Leider ist die Zertifizierung nach ISO 27701 keine Zertifizierung i.S.d. DSGVO.
Art. 42 DSGVO sieht die Möglichkeit einer Zertifizierung für Verarbeitungsvorgänge vor:
„Die Mitgliedstaaten, die Aufsichtsbehörden, der Ausschuss und die Kommission fördern insbesondere auf Unionsebene die Einführung von datenschutzspezifischen Zertifizierungsverfahren sowie von Datenschutzsiegeln und -prüfzeichen, die dazu dienen, nachzuweisen, dass diese Verordnung bei Verarbeitungsvorgängen von Verantwortlichen oder Auftragsverarbeitern eingehalten wird.“
Die Anforderungen, die eine mögliche akkreditierte Zertifizierungsstelle dabei einhalten muss, beschreibt Art. 43 der DSGVO:
„Die Mitgliedstaaten stellen sicher, dass diese Zertifizierungsstellen von einer oder beiden der folgenden Stellen akkreditiert werden:
1. der gemäß Artikel 55 oder 56 zuständigen Aufsichtsbehörde;
2. der nationalen Akkreditierungsstelle, die gemäß der Verordnung (EG) Nr. 765/2008 des Europäischen Parlaments und des Rates im Einklang mit EN-ISO/IEC 17065/2012 und mit den zusätzlichen von der gemäß Artikel 55 oder 56 zuständigen Aufsichtsbehörde festgelegten Anforderungen benannt wurde.“
Da es sich bei der ISO 27701 um eine Erweiterung der ISO 27001 handelt, stehen bei der Norm die Managementsysteme sowie Anforderungen an diese im Mittelpunkt. Die Akkreditierung von Zertifizierungsstellen für Managementsysteme richtet sich nach ISO 17021. Der Art. 43 DSGVO fordert eine Akkreditierung von Zertifizierungsstellen entsprechend ISO 17065. Diese Norm ist auf eine Zertifizierung von Produkten, Prozessen und Dienstleistungen ausgerichtet. Daher entspricht ein ISO 27001-Zertifikat strenggenommen (noch) nicht den Anforderungen der DSGVO. Man kann es vorrangig für ein formales Problem halten, da Managementsysteme im Kern auch prozessorientiert aufgebaut sind. Daher wäre für die Zukunft ein DSGVO-Zertifikat auf der Basis der ISO 27701 durchaus vorstellbar. Klare Ansagen von öffentlichen Stellen hierzu fehlen noch.
Auch wenn die neue ISO 27701 nach aktuellem Stand keine Zertifizierung im Sinne der DSGVO ermöglicht, bietet sie die Möglichkeit, den Nachweis des DSGVO-konformen Umgangs mit personenbezogenen Daten zu erbringen.