Vorlagen und Aufzeichnungen · ISO 27701 · Abschnitt 6.1.3

Vorlage für die Erklärung zur Anwendbarkeit nach ISO 27701

Das Dokument, das der Auditor als Erstes aufschlägt: Es geht alle Maßnahmen aus Anhang A durch und sagt, welche angewendet werden, warum und wie weit sie umgesetzt sind.

In einem Satz

Die Erklärung zur Anwendbarkeit nach ISO/IEC 27701 listet die Maßnahmen aus Anhang A auf, gibt an, welche angewendet und welche mit Begründung ausgeschlossen werden, und nennt den Umsetzungsstand jeder einzelnen, weil Abschnitt 6.1.3 verlangt, die zur Behandlung der Datenschutzrisiken gewählten Maßnahmen mit denen aus Anhang A abzugleichen und diese Entscheidung zu dokumentieren.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27701 · Abschnitt 6.1.3 Zitiert wird die Ausgabe 2025: Die Nummern 4 bis 10 sind Kapitel; A.1, A.2 und A.3 sind die Tabellen in Anhang A mit den Maßnahmen für Verantwortliche, für Auftragsverarbeiter und für beide.
Art der Information: Pflichtdokument Dokument, das aktuell zu halten ist (6.1.3)
Wer sie ausfüllt: PIMS-Verantwortlicher Genehmigt wird sie von der obersten Leitung oder der nach 5.3 befugten Person
Wann: Nach jeder Risikobeurteilung Und immer, wenn sich Anwendungsbereich, Rolle der Organisation oder Maßnahmen ändern
Wie lange sie aufbewahrt wird: Solange die Verarbeitung besteht Ein lebendes Dokument: Es wird fortgeschrieben, und die Vorversion bleibt erhalten, um jederzeit zeigen zu können, wie es zu einem bestimmten Zeitpunkt aussah.

Was die Norm verlangt

Was ISO 27701 fordert und was Ihrem Ermessen überlassen bleibt

Nach der Risikobeurteilung verlangt die Norm, die zur Behandlung nötigen Maßnahmen auszuwählen und sie mit Anhang A abzugleichen, damit keine notwendige fehlt. Die Erklärung zur Anwendbarkeit hält das Ergebnis fest: welche Maßnahmen aufgenommen werden, warum, ob sie umgesetzt sind und warum die übrigen ausgeschlossen werden.

Die Rolle der Organisation fällt stark ins Gewicht: Ein Auftragsverarbeiter kann bei den Verarbeitungen, die er für Kunden durchführt, den Ausschluss der Maßnahmen aus Tabelle A.1 begründen, und ein Verantwortlicher ohne Auftragsverarbeiter wird aus Tabelle A.2 wenig anzuwenden haben. Der Ausschluss muss begründet, nicht unterstellt werden.

Hat die Organisation auch ISO/IEC 27001, kann sie zwei Erklärungen oder eine integrierte führen; widersprechen dürfen sie sich nicht.

Im Zusammenhang lesen: Datenschutzrisiken und Planung, in der Akademie zu ISO 27701

Aufbau

Felder, die die Vorlage enthalten sollte

Kennung und Bezeichnung jeder Maßnahme aus Anhang A
Zugehörige Tabelle: A.1, A.2 oder A.3
Anwendbar oder nicht anwendbar
Begründung der Aufnahme: Risiko, gesetzliche oder vertragliche Anforderung
Begründung des Ausschlusses
Umsetzungsstand
Zugehöriger Nachweis oder zugehörige Aufzeichnung
Verantwortlicher für die Maßnahme
Version, Datum und Genehmigung

Beispiel

Beispiel: drei Zeilen aus der Erklärung eines fiktiven Anbieters von Lohnabrechnungssoftware

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Organisation	Lohnwolke Cloud GmbH (fiktiv) · Auftragsverarbeiter für ihre Kunden und Verantwortlicher für die eigene Belegschaft
Maßnahme zur Einwilligung (A.1)	Nur für den eigenen Werbe-Newsletter anwendbar · Umgesetzt · Nachweis: Einwilligungsnachweis
Maßnahme zur Verarbeitung nach Weisung des Kunden (A.2)	Anwendbar · Umgesetzt · Nachweis: Auftragsverarbeitungsverträge und Verfahren zu Weisungen
Maßnahme zum Vorfallmanagement (A.3)	Anwendbar · Umgesetzt · Nachweis: mit dem ISMS gemeinsam geführtes Verzeichnis der Datenschutzverletzungen
Beispiel für einen Ausschluss	Maßnahmen aus A.1 zur Information der betroffenen Personen bei den Lohndaten der Kunden: nicht anwendbar, Verantwortlicher ist der Kunde
Version	v3 · 2. Mai 2026 · Genehmigt von der Geschäftsführung

Im Audit

Fehler, die Auditoren häufig feststellen

Ganze Maßnahmenblöcke werden mit dem Vermerk „nicht anwendbar“ ohne Begründung ausgeschlossen.
Die Erklärung passt nicht zur Risikobeurteilung: angewendete Maßnahmen ohne zugehöriges Risiko und Risiken ohne Maßnahme.
Nach dem Übergang folgt sie weiterhin der Nummerierung der Ausgabe 2019.
Eine Maßnahme wird als umgesetzt markiert, ohne dass sich irgendein Nachweis vorlegen lässt.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Die Maßnahmen aus Anhang A werden als versionierte Tabelle mit Status und Verantwortlichem geladen.
2Jede Maßnahme ist mit den Risiken, die sie behandelt, und der Aufzeichnung, die sie belegt, verknüpft.
3Die Erklärung ist ein gelenktes Dokument: Jede Version wird genehmigt und datiert.

Häufige Fragen

Was man uns vor dem Start fragt

Lässt sich die Erklärung zur Anwendbarkeit aus ISO 27001 verwenden?

Sie lässt sich integrieren, reicht aber unverändert nicht aus: Anhang A von ISO/IEC 27701 enthält Datenschutzmaßnahmen für Verantwortliche und Auftragsverarbeiter, die in ISO/IEC 27001 nicht vorkommen.

Was passiert, wenn eine notwendige Maßnahme ausgeschlossen wird?

Das ist eine der häufigsten Nichtkonformitäten in der Zertifizierung: Machen das Risiko oder die DSGVO die Maßnahme notwendig, ist der Ausschluss nicht haltbar.

Führen Sie die Aufzeichnungen zu ISO 27701 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken