Vorlagen und Aufzeichnungen · ISO 27701 · Abschnitt A.1 y A.2

Vorlage für den Auftragsverarbeitungsvertrag nach ISO 27701

Jeder Dienstleister, der im Auftrag des Unternehmens Daten verarbeitet, braucht einen Vertrag mit gesetzlich festgelegtem Mindestinhalt. Das Datenschutzsystem kontrolliert, dass er existiert und eingehalten wird.

In einem Satz

Der Auftragsverarbeitungsvertrag legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten von Daten und betroffenen Personen sowie die Pflichten des Auftragsverarbeiters fest – dokumentierte Weisungen, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten und Datenschutzverletzungen, Rückgabe oder Löschung am Ende und Überprüfungen –, weil Artikel 28 Absatz 3 DSGVO dies verlangt; ISO/IEC 27701 bildet diese Vereinbarungen in den Tabellen A.1 und A.2 ab, aus Sicht des Verantwortlichen und des Auftragsverarbeiters.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27701 · Abschnitt A.1 y A.2 Zitiert wird die Ausgabe 2025: Die Nummern 4 bis 10 sind Kapitel; A.1, A.2 und A.3 sind die Tabellen in Anhang A mit den Maßnahmen für Verantwortliche, für Auftragsverarbeiter und für beide.
Art der Information: Pflichtdokument Gültig zu haltendes Dokument (Art. 28 Abs. 3 DSGVO; Tabellen A.1 und A.2)
Wer sie ausfüllt: Der Einkauf oder der beauftragende Bereich, gemeinsam mit dem Datenschutzbeauftragten Der PIMS-Verantwortliche prüft, dass kein Auftragsverarbeiter ohne Vertrag Daten verarbeitet
Wann: Bevor der Dienstleister Daten erhält Überprüft wird er bei Verlängerung, bei Änderung der Leistung oder bei Ankündigung neuer Unterauftragsverarbeiter
Wie lange sie aufbewahrt wird: Für die Dauer der Leistung und darüber hinaus Legt die Organisation anhand der Verjährungsfristen möglicher Haftungsansprüche fest

Was die Norm verlangt

Was ISO 27701 fordert und was Ihrem Ermessen überlassen bleibt

Die Norm verlangt vom Verantwortlichen, Auftragsverarbeiter mit hinreichenden Garantien auszuwählen und mit ihnen einen Vertrag zu schließen, der die notwendigen Maßnahmen abdeckt. Vom Auftragsverarbeiter verlangt sie, die Daten nur nach Weisung des Kunden zu verarbeiten, ihn zu informieren, wenn er eine Weisung für rechtswidrig hält, und seine Unterauftragsverarbeiter zu kontrollieren.

Artikel 28 Absatz 3 zählt den Mindestinhalt des Vertrags auf. Absatz 2 untersagt, ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung einen weiteren Auftragsverarbeiter hinzuzuziehen; bei allgemeiner Genehmigung muss der Auftragsverarbeiter Änderungen ankündigen, damit der Verantwortliche Einspruch erheben kann.

Der Vertrag wird nicht abgelegt und vergessen: Der Verantwortliche muss seine Einhaltung prüfen können, und der Vertrag muss ihm Überprüfungen und Inspektionen ermöglichen (Art. 28 Abs. 3 lit. h).

Im Zusammenhang lesen: Maßnahmen für Verantwortliche und Auftragsverarbeiter, in der Akademie zu ISO 27701

Aufbau

Felder, die die Vorlage enthalten sollte

Gegenstand, Dauer, Art und Zweck der Verarbeitung
Arten personenbezogener Daten und Kategorien betroffener Personen
Verarbeitung nur auf dokumentierte Weisung
Vertraulichkeit des Personals des Auftragsverarbeiters
Sicherheitsmaßnahmen nach Art. 32 DSGVO
Regelung zu Unterauftragsverarbeitern und Genehmigung
Unterstützung bei Betroffenenrechten, Datenschutzverletzungen und Folgenabschätzungen
Rückgabe oder Löschung der Daten bei Vertragsende
Informationen und Überprüfungen zugunsten des Verantwortlichen
Übermittlungen in Drittländer, sofern vorhanden

Beispiel

Beispiel: externes Lohnbüro eines fiktiven Unternehmens

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Vertrag	EN-2026-03 · Werkstätten Nordring GmbH (Verantwortlicher) und Lohnbüro Bergmann (Auftragsverarbeiter), beide fiktiv
Gegenstand	Erstellung der Lohnabrechnungen sowie An- und Abmeldungen bei der Sozialversicherung · Laufzeit ein Jahr mit Verlängerungsoption
Daten und Betroffene	Identifikations-, Bank- und Vergütungsdaten von 86 Beschäftigten
Unterauftragsverarbeiter	Allgemeine Genehmigung; Ankündigung 30 Tage vorab mit Einspruchsmöglichkeit · Aktuell: Anbieter der Lohnabrechnungssoftware mit Servern in der EU
Datenschutzverletzungen	Information des Verantwortlichen binnen 24 Stunden, nachdem das Lohnbüro Kenntnis erlangt hat
Vertragsende	Rückgabe in einem Standardformat und zertifizierte Löschung binnen 30 Tagen
Überprüfung	Jährlicher Sicherheitsfragebogen · Zuletzt: Februar 2026, ohne Feststellungen

Im Audit

Fehler, die Auditoren häufig feststellen

Dienstleister mit Datenzugriff ohne Vertrag, weil sie „nur Support leisten“.
Generische Verträge, die weder die Daten noch die betroffenen Personen beschreiben.
Niemand weiß, wer die Unterauftragsverarbeiter des Cloud-Anbieters sind.
Der Vertrag sieht Überprüfungen vor, doch der Auftragsverarbeiter wird nie kontrolliert.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Auftragsverarbeiter werden im Lieferantenportal mit ihrem Vertrag und dessen Ablaufdatum geführt.
2Das System warnt, bevor ein Vertrag oder eine Überprüfung abläuft.
3Das Verarbeitungsverzeichnis verknüpft jeden Empfänger mit seinem Vertrag.
4Die regelmäßigen Überprüfungen werden als Lieferantenbewertungen dokumentiert.

Häufige Fragen

Was man uns vor dem Start fragt

Reicht es, die Bedingungen des Dienstleisters zu akzeptieren?

Es kann reichen, wenn sie den gesamten Inhalt von Artikel 28 Absatz 3 abdecken und schriftlich vorliegen. Man muss sie lesen: Viele lassen die Regelung zu Unterauftragsverarbeitern oder die Löschung am Ende weg.

Was bringt ein nach ISO 27701 zertifizierter Auftragsverarbeiter?

Er liefert den Nachweis, dass sein Datenschutzsystem auditiert wurde, was den Nachweis hinreichender Garantien erleichtert. Den Vertrag und die Überprüfung durch den Verantwortlichen ersetzt das nicht.

Führen Sie die Aufzeichnungen zu ISO 27701 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken