für einen Zyklus von drei Jahren ausgestellt. Während dieser Zeit bestätigen Überwachungsaudits, dass das PIMS weiterhin funktioniert, und ein Rezertifizierungsaudit erneuert es vor dem Ende des Zyklus. Wo ein einziges Managementsystem sowohl Sicherheit als auch Datenschutz trägt, kann ein integriertes Audit ISO 27701 und ISO 27001 gemeinsam beurteilen, um Kosten und Doppelarbeit zu senken.
Der Übergang von der Ausgabe 2019 zur Ausgabe 2025
Wenn Sie nach der alten Ausgabe zertifiziert waren, betrifft Sie die eigenständige Revision unmittelbar. Organisationen, die nach ISO/IEC 27701:2019 zertifiziert sind, haben bis Oktober 2028 Zeit für die Transition zur Ausgabe 2025, danach sind auf der Ausgabe 2019 beruhende Zertifikate nicht mehr gültig. Diese Frist wirkt auf dem Papier grosszügig, und sie schliesst sich schneller, als es scheint, sobald Sie Planung, Korrekturmassnahmen und die Terminierung des Audits nach der Verfügbarkeit einer Zertifizierungsstelle berücksichtigen.
Weil die Ausgabe 2025 die Norm neu strukturiert und nicht nur angepasst hat, ist die Transition ein echtes Projekt. Die Anforderungen stammen grösstenteils aus dem bestehenden Inhalt von ISO/IEC 27701:2019, ISO/IEC 27001:2022 und ISO/IEC 27002:2022, sodass ein gut geführtes PIMS von 2019 bereits einen grossen Teil der neuen Norm erfüllt, und die Arbeit konzentriert sich auf die neu strukturierten Klauseln und die neu geordneten Massnahmen.
- 1. Bestätigen Sie das Ablaufdatum Ihres aktuellen Zertifikats und ordnen Sie es der Frist Oktober 2028 zu, mit Spielraum für ein Transitionsaudit.
- 2. Führen Sie eine Gap-Analyse gegen die neue Struktur der Klauseln 4 bis 10 und den konsolidierten Anhang A durch. Erstellen Sie eine Zuordnungstabelle als wichtigsten Transitionsnachweis.
- 3. Setzen Sie Ihren Geltungsbereich als Verantwortlicher und Auftragsverarbeiter im Hinblick auf den vereinheitlichten Massnahmensatz neu auf.
- 4. Aktualisieren Sie die Dokumentation: Geltungsbereichserklärung, Verzeichnis von Verarbeitungstätigkeiten, Rollen, Risikobeurteilungen und Nachweisaufzeichnungen.
- 5. Ermitteln Sie, wo die Verarbeitung im Zusammenhang mit KI, Cloud, Biometrie oder Gesundheitsdaten nun die Anwendung der erweiterten Leitlinien erfordert.
- 6. Führen Sie ein vollständiges internes Audit gegen den Text von 2025 vor dem Transitionsaudit durch.
- 7. Buchen Sie das Transitionsaudit frühzeitig bei Ihrer Zertifizierungsstelle, bevor die Kapazitäten gegen 2028 knapp werden.
Die Expertensicht unseres leitenden Datenschutztrainers
Bei den Transitionen, die wir begleiten, sind die Organisationen mit Schwierigkeiten selten diejenigen mit schwachen Systemen. Es sind diejenigen, die eine Frist als reine Dokumentationsübung behandeln und beim Audit feststellen, dass die neu strukturierten Massnahmen nie daran neu ausgerichtet wurden, wie sie Daten tatsächlich verarbeiten. Beginnen Sie mit der Gap-Analyse gegen die neue Struktur und nicht mit dem Papierkram. Die Gap-Analyse zeigt Ihnen, wo die eigentliche Arbeit liegt, und die Dokumentation ergibt sich daraus.
Die Änderungen sind bedeutend genug, dass die meisten Teams von einem strukturierten Durchgang profitieren, der genau zeigt, was sich verschoben hat, und genau das bietet die ISO/IEC 27701 Transition Schulung.
Welcher ISO/IEC 27701 Schulungsweg ist der richtige für Sie?
Drei Zertifizierungen, drei verschiedene Aufgaben. Die Wahl ergibt sich aus der Rolle, die Sie im PIMS spielen werden, und nicht aus Ihrem aktuellen Wissensstand.
Die ISO/IEC 27701 Zertifizierungswege im Vergleich
Zertifizierung: ISO 27701 Lead Implementer
Zertifizierung: ISO 27701 Lead Auditor
Zertifizierung: ISO/IEC 27701 Transition
Alle drei werden als PECB-Zertifizierungsprogramme durchgeführt und umfassen die offizielle Prüfung. Abilene Academy ist der einzige PECB Titanium Partner in der Schweiz, was zählt, wenn Ihr Zertifikat bei Kunden und Behörden in der EU wie auch in der Schweiz Gewicht haben muss.
Häufig gestellte Fragen
Die folgenden Fragen decken ab, was Organisationen am häufigsten fragen, wenn eine Norm überarbeitet wird. Jede wird im FAQ-Bereich dieser Seite vollständig beantwortet.
Machen Sie den nächsten Schritt
Wenn Sie das PIMS aufbauen werden, ist ISO 27701 Lead Implementer der Weg. Wenn Sie nach der Norm auditieren werden, ISO 27701 Lead Auditor. Wenn Sie eine Zertifizierung von 2019 auf die Ausgabe 2025 überführen, deckt die ISO/IEC 27701 Transition Schulung genau ab, was sich geändert hat. Die kommenden Sitzungstermine sind für alle drei veröffentlicht.
