ISO/IEC 27701:2025 – Die wichtigsten Änderungen im Überblick

Mit der Veröffentlichung der ISO/IEC 27701:2025 wurde der internationale Standard für Privacy Information Management grundlegend überarbeitet. Hintergrund der Revision sind insbesondere die Weiterentwicklung des Datenschutzes, neue technologische Rahmenbedingungen und der Wunsch vieler Organisationen nach einer eigenständigen Norm für Datenschutzmanagement – unabhängig von einem Informationssicherheitsmanagementsystem. In diesem Blogbeitrag geben wir Ihnen einen Überblick über die wichtigsten Änderungen der ISO/IEC 27701:2025.

Die neuen ISO/IEC 27701 reformiert den Datenschutz. | Bildquelle: von Montri | Bild Nr.: 551606081

Was ist die ISO/IEC 27701?

Die ISO/IEC 27701 ist der international anerkannte Standard für ein Datenschutz-Informationsmanagementsystem (Privacy Information Management System, kurz PIMS). Sie unterstützt Organisationen dabei, Datenschutz strukturiert aufzubauen, umzusetzen und – sofern gewünscht – offiziell zertifizieren zu lassen.

Im Oktober 2025 wurde mit der ISO/IEC 27701:2025 eine vollständig überarbeitete Version veröffentlicht, die die Fassung von 2019 ersetzt. Die neue Norm der ISO/IEC 27701:2025 lässt sich nahtlos in bestehende Managementsysteme wie ISO 9001, ISO/IEC 27001 und ISO 42001 integrieren. Durch die umfassenden Datenschutzkontrollen für Verantwortliche und Auftragsverarbeiter ist die aktualisierte Norm stärker auf Datenschutzanforderungen und die DSGVO ausgerichtet.

Ziel der ISO/IEC 27701:2025 ist es, ein besseres Verständnis für wirksame Datenschutzmanagementsysteme zu schaffen und den Umgang mit Datenschutzrisiken durch klare Bewertungs- und Steuerungsmechanismen zu verbessern.

Die wichtigsten Änderungen der ISO/IEC 27701:2025

1. Eigenständige Norm

Die alte Version der ISO/IEC 27701 war eng mit der ISO/IEC 27001 verknüpft und galt als deren Erweiterung. Mit der Ausgabe 2025 ist die ISO/IEC 27701 erstmals als eigenständige Managementsystemnorm ausgestaltet. Damit kann ein Datenschutz-Informationsmanagementsystem nun auch unabhängig von einem ISMS aufgebaut und zertifiziert werden, bleibt aber weiterhin gut mit anderen Managementsystemen integrierbar.

2. Umstrukturierung von Anhang A

Die bisherigen Abschnitte für Verantwortliche und Auftragsverarbeiter wurden überarbeitet und durch drei übersichtliche Tabellen (A.1, A.2 und A.3) ersetzt.

Diese enthalten insgesamt 78 Datenschutzkontrollen und zeigen klar,

welche Maßnahmen für Verantwortliche
Auftragsverarbeiter oder
beide Rollen relevant sind.

Zusätzlich wird jede Kontrolle eindeutig einer Umsetzungsleitlinie im Anhang B zugeordnet.

3. Änderung von Anhang B

Anhang B enthält die Umsetzungsleitlinien zu den Kontrollen aus Anhang A.
Neu ist die deutlichere Abgrenzung zwischen

dem „Was“ (Anforderungen in Anhang A) und
dem „Wie“ (Umsetzungshinweise in Anhang B).

Diese Trennung erleichtert insbesondere Audits, Prüfungen und Gap‑Analysen.

4. Die vier Abgleich-Anhänge

Die Ausgabe 2025 enthält zudem mehrere Vergleichs- und Mapping-Anhänge, die den Bezug zu anderen Standards und zur DSGVO erleichtern.

Der Anhang C enthält den Abgleich mit der ISO/IEC 29100.
Der Anhang D dient dem Mapping zur DSGVO.
Den Abgleich mit der ISO/IEC 27018 und der ISO/IEC 29115 stellt der Anhang E
Für Organisationen, die bereits mit der ISO/IEC 27701:2019 arbeiten, ist insbesondere Anhang F Er enthält eine Korrespondenz-, Übergangs- bzw. Vergleichstabelle zur 2019er-Struktur.

5. Neuordnung von Klausel 6

Um einen überschaubaren Anwendungsbereich zu schaffen, wurden Inhalte der früheren Struktur in der 2025er-Fassung neu geordnet und stärker auf die eigenständige Managementsystemlogik der Norm ausgerichtet.

6. Weitere Anpassungen

Die Abschnitte 4-10 folgen nun der Standardstruktur für Managementsysteme der ISO und benötigen keine Querverweise auf die ISO 27001 mehr.

7. Aufnahme Klimawandel

In den Abschnitten 4.1 und 4.2 sind die allgemeinen ISO-Ergänzungen zum Thema Klimawandel berücksichtigt. Während 4.1 ausdrücklich verlangt, zu prüfen, ob Klimawandel ein relevantes Thema ist, enthält 4.2 hierzu lediglich einen ergänzenden Hinweis zu möglichen Anforderungen interessierter Parteien.

Durch die ISO/IEC 27701 können Unternehmen ein auditierbares Datenschutzmanagement aufbauen. | Bildquelle: von Sufiun360 | Bild Nr.: 1885184029

Was bedeutet die neue Norm ISO/IEC 27701 für Unternehmen?

Die freiwillig anwendbare Norm ISO/IEC 27701 zeigt praxisnah, wie ein strukturiertes und auditierbares Datenschutzmanagement aufgebaut, betrieben und kontinuierlich verbessert werden kann.

Die zentrale Neuerung liegt im klaren Fokus auf einem eigenständigen Datenschutzmanagementsystem statt auf einer bloßen Erweiterung eines ISMS. Das schafft Transparenz, reduziert Komplexität und erleichtert insbesondere den Einstieg für Unternehmen, die Datenschutz eigenständig strukturieren und auditieren möchten.

Unternehmen, die bereits nach der ISO/IEC 27701:2019 arbeiten, sollten die Umstellung frühzeitig planen. Nach aktueller Einschätzung ist ein Übergangszeitraum bis Oktober 2028 geplant. Maßgeblich sind jedoch die endgültigen Vorgaben der zuständigen Akkreditierungs- und Zertifizierungsstellen. Gerne unterstützen wir Sie bei dem Aufbau oder der Weiterentwicklung eines auditierbaren Datenschutzmanagementsystems.

Fazit

Mit der ISO/IEC 27701:2025 wurde das Datenschutzmanagement konsequent weiterentwickelt. Die eigenständige Struktur, die klare Trennung von Anforderungen und Umsetzungsleitlinien sowie die stärkere Rollen‑ und Risikoorientierung machen die Norm verständlicher und praxisnäher als je zuvor.

Für Unternehmen, die Datenschutz systematisch, nachvollziehbar und prüfbar gestalten wollen, bietet die neue Version eine moderne und zukunftsfähige Grundlage.

Sie suchen Expertise im Datenschutz oder einen externen Datenschutzbeauftragten? Unsere Coaches von itsecuritycoach begleiten Sie kompetent in allen Datenschutzfragen. Nehmen Sie Kontakt auf und vereinbaren Sie ein unverbindliches Beratungsgespräch.