Maßnahmen für Verantwortliche und Auftragsverarbeiter

Ein eigener Maßnahmenanhang

In der Ausgabe von 2019 stützten sich die Maßnahmen auf die von ISO/IEC 27002, ergänzt um Datenschutzaspekte. In der Ausgabe von 2025 ist Anhang A eigenständig: Er gruppiert die Maßnahmen danach, ob sie der Verantwortliche, der Auftragsverarbeiter oder beide anwenden, und nimmt die Sicherheitsmaßnahmen mit direkter Auswirkung auf den Datenschutz auf.

Was sie abdecken

Für den Verantwortlichen: Bedingungen für Erhebung und Verarbeitung – Zweck, Rechtsgrundlage, Einwilligung, Folgenabschätzung –, Pflichten gegenüber den betroffenen Personen, Datenschutz durch Technikgestaltung und Übermittlungen. Für den Auftragsverarbeiter: Vereinbarungen mit dem Kunden, Verarbeitung nur nach dessen Weisung, Unterauftragsverarbeiter und Offenlegungen gegenüber Dritten.

Anhang B und Erklärung zur Anwendbarkeit

Anhang B ist der Umsetzungsleitfaden für jede Maßnahme. Jede Maßnahme aus Anhang A wird in der Erklärung zur Anwendbarkeit (6.1.3) angewendet oder mit Begründung ausgeschlossen: Kein Auditor erwartet, dass ein Auftragsverarbeiter die Maßnahmen des Verantwortlichen anwendet, wohl aber, dass er es begründet.

Was Auditoren typischerweise sehen wollen

• Rolle der Organisation je Verarbeitung festgelegt
• Erklärung zur Anwendbarkeit, die den gesamten Anhang A durchgeht
• Umsetzungsnachweis für jede angewendete Maßnahme
• Begründung jedes Ausschlusses

So decken Sie die Maßnahmen in Kimobox ab

1. 1Laden Sie die Maßnahmen aus Anhang A mit ihrem Status in die Erklärung zur Anwendbarkeit.
2. 2Verknüpfen Sie jede Maßnahme mit der Aufzeichnung, die sie belegt: Verarbeitungen, Betroffenenrechte, Verträge.
3. 3Weisen Sie jeder angewendeten Maßnahme einen Verantwortlichen und einen Überprüfungstermin zu.

Vorlagen und Aufzeichnungen zu ISO 27701 aus diesem Kapitel

• Vorlage für das Verzeichnis von Verarbeitungstätigkeiten nach ISO 27701 · Pflichtdokument
• Vorlage für die Datenschutz-Folgenabschätzung nach ISO 27701 · Pflichtaufzeichnung
• Vorlage für den Einwilligungsnachweis nach ISO 27701 · Pflichtaufzeichnung
• Vorlage für das Protokoll der Betroffenenanfragen nach ISO 27701 · Pflichtaufzeichnung
• Vorlage für das Protokoll von Datenschutzverletzungen nach ISO 27701 · Pflichtaufzeichnung
• Vorlage für den Auftragsverarbeitungsvertrag nach ISO 27701 · Pflichtdokument