ISO/IEC 27701 führt datenschutzspezifische Anforderungen und Kontrollen ein, die verändern, wie „gute Beweise“ in Audits aussehen: Entscheidungen zur gesetzlichen Grundlage müssen vertretbar sein, Zwecke müssen über Systeme und Dritte hinweg stabil bleiben, und die Rechtebearbeitung muss innerhalb der erforderlichen Zeitrahmen zuverlässig funktionieren. In der Praxis driften Audits oft in die Dokumentenprüfung (Richtlinien, Mitteilungen, Register) ab, ohne zu prüfen, ob die zugrunde liegende Verarbeitung der Realität entspricht, was die Organisation behauptet.

Dieser Audit-Zusatz konzentriert sich auf Datenschutzrisiken und Kontrollen aus der Perspektive der betroffenen Person. Teilnehmer lernen, wie man die Glaubwürdigkeit der Datenschutzrisikologik bewertet, die rechtlichen Grundlagen und Zweckbeschränkungen im gesamten Verarbeitungslebenszyklus testet und die Rechtebearbeitung als operative Fähigkeit beurteilt. Das Modul ist für interne Auditoren und Drittanbieter-Auditoren (einschließlich Zertifizierungsstellen und unabhängiger Prüfungsanbieter) konzipiert und bleibt strikt im Bereich der Auditbewertung und Beweise—ohne die generelle Audittechnik oder allgemeine Risikomethoden erneut zu lehren.