Vorlagen und Aufzeichnungen · ISO 27701 · Abschnitt A.1

Vorlage für das Protokoll der Betroffenenanfragen nach ISO 27701

Sobald jemand seine Daten sehen, berichtigen oder löschen lassen will, läuft eine Frist. Das Protokoll belegt, dass rechtzeitig und mit der richtigen Antwort reagiert wurde.

In einem Satz

Das Protokoll der Betroffenenanfragen erfasst jeden Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch mit Eingangsdatum, Identitätsprüfung, ergriffenen Maßnahmen und Antwortdatum, weil Artikel 12 Absatz 3 DSGVO für die Antwort einen Monat vorsieht, verlängerbar um weitere zwei Monate, und ISO/IEC 27701 die Bearbeitung dieser Anträge unter den Maßnahmen für den Verantwortlichen in Tabelle A.1 führt.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27701 · Abschnitt A.1 Zitiert wird die Ausgabe 2025: Die Nummern 4 bis 10 sind Kapitel; A.1, A.2 und A.3 sind die Tabellen in Anhang A mit den Maßnahmen für Verantwortliche, für Auftragsverarbeiter und für beide.
Art der Information: Pflichtaufzeichnung Als Nachweis der Maßnahme aufzubewahrende Aufzeichnung (Tabelle A.1; Art. 12 und 15 bis 22 DSGVO)
Wer sie ausfüllt: Wer den Antrag entgegennimmt, und der PIMS-Verantwortliche Kundenservice oder Personalabteilung erfassen ihn; der Datenschutzbeauftragte prüft Zweifelsfälle
Wann: Am Tag des Eingangs Die Frist läuft ab Eingang, nicht ab dem Moment, in dem jemand den Antrag liest
Wie lange sie aufbewahrt wird: Legt die Organisation fest Weder die Norm noch die DSGVO nennen eine Frist für die Aufzeichnung selbst; der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) verlangt, die gewählte Frist zu begründen.

Was die Norm verlangt

Was ISO 27701 fordert und was Ihrem Ermessen überlassen bleibt

Die Norm verlangt vom Verantwortlichen, seine Pflichten gegenüber den betroffenen Personen und den Umgang mit ihren Anträgen festzulegen und zu dokumentieren: Auskunft, Berichtigung, Löschung, Widerspruch und die übrigen. Der Auftragsverarbeiter wiederum muss seinen Kunden bei der Bearbeitung unterstützen (Tabelle A.2 und Art. 28 Abs. 3 lit. e DSGVO).

Die DSGVO setzt einen Monat ab Eingang, verlängerbar um weitere zwei Monate, wenn Komplexität oder Anzahl es rechtfertigen, wobei die betroffene Person innerhalb des ersten Monats über die Verlängerung zu unterrichten ist (Art. 12 Abs. 3). Wird nicht tätig geworden, sind die Gründe und die Möglichkeit einer Beschwerde bei der Aufsichtsbehörde mitzuteilen (Art. 12 Abs. 4).

Weder Norm noch Verordnung verlangen ein Protokoll unter diesem Namen, doch ohne es lassen sich die Fristen nicht nachweisen, und der Auditor wird eine Stichprobe anfordern.

Im Zusammenhang lesen: Maßnahmen für Verantwortliche und Auftragsverarbeiter, in der Akademie zu ISO 27701

Aufbau

Felder, die die Vorlage enthalten sollte

Nummer, Eingangsdatum und Kanal
Ausgeübtes Recht
Betroffene Person und Prüfung ihrer Identität
Betroffene Verarbeitungen und Systeme
Fristende und gegebenenfalls mitgeteilte Verlängerung
Ergriffene Maßnahmen, einschließlich Mitteilung an Empfänger (Art. 19 DSGVO)
Versandte Antwort und Datum
Begründete Ablehnung, falls zutreffend
Beteiligter Auftragsverarbeiter und seine Rückmeldung

Beispiel

Beispiel: Löschantrag in einem fiktiven Fitnessstudio

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Nummer und Datum	BA-2026-019 · 2. Juni 2026 · E-Mail an datenschutz@
Recht	Löschung nach Kündigung der Mitgliedschaft
Prüfung	Übereinstimmung mit der hinterlegten E-Mail-Adresse und der Mitgliedsnummer
Systeme	Mitgliederverwaltung, Buchungs-App, Newsletter-Plattform
Fristende	2. Juli 2026
Maßnahmen	Löschung in Buchungs-App und Newsletter; in der Mitgliederverwaltung werden die Rechnungsdaten wegen steuerlicher Aufbewahrungspflicht gesperrt
Antwort	18. Juni 2026 · Erläutert Gelöschtes und Gesperrtes mit der jeweiligen Rechtsgrundlage · Club Lindenallee (fiktiv)

Im Audit

Fehler, die Auditoren häufig feststellen

Anträge gehen in verschiedenen Postfächern ein, und niemand überwacht die Frist.
Für ein einfaches Recht werden unverhältnismäßige Identitätsnachweise verlangt.
Im Hauptsystem wird gelöscht, Kopien, Newsletter und Auftragsverarbeiter werden vergessen.
Die Ablehnung nennt keinen Grund und weist nicht auf das Beschwerderecht hin.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Jeder Antrag wird in einem Formular mit Eingangsdatum und berechneter Frist erfasst.
2Das System warnt vor Fristablauf und eskaliert, wenn niemand antwortet.
3Die Lokalisierung der Daten je betroffener Person zeigt die Systeme, in denen zu handeln ist.
4Die Antwort wird mit dem Antrag und seinen Nachweisen gespeichert.

Häufige Fragen

Was man uns vor dem Start fragt

Welche Frist gilt für die Antwort?

Ein Monat ab Eingang, verlängerbar um weitere zwei, wenn Komplexität oder Anzahl der Anträge es rechtfertigen; die betroffene Person ist innerhalb des ersten Monats zu informieren (Art. 12 Abs. 3 DSGVO).

Darf man dafür Geld verlangen?

Grundsätzlich nicht. Nur bei offenkundig unbegründeten oder exzessiven Anträgen ist ein angemessenes Entgelt oder eine Weigerung möglich, und die Beweislast trägt der Verantwortliche (Art. 12 Abs. 5 DSGVO).

Führen Sie die Aufzeichnungen zu ISO 27701 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken