Vorlagen und Aufzeichnungen · ISO 27701 · Abschnitt A.1

Vorlage für die Datenschutz-Folgenabschätzung nach ISO 27701

Die vertiefte Analyse vor dem Start einer Verarbeitung mit hohem Risiko: was geplant ist, ob es notwendig und verhältnismäßig ist, was den Personen schaden kann und wie es sich vermeiden lässt.

In einem Satz

Die Datenschutz-Folgenabschätzung beschreibt die Verarbeitung und ihre Zwecke, bewertet ihre Notwendigkeit und Verhältnismäßigkeit, analysiert die Risiken für die Rechte und Freiheiten der betroffenen Personen und legt die Abhilfemaßnahmen fest – der Mindestinhalt nach Artikel 35 Absatz 7 DSGVO; ISO/IEC 27701 führt sie unter den Maßnahmen für den Verantwortlichen in Tabelle A.1.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27701 · Abschnitt A.1 Zitiert wird die Ausgabe 2025: Die Nummern 4 bis 10 sind Kapitel; A.1, A.2 und A.3 sind die Tabellen in Anhang A mit den Maßnahmen für Verantwortliche, für Auftragsverarbeiter und für beide.
Art der Information: Pflichtaufzeichnung Aufzubewahrende Aufzeichnung, wenn die Verarbeitung sie erfordert (Art. 35 DSGVO; Maßnahme aus Tabelle A.1)
Wer sie ausfüllt: Der Verantwortliche, gemeinsam mit dem Datenschutzbeauftragten Der Auftragsverarbeiter wirkt mit, indem er die ihm vorliegenden Informationen beisteuert (Art. 28 Abs. 3 lit. f DSGVO)
Wann: Vor Beginn der Verarbeitung Und erneut, wenn sich das Risiko ändert (Art. 35 Abs. 11 DSGVO)
Wie lange sie aufbewahrt wird: Solange die Verarbeitung andauert Und danach so lange, wie die Organisation festlegt, um nachweisen zu können, dass sie rechtzeitig erfolgte

Was die Norm verlangt

Was ISO 27701 fordert und was Ihrem Ermessen überlassen bleibt

Die Norm verlangt vom Verantwortlichen, die Folgen für den Datenschutz abzuschätzen, wenn eine neue Verarbeitung oder eine Änderung dies erfordert, und das Ergebnis aufzubewahren. Die DSGVO macht daraus eine Pflicht, wenn voraussichtlich ein hohes Risiko für die Rechte und Freiheiten besteht, und nennt als Fälle die systematische Bewertung mit Rechtswirkung, die umfangreiche Verarbeitung besonderer Kategorien und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.

Artikel 35 Absatz 7 legt den Mindestinhalt fest, Absatz 2 verpflichtet, den Rat des Datenschutzbeauftragten einzuholen, sofern einer benannt wurde. Bleibt das Restrisiko hoch, ist vor der Verarbeitung die Aufsichtsbehörde zu konsultieren (Art. 36).

Dass sie nicht verpflichtend ist, spricht nicht gegen sie: Viele Organisationen wenden sie in vereinfachter Form auf jede neue Verarbeitung an, und es empfiehlt sich, schriftlich festzuhalten, warum die vollständige als nicht erforderlich eingestuft wurde.

Im Zusammenhang lesen: Maßnahmen für Verantwortliche und Auftragsverarbeiter, in der Akademie zu ISO 27701

Aufbau

Felder, die die Vorlage enthalten sollte

Systematische Beschreibung der Verarbeitung und ihrer Zwecke
Verfolgtes berechtigtes Interesse, sofern es die Rechtsgrundlage ist
Bewertung von Notwendigkeit und Verhältnismäßigkeit
Risiken für die Rechte und Freiheiten der betroffenen Personen
Geplante Abhilfemaßnahmen: Garantien, Sicherheitsmaßnahmen und Schutzmechanismen
Stellungnahme des Datenschutzbeauftragten
Standpunkt der betroffenen Personen, sofern eingeholt
Restrisiko und Entscheidung: verarbeiten, ändern oder die Aufsichtsbehörde konsultieren
Datum, Genehmigung und nächste Überprüfung

Beispiel

Beispiel: biometrische Zeiterfassung in einem fiktiven Werk

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Verarbeitung	Arbeitszeiterfassung per Fingerabdruck · Konservenfabrik Waldmann (fiktiv), 140 Beschäftigte
Notwendigkeit	Vergleich mit Karte und Smartphone-App: Beide erfüllen den Zweck ohne biometrische Daten
Risiken	Verarbeitung besonderer Kategorien; irreversibler Abfluss biometrischer Templates
Stellungnahme des DSB	Rät mangels Verhältnismäßigkeit vom Fingerabdruck ab
Entscheidung	Biometrie wird verworfen, eingeführt wird eine Karte mit PIN · 20. Januar 2026
Überprüfung	Sobald eine Änderung am Zeiterfassungssystem vorgeschlagen wird

Im Audit

Fehler, die Auditoren häufig feststellen

Die Abschätzung erfolgt erst, nachdem das Werkzeug beauftragt und eingeführt wurde.
Sie beschränkt sich auf einen Sicherheitsfragebogen, ohne Notwendigkeit und Verhältnismäßigkeit zu prüfen.
Die Stellungnahme des Datenschutzbeauftragten ist nicht dokumentiert.
Es ist nicht schriftlich festgehalten, warum eine riskante Verarbeitung keine vollständige Abschätzung brauchte.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Die Aufnahme einer neuen Verarbeitung durchläuft einen Workflow, der abfragt, ob eine Folgenabschätzung erforderlich ist.
2Die Abschätzung wird als Formular mit Freigabe durch den Datenschutzbeauftragten und die Leitung dokumentiert.
3Die vereinbarten Maßnahmen werden zu Aktionen mit Verantwortlichem, Termin und Verzugswarnung.

Häufige Fragen

Was man uns vor dem Start fragt

Wann ist sie Pflicht?

Wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Die Aufsichtsbehörden veröffentlichen Listen der Verarbeitungen, die sie erfordern.

Führt der Auftragsverarbeiter sie durch?

Nein: Die Pflicht liegt beim Verantwortlichen. Der Auftragsverarbeiter unterstützt ihn mit Informationen zu seinen Mitteln und Maßnahmen.

Führen Sie die Aufzeichnungen zu ISO 27701 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken