Ein eigener Maßnahmenanhang
In der Ausgabe von 2019 stützten sich die Maßnahmen auf die von ISO/IEC 27002, ergänzt um Datenschutzaspekte. In der Ausgabe von 2025 ist Anhang A eigenständig: Er gruppiert die Maßnahmen danach, ob sie der Verantwortliche, der Auftragsverarbeiter oder beide anwenden, und nimmt die Sicherheitsmaßnahmen mit direkter Auswirkung auf den Datenschutz auf.
Was sie abdecken
Für den Verantwortlichen: Bedingungen für Erhebung und Verarbeitung – Zweck, Rechtsgrundlage, Einwilligung, Folgenabschätzung –, Pflichten gegenüber den betroffenen Personen, Datenschutz durch Technikgestaltung und Übermittlungen. Für den Auftragsverarbeiter: Vereinbarungen mit dem Kunden, Verarbeitung nur nach dessen Weisung, Unterauftragsverarbeiter und Offenlegungen gegenüber Dritten.
Anhang B und Erklärung zur Anwendbarkeit
Anhang B ist der Umsetzungsleitfaden für jede Maßnahme. Jede Maßnahme aus Anhang A wird in der Erklärung zur Anwendbarkeit (6.1.3) angewendet oder mit Begründung ausgeschlossen: Kein Auditor erwartet, dass ein Auftragsverarbeiter die Maßnahmen des Verantwortlichen anwendet, wohl aber, dass er es begründet.
Was Auditoren typischerweise sehen wollen
- Rolle der Organisation je Verarbeitung festgelegt
- Erklärung zur Anwendbarkeit, die den gesamten Anhang A durchgeht
- Umsetzungsnachweis für jede angewendete Maßnahme
- Begründung jedes Ausschlusses
So decken Sie die Maßnahmen in Kimobox ab
- 1Laden Sie die Maßnahmen aus Anhang A mit ihrem Status in die Erklärung zur Anwendbarkeit.
- 2Verknüpfen Sie jede Maßnahme mit der Aufzeichnung, die sie belegt: Verarbeitungen, Betroffenenrechte, Verträge.
- 3Weisen Sie jeder angewendeten Maßnahme einen Verantwortlichen und einen Überprüfungstermin zu.
Jede Maßnahme aus Anhang A verweist auf die Aufzeichnung, die sie belegt.
Vorlagen und Aufzeichnungen zu ISO 27701 aus diesem Kapitel
- Vorlage für das Verzeichnis von Verarbeitungstätigkeiten nach ISO 27701 · Pflichtdokument
- Vorlage für die Datenschutz-Folgenabschätzung nach ISO 27701 · Pflichtaufzeichnung
- Vorlage für den Einwilligungsnachweis nach ISO 27701 · Pflichtaufzeichnung
- Vorlage für das Protokoll der Betroffenenanfragen nach ISO 27701 · Pflichtaufzeichnung
- Vorlage für das Protokoll von Datenschutzverletzungen nach ISO 27701 · Pflichtaufzeichnung
- Vorlage für den Auftragsverarbeitungsvertrag nach ISO 27701 · Pflichtdokument
Woher jede Angabe stammt
Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.
- ISO/IEC 27701:2025 — Datenschutz-Informationsmanagementsysteme. Anforderungen und Leitlinien ISO/IEC · Zweite Ausgabe, Oktober 2025
- ISO/IEC 27701:2019 — Erweiterung zu ISO/IEC 27001 und ISO/IEC 27002 für das Datenschutz-Informationsmanagement ISO/IEC · Erste Ausgabe, August 2019; im Oktober 2025 zurückgezogen
- Verordnung (EU) 2016/679, Datenschutz-Grundverordnung EUR-Lex · 27. April 2016; anwendbar seit dem 25. Mai 2018
- ISO/IEC 27001:2022 — Informationssicherheits-Managementsysteme ISO/IEC · 25. Oktober 2022