Datenschutz-Risikobeurteilung (6.1.2)
Das Risiko wird an den Personen gemessen, deren Daten verarbeitet werden, nicht nur am Unternehmen: Ein Abfluss von Gesundheitsdaten wiegt anders als der eines Geschäftskontaktverzeichnisses. Die Methode ist frei wählbar, muss aber bei Wiederholung konsistente und vergleichbare Ergebnisse liefern.
Behandlung und Erklärung zur Anwendbarkeit (6.1.3)
Für jedes Risiko werden Maßnahmen ausgewählt und mit Anhang A abgeglichen; in einer Erklärung zur Anwendbarkeit wird festgehalten, welche angewendet werden und warum die übrigen ausgeschlossen sind. Ein Auftragsverarbeiter, der nie selbst Daten bei betroffenen Personen erhebt, kann den Ausschluss von Maßnahmen begründen, die für den Verantwortlichen gedacht sind.
Ziele und Änderungen (6.2 und 6.3)
Datenschutzziele müssen messbar sein – etwa der Anteil fristgerecht beantworteter Anfragen – und brauchen Plan, Verantwortlichen und Termin. Änderungen am System werden geplant, nicht improvisiert.
Was Auditoren typischerweise sehen wollen
- Dokumentierte Methodik der Datenschutz-Risikobeurteilung
- Ergebnis der Beurteilung mit einem Eigentümer je Risiko
- Erklärung zur Anwendbarkeit mit Begründung der Ausschlüsse
- Datenschutzziele mit Kennzahl und Plan
So decken Sie die Planung in Kimobox ab
- 1Führen Sie die Risikobeurteilung in der Risikomatrix, mit Eigentümer und Behandlung.
- 2Pflegen Sie die Erklärung zur Anwendbarkeit als gelenktes Dokument, verknüpft mit den Risiken.
- 3Messen Sie die Ziele mit Kennzahlen, die direkt aus den Aufzeichnungen stammen.
Die Erklärung zur Anwendbarkeit lässt sich mit der von ISO 27001 teilen, wenn beide Systeme nebeneinander bestehen.
Vorlagen und Aufzeichnungen zu ISO 27701 aus diesem Kapitel
- Vorlage für die Datenschutz-Risikobeurteilung nach ISO 27701 · Pflichtaufzeichnung
- Vorlage für die Erklärung zur Anwendbarkeit nach ISO 27701 · Pflichtdokument
Woher jede Angabe stammt
Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.
- ISO/IEC 27701:2025 — Datenschutz-Informationsmanagementsysteme. Anforderungen und Leitlinien ISO/IEC · Zweite Ausgabe, Oktober 2025
- ISO/IEC 27701:2019 — Erweiterung zu ISO/IEC 27001 und ISO/IEC 27002 für das Datenschutz-Informationsmanagement ISO/IEC · Erste Ausgabe, August 2019; im Oktober 2025 zurückgezogen
- Verordnung (EU) 2016/679, Datenschutz-Grundverordnung EUR-Lex · 27. April 2016; anwendbar seit dem 25. Mai 2018
- ISO/IEC 27001:2022 — Informationssicherheits-Managementsysteme ISO/IEC · 25. Oktober 2022