Vorlagen und Aufzeichnungen · ISO 27701 · Abschnitt 6.1.2 y 8.2

Vorlage für die Datenschutz-Risikobeurteilung nach ISO 27701

Die Analyse, die entscheidet, welche Maßnahmen nötig sind: was mit den personenbezogenen Daten schiefgehen kann, wie sehr es den Personen schaden würde und wer sich um jedes Risiko kümmert.

In einem Satz

Die Datenschutz-Risikobeurteilung ermittelt die mit der Verarbeitung personenbezogener Daten verbundenen Risiken, schätzt ihre Wahrscheinlichkeit und ihre Folgen für die Personen und die Organisation ab, vergleicht sie mit den Akzeptanzkriterien und weist jedem Risiko einen Eigentümer zu, weil die Abschnitte 6.1.2 und 8.2 von ISO/IEC 27701:2025 verlangen, den Prozess festzulegen, ihn in geplanten Abständen anzuwenden und seine Ergebnisse aufzubewahren.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27701 · Abschnitt 6.1.2 y 8.2 Zitiert wird die Ausgabe 2025: Die Nummern 4 bis 10 sind Kapitel; A.1, A.2 und A.3 sind die Tabellen in Anhang A mit den Maßnahmen für Verantwortliche, für Auftragsverarbeiter und für beide.
Art der Information: Pflichtaufzeichnung Aufzubewahrende dokumentierte Information (6.1.2 und 8.2)
Wer sie ausfüllt: PIMS-Verantwortlicher, gemeinsam mit den Eigentümern der Verarbeitungen Der Datenschutzbeauftragte berät; der Eigentümer akzeptiert das Restrisiko
Wann: In geplanten Abständen und bei wesentlichen Änderungen Üblich sind eine jährliche Überprüfung und eine weitere bei jeder neuen Verarbeitung oder jedem neuen System
Wie lange sie aufbewahrt wird: Legt die Organisation fest Weder die Norm noch die DSGVO nennen eine Frist für die Aufzeichnung selbst; der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) verlangt, die gewählte Frist zu begründen.

Was die Norm verlangt

Was ISO 27701 fordert und was Ihrem Ermessen überlassen bleibt

Die Norm verlangt einen festgelegten Prozess zur Beurteilung von Datenschutzrisiken mit Akzeptanz- und Bewertungskriterien, der konsistente und vergleichbare Ergebnisse liefert, und seine Anwendung, um die Risiken samt Eigentümer zu identifizieren, zu analysieren und zu bewerten. Die Methode – qualitativ, per Matrix, über Szenarien – wählt die Organisation.

Die Beurteilung wird in geplanten Abständen und bei wesentlichen Änderungen wiederholt (8.2); aufzubewahren sind sowohl die Beschreibung des Prozesses als auch die Ergebnisse jeder Beurteilung.

Das Besondere am Datenschutz ist der Blick auf den Schaden für die Personen, nicht nur für das Unternehmen. Die DSGVO zielt in dieselbe Richtung, wenn sie dem Risiko für die Rechte und Freiheiten angemessene Maßnahmen verlangt (Art. 24 und 32).

Im Zusammenhang lesen: Datenschutzrisiken und Planung, in der Akademie zu ISO 27701

Aufbau

Felder, die die Vorlage enthalten sollte

Beurteilte Verarbeitung oder beurteilter Wert
Risikoszenario: was passieren kann und warum
Folgen für die betroffenen Personen und für die Organisation
Wahrscheinlichkeit und Ausmaß der Auswirkung gemäß den Kriterien
Resultierendes Risikoniveau und Abgleich mit dem Akzeptanzkriterium
Risikoeigentümer
Behandlungsoption und zugehörige Maßnahmen aus Anhang A
Restrisiko und Akzeptanz durch den Eigentümer
Datum der Beurteilung und nächste Überprüfung

Beispiel

Beispiel: Risiko im Patientenportal einer fiktiven Klinik

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Verarbeitung	VVT-02 · Termine und Befunde im Patientenportal · Klinik am Auwald (fiktiv)
Szenario	Zugriff Dritter auf Laborbefunde infolge wiederverwendeter Passwörter
Folgen	Offenlegung von Gesundheitsdaten: hoher Schaden für den Patienten; Meldung einer Datenschutzverletzung und Vertrauensverlust
Bewertung	Wahrscheinlichkeit mittel × Auswirkung hoch = Risiko hoch (Akzeptanzkriterium: mittel)
Eigentümer	Ärztliche Leitung
Behandlung	Mindern: verpflichtende Zwei-Faktor-Authentifizierung und Benachrichtigung über Anmeldungen per E-Mail
Restrisiko	Niedrig · Von der ärztlichen Leitung am 9. April 2026 akzeptiert
Überprüfung	April 2027 oder früher, falls sich das Portal ändert

Im Audit

Fehler, die Auditoren häufig feststellen

Die Sicherheitsbeurteilung nach ISO 27001 wird übernommen, ohne die Auswirkung auf die Personen zu bewerten.
Die Akzeptanzkriterien sind nicht schriftlich festgelegt, und jeder Bewerter vergibt Punkte nach eigenem Ermessen.
Außerhalb der IT-Abteilung hat kein Risiko einen Eigentümer.
Die Beurteilung wurde nach Einbindung eines Cloud-Anbieters, der Gesundheitsdaten verarbeitet, nicht wiederholt.
Das Restrisiko hat niemand mit entsprechender Befugnis akzeptiert.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Die Risiken werden in der Risikomatrix mit Eigentümer, Bewertung und Behandlung erfasst.
2Jedes Risiko ist mit der Verarbeitung im Verarbeitungsverzeichnis und mit den Maßnahmen der Erklärung zur Anwendbarkeit verknüpft.
3Die regelmäßige Überprüfung ist mit Fälligkeitserinnerung eingeplant.
4Zugehörige Datenschutzverletzungen und Nichtkonformitäten fließen in die Risikolandkarte ein.

Häufige Fragen

Was man uns vor dem Start fragt

Ist das dasselbe wie die Datenschutz-Folgenabschätzung der DSGVO?

Nein. Die Risikobeurteilung umfasst alle Verarbeitungen im Anwendungsbereich und speist das System; die Folgenabschätzung nach Artikel 35 ist eine vertiefte Analyse, die nur Pflicht ist, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt. Die erste zeigt meist an, wann die zweite nötig ist.

Lässt sie sich mit der von ISO 27001 kombinieren?

Ja, mit einer gemeinsamen Methodik und Kriterien, die um die Bewertung des Schadens für die Personen erweitert sind. Unzulässig ist die Annahme, ein für das Unternehmen geringes Sicherheitsrisiko sei auch für die betroffene Person gering.

Führen Sie die Aufzeichnungen zu ISO 27701 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken