Vorlagen und Aufzeichnungen · ISO 27701 · Abschnitt A.1

Vorlage für den Einwilligungsnachweis nach ISO 27701

Der Beleg, dass jede Person zugestimmt hat, wozu und wann – und dass ihr Widerruf beachtet wurde. Ohne Aufzeichnung lässt sich die Einwilligung nicht nachweisen.

In einem Satz

Der Einwilligungsnachweis hält für jede betroffene Person Zeitpunkt, Weg, akzeptierten Zweck, Version des Informationstextes und einen etwaigen Widerruf fest, weil Artikel 7 Absatz 1 DSGVO den Verantwortlichen verpflichtet, die Einwilligung nachweisen zu können, wenn sie die Grundlage der Verarbeitung ist, und ISO/IEC 27701 ihre Einholung und Aufzeichnung unter den Maßnahmen der Tabelle A.1 aufführt.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27701 · Abschnitt A.1 Zitiert wird die Ausgabe 2025: Die Nummern 4 bis 10 sind Kapitel; A.1, A.2 und A.3 sind die Tabellen in Anhang A mit den Maßnahmen für Verantwortliche, für Auftragsverarbeiter und für beide.
Art der Information: Pflichtaufzeichnung Aufzubewahrende Aufzeichnung, wenn die Verarbeitung auf einer Einwilligung beruht (Art. 7 Abs. 1 DSGVO; Tabelle A.1)
Wer sie ausfüllt: Das System, das die Einwilligung erfasst Das Marketing oder der anfragende Bereich steht für die Richtigkeit des Textes ein
Wann: Im Moment der Erteilung oder des Widerrufs Automatisch, nicht durch nachträgliche Notiz
Wie lange sie aufbewahrt wird: Solange die Verarbeitung andauert, plus die Frist für den Nachweis Legt die Organisation anhand der Verjährungsfristen möglicher Ansprüche fest

Was die Norm verlangt

Was ISO 27701 fordert und was Ihrem Ermessen überlassen bleibt

Die Norm verlangt vom Verantwortlichen, festzustellen, wann er eine Einwilligung braucht, sie einzuholen und nachweisen zu können. Das gilt nur für Verarbeitungen, deren Rechtsgrundlage die Einwilligung ist: Viele stützen sich auf den Vertrag, eine rechtliche Verpflichtung oder das berechtigte Interesse, und eine unnötig eingeholte Einwilligung stiftet Verwirrung.

Die DSGVO verlangt, dass die Einwilligung freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt wird, dass ihr Widerruf so einfach ist wie ihre Erteilung (Art. 7 Abs. 3) und dass sie, wenn sie in einem Dokument mit anderen Sachverhalten erfragt wird, klar davon zu unterscheiden ist (Art. 7 Abs. 2).

Die Aufzeichnung muss erkennen lassen, welchen Text die Person gesehen hat: Ändert sich die Klausel, ist die Vorversion aufzubewahren.

Im Zusammenhang lesen: Maßnahmen für Verantwortliche und Auftragsverarbeiter, in der Akademie zu ISO 27701

Aufbau

Felder, die die Vorlage enthalten sollte

Identifikation der betroffenen Person
Akzeptierter Zweck oder akzeptierte Zwecke, jeweils getrennt
Datum, Uhrzeit und Kanal
Version des angezeigten Informationstextes
Form der Erklärung: Kontrollkästchen, Unterschrift, eindeutige bestätigende Handlung
Widerruf: Datum und Kanal
Vom Widerruf betroffene Verarbeitungen und Systeme

Beispiel

Beispiel: Werbe-Newsletter eines fiktiven Onlineshops

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Betroffene Person	Kundin Nr. 48213 · Heideladen (fiktiv)
Zweck	Versand eines Newsletters mit Angeboten (Kontrollkästchen getrennt vom Kauf)
Datum und Kanal	14. Februar 2026, 19:42 · Registrierungsformular auf der Website
Text	Datenschutzhinweis v2.1
Widerruf	3. Juli 2026 · Abmeldelink im Newsletter · Abmeldung am selben Tag in der Versandplattform umgesetzt

Im Audit

Fehler, die Auditoren häufig feststellen

Vorab angekreuzte Kontrollkästchen oder eine mit der Annahme der Geschäftsbedingungen gebündelte Einwilligung.
Es wird nicht festgehalten, welche Version der Klausel jede Person akzeptiert hat.
Der Widerruf wird vermerkt, aber der Versanddienstleister schickt weiter E-Mails.
Für Verarbeitungen, die bereits eine andere Rechtsgrundlage haben, wird eine Einwilligung eingeholt.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Die Formulare speichern die Einwilligung mit Datum, Kanal und der Textversion als gelenktem Dokument.
2Der Widerruf startet einen Workflow mit Aufgaben für jedes betroffene System und deren Abschlussdatum.
3Das Audit-Trail dokumentiert, wer was wann geändert hat.

Häufige Fragen

Was man uns vor dem Start fragt

Braucht man für alles eine Einwilligung?

Nein. Sie ist eine der sechs Rechtsgrundlagen des Artikels 6 DSGVO. Stützt sich die Verarbeitung auf den Vertrag oder das Gesetz, gibt es keine Einwilligung zu dokumentieren.

Genügt das Protokoll des E-Mail-Systems?

Wenn es festhält, wer, wann, wofür und mit welchem Text eingewilligt hat, und auch den Widerruf, kann es genügen. Nicht ausreichend ist eine Adressliste ohne Nachvollziehbarkeit.

Führen Sie die Aufzeichnungen zu ISO 27701 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken