Vorlagen und Aufzeichnungen · ISO 27701 · Abschnitt 4.3 y 6.1.2

Vorlage für das Inventar personenbezogener Daten nach ISO 27701

Die Landkarte, wo personenbezogene Daten liegen: Systeme, Dateien, Kopien und Dienstleister. Ohne sie erfolgen Risikobeurteilung und Bearbeitung eines Löschantrags im Blindflug.

In einem Satz

Das Inventar personenbezogener Daten ordnet jeder Datenkategorie die Systeme, Speicherorte, Kopien und Dienstleister zu, in denen sie gespeichert ist, sowie die Personen, die darauf zugreifen dürfen; ISO/IEC 27701 benennt es nicht als eigene Aufzeichnung, doch es ist die praktische Grundlage, um den Anwendungsbereich abzugrenzen (4.3), Datenschutzrisiken zu beurteilen (6.1.2) und die Daten einer betroffenen Person zu finden, wenn sie ein Recht ausübt.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27701 · Abschnitt 4.3 y 6.1.2 Zitiert wird die Ausgabe 2025: Die Nummern 4 bis 10 sind Kapitel; A.1, A.2 und A.3 sind die Tabellen in Anhang A mit den Maßnahmen für Verantwortliche, für Auftragsverarbeiter und für beide.
Art der Information: Bewährte Praxis Bewährte Praxis zur Unterstützung der Abschnitte 4.3 und 6.1.2
Wer sie ausfüllt: Die IT, gemeinsam mit den Verantwortlichen der einzelnen Verarbeitungen Die IT weiß, wo die Daten liegen; die Fachabteilung weiß, wofür
Wann: Bei der Festlegung des Anwendungsbereichs und bei jeder Systemänderung Es wird zusammen mit der Risikobeurteilung überprüft
Wie lange sie aufbewahrt wird: Solange die Verarbeitung besteht Ein lebendes Dokument: Es wird fortgeschrieben, und die Vorversion bleibt erhalten, um jederzeit zeigen zu können, wie es zu einem bestimmten Zeitpunkt aussah.

Was die Norm verlangt

Was ISO 27701 fordert und was Ihrem Ermessen überlassen bleibt

Die Norm verlangt, die Verarbeitungen zu kennen und ihre Risiken zu beurteilen, fordert aber kein Dateninventar unter diesem Namen. Der Auditor erwartet jedoch, dass die Organisation weiß, wo die von ihr verarbeiteten personenbezogenen Daten liegen: Ohne dieses Wissen lässt sich weder eine Zugriffskontrolle noch eine Löschfrist begründen.

Viele Organisationen integrieren es in das Inventar der Werte nach ISO/IEC 27001 und ergänzen eine Spalte für personenbezogene Daten. Das ist eine tragfähige Lösung, sofern es Datenkategorien unterscheidet und nicht nur Systeme.

Aufnehmen sollte man gerade das, was gern vergessen wird: Datensicherungen, Exporte in Tabellenkalkulationen, gemeinsam genutzte Postfächer und Testumgebungen mit Echtdaten.

Im Zusammenhang lesen: Kontext und Anwendungsbereich des PIMS, in der Akademie zu ISO 27701

Aufbau

Felder, die die Vorlage enthalten sollte

Kategorie personenbezogener Daten
Verarbeitungen aus dem Verarbeitungsverzeichnis, die sie nutzen
System, Anwendung oder Datenträger, auf dem sie gespeichert ist
Physischer Standort oder Region des Anbieters
Datensicherungen und Replikate
Profile mit Zugriff
Beteiligter Dienstleister oder Auftragsverarbeiter
Löschfrist und Löschverfahren
Eigentümer des Werts

Beispiel

Beispiel: Bewerberdaten in einer fiktiven Unternehmensberatung

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Kategorie	Lebensläufe und Kontaktdaten von Bewerbern
Verarbeitung	VVT-07 · Personalauswahl
Speicherort	Beauftragtes Jobportal, Postfach bewerbung@ und gemeinsamer Ordner der Personalabteilung
Kopien	Tägliche Sicherung des gemeinsamen Ordners, 30 Tage aufbewahrt
Zugriff	Drei Recruiterinnen und die Personalleitung
Auftragsverarbeiter	Anbieter des Jobportals, Server in der EU
Löschung	Ein Jahr nach Abschluss des Verfahrens, sofern keine Einwilligung für künftige Stellen vorliegt · Löschung im Portal und im Ordner; das Postfach wird quartalsweise bereinigt
Eigentümer	Personalleitung · Nubaria Consulting GmbH (fiktiv)

Im Audit

Fehler, die Auditoren häufig feststellen

Das Inventar listet Server auf, aber nicht, welche personenbezogenen Daten jeder enthält.
Datensicherungen und Exporte in Tabellenkalkulationen werden vergessen.
Die Testumgebung nutzt Echtdaten und taucht nirgends auf.
Inventar und Verarbeitungsverzeichnis sind nicht verknüpft: zwei Listen, die nicht zusammenpassen.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Die Datenkategorien sind mit dem Inventar der Werte und dem Verarbeitungsverzeichnis verknüpft.
2Jeder Wert hat einen Eigentümer und eine Klassifizierung, seine Überprüfung ist eingeplant.
3Da sich die Daten je betroffener Person lokalisieren lassen, kann eine Betroffenenanfrage ohne manuelle Suche beantwortet werden.

Häufige Fragen

Was man uns vor dem Start fragt

Ist es Pflicht?

Nicht als Dokument unter diesem Namen. Es ist der praktische Weg, das zu erfüllen, was tatsächlich Pflicht ist: den Anwendungsbereich abgrenzen, Risiken beurteilen und die Daten finden, um Rechte zu bedienen und fristgerecht zu löschen.

Kann es dasselbe Inventar der Werte wie bei ISO 27001 sein?

Ja, sofern es die Datenschutzdimension ergänzt: welche Kategorien personenbezogener Daten jeder Wert enthält und für welche Verarbeitungen.

Führen Sie die Aufzeichnungen zu ISO 27701 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken