Vorlagen und Aufzeichnungen · ISO 27701 · Abschnitt A.1 y A.2

Vorlage für das Verzeichnis von Verarbeitungstätigkeiten nach ISO 27701

Das Herzstück des Datenschutzsystems: welche Daten verarbeitet werden, wozu, von wem, an wen sie gehen und wie lange sie gespeichert bleiben – Verarbeitung für Verarbeitung.

In einem Satz

Das Verzeichnis von Verarbeitungstätigkeiten beschreibt für jede Verarbeitung Zweck, Kategorien betroffener Personen und Daten, Empfänger, Drittlandübermittlungen, Löschfristen und Sicherheitsmaßnahmen, weil Artikel 30 DSGVO es vom Verantwortlichen und vom Auftragsverarbeiter verlangt und ISO/IEC 27701 es unter den Maßnahmen ihrer Tabellen A.1 und A.2 aufführt.

Inhalt überprüft am 17. Oktober 2026

Wo die Norm es verlangt: ISO 27701 · Abschnitt A.1 y A.2 Zitiert wird die Ausgabe 2025: Die Nummern 4 bis 10 sind Kapitel; A.1, A.2 und A.3 sind die Tabellen in Anhang A mit den Maßnahmen für Verantwortliche, für Auftragsverarbeiter und für beide.
Art der Information: Pflichtdokument Dokument, das aktuell zu halten ist (Art. 30 DSGVO; Maßnahmen der Tabellen A.1 und A.2)
Wer sie ausfüllt: Der Verantwortliche für jede Verarbeitung, gemeinsam mit dem Datenschutzbeauftragten Wer den Prozess kennt, beschreibt ihn; der Datenschutzbeauftragte oder der PIMS-Verantwortliche prüft die Vollständigkeit
Wann: Vor Beginn einer Verarbeitung und bei jeder Änderung Ein neues Werkzeug, ein neuer Dienstleister oder ein neuer Zweck erfordern eine Überprüfung
Wie lange sie aufbewahrt wird: Solange die Verarbeitung besteht Ein lebendes Dokument: Es wird fortgeschrieben, und die Vorversion bleibt erhalten, um jederzeit zeigen zu können, wie es zu einem bestimmten Zeitpunkt aussah.

Was die Norm verlangt

Was ISO 27701 fordert und was Ihrem Ermessen überlassen bleibt

Die Norm verlangt von Verantwortlichem und Auftragsverarbeiter, ein Verzeichnis ihrer Verarbeitungen zu führen, so detailliert, dass sie diese steuern und nachweisen können. Eine Vorlage gibt sie nicht vor: Gefordert ist, dass das Verzeichnis vollständig und aktuell ist und dass es denjenigen bekannt ist, die über die jeweilige Verarbeitung entscheiden.

Die DSGVO legt den Mindestinhalt fest: Artikel 30 Absatz 1 für den Verantwortlichen, Absatz 2 für den Auftragsverarbeiter, der die Kategorien von Verarbeitungen für jeden Kunden erfasst. Das Verzeichnis ist schriftlich zu führen, auch elektronisch, und der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen.

Artikel 30 Absatz 5 befreit Organisationen mit weniger als 250 Beschäftigten, sofern die Verarbeitung kein Risiko birgt, nur gelegentlich erfolgt und keine besonderen Kategorien von Daten umfasst. In der Praxis ist kaum ein Unternehmen mit eigener Belegschaft befreit, denn die Lohnabrechnung erfolgt nicht nur gelegentlich.

Im Zusammenhang lesen: Maßnahmen für Verantwortliche und Auftragsverarbeiter, in der Akademie zu ISO 27701

Aufbau

Felder, die die Vorlage enthalten sollte

Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des Datenschutzbeauftragten
Rolle der Organisation: Verantwortlicher, gemeinsam Verantwortlicher oder Auftragsverarbeiter
Zweck der Verarbeitung und Rechtsgrundlage
Kategorien betroffener Personen und personenbezogener Daten
Kategorien von Empfängern, einschließlich Auftragsverarbeitern
Übermittlungen in Drittländer und angewendete Garantien
Vorgesehene Löschfristen
Allgemeine Beschreibung der Sicherheitsmaßnahmen
Systeme oder Anwendungen, die die Verarbeitung unterstützen
Datum der letzten Überprüfung und wer sie durchgeführt hat

Beispiel

Beispiel: Lohnabrechnung in einem fiktiven Unternehmen

Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.

Feld	Inhalt
Verarbeitung	VVT-04 · Lohnabrechnung · Werkstätten Nordring GmbH (fiktiv)
Rolle	Verantwortlicher
Zweck und Rechtsgrundlage	Zahlung der Gehälter sowie sozialversicherungs- und steuerrechtliche Pflichten · Erfüllung des Arbeitsvertrags und rechtliche Verpflichtung
Betroffene und Daten	86 Beschäftigte · Identifikations-, Bank- und Vergütungsdaten, steuerlich relevanter Familienstand
Empfänger	Externes Lohnbüro (Auftragsverarbeiter, Vertrag EN-2026-03), Sozialversicherungsträger, Finanzverwaltung, Bank
Übermittlungen	Keine
Löschung	Während des Beschäftigungsverhältnisses und danach für die Dauer der geltenden Verjährungsfristen
Maßnahmen	Zugriff auf zwei Personen der Verwaltung beschränkt, Zwei-Faktor-Authentifizierung, verschlüsselte Übermittlung an das Lohnbüro
Überprüfung	12. März 2026 · PIMS-Verantwortlicher

Im Audit

Fehler, die Auditoren häufig feststellen

Das Verzeichnis wurde einmal erstellt und enthält die später eingeführten Werkzeuge nicht.
Als Rechtsgrundlage wird „Einwilligung“ angegeben, wo sich Verarbeitungen im Arbeitsverhältnis auf den Vertrag oder das Gesetz stützen.
Der Auftragsverarbeiter kopiert das Verzeichnis des Verantwortlichen und unterscheidet nicht die Verarbeitungen, die er für jeden einzelnen Kunden durchführt.
Bei den Löschfristen steht „gesetzliche Fristen“, ohne eine einzige zu benennen.
Die im Verzeichnis genannten Auftragsverarbeiter haben keinen gültigen Vertrag.

In Kimobox

So wird diese Aufzeichnung in Kimobox geführt

1Jede Verarbeitung ist ein Eintrag im Verarbeitungsverzeichnis mit ihrem Verantwortlichen und ihrem Überprüfungsdatum.
2Die Aufnahme eines neuen Werkzeugs oder Dienstleisters startet einen Workflow, der die Überprüfung der betroffenen Verarbeitungen erzwingt.
3Die Empfänger sind mit den Lieferanten und ihrem Auftragsverarbeitungsvertrag verknüpft.
4Die Versionshistorie zeigt, wie das Verzeichnis zu jedem beliebigen Datum aussah.

Häufige Fragen

Was man uns vor dem Start fragt

Ist das Verarbeitungsverzeichnis dasselbe wie das Dateninventar?

Nicht ganz. Das Verzeichnis beschreibt Verarbeitungen – wofür die Daten verwendet werden – mit dem in Artikel 30 festgelegten Inhalt. Das Inventar geht eine Ebene tiefer, dorthin, wo die Daten liegen: Systeme, Dateien, Kopien. Das erste ist Pflicht, das zweite eine bewährte Praxis, die die Risikobeurteilung speist.

Muss es veröffentlicht werden?

Die DSGVO verlangt das nicht: Es ist der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. Manche nationalen Gesetze schreiben öffentlichen Stellen die Veröffentlichung vor.

Wie oft wird es überprüft?

Immer, wenn sich eine Verarbeitung ändert, und zusätzlich in einer geplanten regelmäßigen Überprüfung, meist jährlich, die der Auditor der Norm in seiner Stichprobe kontrolliert.

Führen Sie die Aufzeichnungen zu ISO 27701 ohne verstreute Vorlagen

Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.

Demo anfragen

Weiter entdecken