Vorlagen und Aufzeichnungen · ISO 27701 · Abschnitt A.3

Vorlage für das Protokoll von Datenschutzverletzungen nach ISO 27701

Jede Verletzung des Schutzes personenbezogener Daten wird dokumentiert, ob gemeldet oder nicht. Das Protokoll belegt, dass sie rechtzeitig bewertet und die Entscheidung begründet wurde.

In einem Satz

Das Protokoll von Datenschutzverletzungen dokumentiert jede Sicherheitsverletzung mit Bezug zu personenbezogenen Daten mit ihren Fakten, Auswirkungen und Abhilfemaßnahmen sowie die begründete Entscheidung, ob die Aufsichtsbehörde binnen 72 Stunden benachrichtigt wird oder nicht, weil Artikel 33 Absatz 5 DSGVO die Dokumentation aller Verletzungen vorschreibt und ISO/IEC 27701 ihre Behandlung in die gemeinsamen Maßnahmen der Tabelle A.3 einbindet.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27701 · Abschnitt A.3 Zitiert wird die Ausgabe 2025: Die Nummern 4 bis 10 sind Kapitel; A.1, A.2 und A.3 sind die Tabellen in Anhang A mit den Maßnahmen für Verantwortliche, für Auftragsverarbeiter und für beide.
Art der Information: Pflichtaufzeichnung Aufzubewahrende Aufzeichnung (Art. 33 Abs. 5 DSGVO; Maßnahmen zum Vorfallmanagement in Tabelle A.3)
Wer sie ausfüllt: PIMS-Verantwortlicher, gemeinsam mit IT und Datenschutzbeauftragtem Wer die Verletzung entdeckt, meldet sie sofort über den festgelegten Kanal
Wann: Ab dem ersten Hinweis Die 72-Stunden-Frist beginnt, sobald die Verletzung bekannt ist
Wie lange sie aufbewahrt wird: Legt die Organisation fest Weder die Norm noch die DSGVO nennen eine Frist für die Aufzeichnung selbst; der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) verlangt, die gewählte Frist zu begründen.

Was die Norm verlangt

Was ISO 27701 fordert und was Ihrem Ermessen überlassen bleibt

Die Norm verlangt, Sicherheitsvorfälle mit ihrer Datenschutzdimension zu behandeln: erkennen, ob personenbezogene Daten betroffen sind, die Folgen für die Personen bewerten und die Meldepflichten erfüllen. Der Auftragsverarbeiter muss seinen Kunden unverzüglich informieren (Art. 33 Abs. 2 DSGVO).

Der Verantwortliche meldet die Verletzung unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten (Art. 33 Abs. 1). Bei hohem Risiko werden auch die betroffenen Personen benachrichtigt (Art. 34).

Artikel 33 Absatz 5 verlangt, jede Verletzung zu dokumentieren – Fakten, Auswirkungen und Abhilfemaßnahmen –, auch die nicht gemeldeten. Anhand dieser Dokumentation kann die Aufsichtsbehörde die Einhaltung überprüfen.

Im Zusammenhang lesen: Maßnahmen für Verantwortliche und Auftragsverarbeiter, in der Akademie zu ISO 27701

Aufbau

Felder, die die Vorlage enthalten sollte

Nummer, Datum und Uhrzeit der Entdeckung und der Kenntnisnahme
Beschreibung des Geschehens und Art: Vertraulichkeit, Integrität oder Verfügbarkeit
Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze
Wahrscheinliche Folgen für die Personen
Ergriffene und vorgeschlagene Maßnahmen zur Abmilderung der Folgen
Risikobewertung und Meldeentscheidung mit Begründung
Datum der Meldung an die Aufsichtsbehörde und Aktenzeichen
Benachrichtigung der betroffenen Personen, falls erforderlich
Eröffnete Nichtkonformität oder Korrekturmaßnahme

Beispiel

Beispiel: E-Mail mit offenen Empfängeradressen in einer fiktiven Sprachschule

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Nummer und Datum	DV-2026-004 · 10. März 2026, 11:20 Uhr (Kenntnisnahme um 11:45 Uhr)
Beschreibung	Versand an 312 Teilnehmende mit den Adressen im Feld „An“ · Vertraulichkeit
Betroffene Daten	E-Mail-Adressen von 312 erwachsenen Teilnehmenden
Folgen	Offenlegung der Adressen unter den Teilnehmenden; keine sensiblen Daten
Maßnahmen	Entschuldigungsmail mit der Bitte, die Nachricht zu löschen; Massenversand künftig nur über die Newsletter-Plattform
Entscheidung	Keine Meldung: Risiko für die Rechte und Freiheiten unwahrscheinlich · Begründung des DSB abgelegt
Maßnahme	NK-2026-011 eröffnet, um Sendungen an mehr als 20 Empfänger aus dem persönlichen Postfach zu sperren · Akademie Lumen (fiktiv)

Im Audit

Fehler, die Auditoren häufig feststellen

Nur die gemeldeten Verletzungen werden erfasst.
Der Zeitpunkt der Kenntnisnahme ist nicht vermerkt, sodass sich die Frist nicht nachweisen lässt.
Die Entscheidung, nicht zu melden, hat keine schriftliche Begründung.
Der Vertrag mit dem Auftragsverarbeiter legt nicht fest, wie und wann er informieren muss.
Die Verletzung wird ohne Korrekturmaßnahme geschlossen, obwohl sie eine nicht funktionierende Maßnahme offenbart.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Datenschutzverletzungen werden als Vorfälle mit Klassifizierung und Zeitpunkt der Kenntnisnahme erfasst.
2Das System zeigt die verbleibende Zeit bis zum Ablauf der 72 Stunden an und benachrichtigt die Verantwortlichen.
3Die Meldeentscheidung steht mit ihrer Begründung im selben Datensatz.
4Aus der Verletzung heraus wird die Nichtkonformität mit verpflichtender Grundursache eröffnet.

Häufige Fragen

Was man uns vor dem Start fragt

Müssen alle Verletzungen gemeldet werden?

Nein. Gemeldet werden diejenigen, die voraussichtlich zu einem Risiko für die Rechte und Freiheiten führen; dokumentiert werden aber alle (Art. 33 Abs. 5 DSGVO).

Was, wenn die 72 Stunden nicht eingehalten werden?

Gemeldet wird trotzdem, mit einer Begründung für die Verzögerung (Art. 33 Abs. 1). Sind die Informationen unvollständig, können sie schrittweise bereitgestellt werden (Art. 33 Abs. 4).

Führen Sie die Aufzeichnungen zu ISO 27701 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken