Vorlagen und Aufzeichnungen · ISO 27701 · Abschnitt A.1 y A.2
Vorlage für den Auftragsverarbeitungsvertrag nach ISO 27701
Jeder Dienstleister, der im Auftrag des Unternehmens Daten verarbeitet, braucht einen Vertrag mit gesetzlich festgelegtem Mindestinhalt. Das Datenschutzsystem kontrolliert, dass er existiert und eingehalten wird.
In einem Satz
Der Auftragsverarbeitungsvertrag legt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten von Daten und betroffenen Personen sowie die Pflichten des Auftragsverarbeiters fest – dokumentierte Weisungen, Vertraulichkeit, Sicherheit, Unterauftragsverarbeiter, Unterstützung bei Betroffenenrechten und Datenschutzverletzungen, Rückgabe oder Löschung am Ende und Überprüfungen –, weil Artikel 28 Absatz 3 DSGVO dies verlangt; ISO/IEC 27701 bildet diese Vereinbarungen in den Tabellen A.1 und A.2 ab, aus Sicht des Verantwortlichen und des Auftragsverarbeiters.
- Wo die Norm es verlangt
- ISO 27701 · Abschnitt A.1 y A.2 Zitiert wird die Ausgabe 2025: Die Nummern 4 bis 10 sind Kapitel; A.1, A.2 und A.3 sind die Tabellen in Anhang A mit den Maßnahmen für Verantwortliche, für Auftragsverarbeiter und für beide.
- Art der Information
- Pflichtdokument Gültig zu haltendes Dokument (Art. 28 Abs. 3 DSGVO; Tabellen A.1 und A.2)
- Wer sie ausfüllt
- Der Einkauf oder der beauftragende Bereich, gemeinsam mit dem Datenschutzbeauftragten Der PIMS-Verantwortliche prüft, dass kein Auftragsverarbeiter ohne Vertrag Daten verarbeitet
- Wann
- Bevor der Dienstleister Daten erhält Überprüft wird er bei Verlängerung, bei Änderung der Leistung oder bei Ankündigung neuer Unterauftragsverarbeiter
- Wie lange sie aufbewahrt wird
- Für die Dauer der Leistung und darüber hinaus Legt die Organisation anhand der Verjährungsfristen möglicher Haftungsansprüche fest
Was die Norm verlangt
Was ISO 27701 fordert und was Ihrem Ermessen überlassen bleibt
Die Norm verlangt vom Verantwortlichen, Auftragsverarbeiter mit hinreichenden Garantien auszuwählen und mit ihnen einen Vertrag zu schließen, der die notwendigen Maßnahmen abdeckt. Vom Auftragsverarbeiter verlangt sie, die Daten nur nach Weisung des Kunden zu verarbeiten, ihn zu informieren, wenn er eine Weisung für rechtswidrig hält, und seine Unterauftragsverarbeiter zu kontrollieren.
Artikel 28 Absatz 3 zählt den Mindestinhalt des Vertrags auf. Absatz 2 untersagt, ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung einen weiteren Auftragsverarbeiter hinzuzuziehen; bei allgemeiner Genehmigung muss der Auftragsverarbeiter Änderungen ankündigen, damit der Verantwortliche Einspruch erheben kann.
Der Vertrag wird nicht abgelegt und vergessen: Der Verantwortliche muss seine Einhaltung prüfen können, und der Vertrag muss ihm Überprüfungen und Inspektionen ermöglichen (Art. 28 Abs. 3 lit. h).
Aufbau
Felder, die die Vorlage enthalten sollte
- Gegenstand, Dauer, Art und Zweck der Verarbeitung
- Arten personenbezogener Daten und Kategorien betroffener Personen
- Verarbeitung nur auf dokumentierte Weisung
- Vertraulichkeit des Personals des Auftragsverarbeiters
- Sicherheitsmaßnahmen nach Art. 32 DSGVO
- Regelung zu Unterauftragsverarbeitern und Genehmigung
- Unterstützung bei Betroffenenrechten, Datenschutzverletzungen und Folgenabschätzungen
- Rückgabe oder Löschung der Daten bei Vertragsende
- Informationen und Überprüfungen zugunsten des Verantwortlichen
- Übermittlungen in Drittländer, sofern vorhanden
Beispiel
Beispiel: externes Lohnbüro eines fiktiven Unternehmens
Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.
| Feld | Inhalt |
|---|---|
| Vertrag | EN-2026-03 · Werkstätten Nordring GmbH (Verantwortlicher) und Lohnbüro Bergmann (Auftragsverarbeiter), beide fiktiv |
| Gegenstand | Erstellung der Lohnabrechnungen sowie An- und Abmeldungen bei der Sozialversicherung · Laufzeit ein Jahr mit Verlängerungsoption |
| Daten und Betroffene | Identifikations-, Bank- und Vergütungsdaten von 86 Beschäftigten |
| Unterauftragsverarbeiter | Allgemeine Genehmigung; Ankündigung 30 Tage vorab mit Einspruchsmöglichkeit · Aktuell: Anbieter der Lohnabrechnungssoftware mit Servern in der EU |
| Datenschutzverletzungen | Information des Verantwortlichen binnen 24 Stunden, nachdem das Lohnbüro Kenntnis erlangt hat |
| Vertragsende | Rückgabe in einem Standardformat und zertifizierte Löschung binnen 30 Tagen |
| Überprüfung | Jährlicher Sicherheitsfragebogen · Zuletzt: Februar 2026, ohne Feststellungen |
Im Audit
Fehler, die Auditoren häufig feststellen
- Dienstleister mit Datenzugriff ohne Vertrag, weil sie „nur Support leisten“.
- Generische Verträge, die weder die Daten noch die betroffenen Personen beschreiben.
- Niemand weiß, wer die Unterauftragsverarbeiter des Cloud-Anbieters sind.
- Der Vertrag sieht Überprüfungen vor, doch der Auftragsverarbeiter wird nie kontrolliert.
In Kimobox
So wird diese Aufzeichnung in Kimobox geführt
- 1Auftragsverarbeiter werden im Lieferantenportal mit ihrem Vertrag und dessen Ablaufdatum geführt.
- 2Das System warnt, bevor ein Vertrag oder eine Überprüfung abläuft.
- 3Das Verarbeitungsverzeichnis verknüpft jeden Empfänger mit seinem Vertrag.
- 4Die regelmäßigen Überprüfungen werden als Lieferantenbewertungen dokumentiert.
Häufige Fragen
Was man uns vor dem Start fragt
Reicht es, die Bedingungen des Dienstleisters zu akzeptieren?
Es kann reichen, wenn sie den gesamten Inhalt von Artikel 28 Absatz 3 abdecken und schriftlich vorliegen. Man muss sie lesen: Viele lassen die Regelung zu Unterauftragsverarbeitern oder die Löschung am Ende weg.
Was bringt ein nach ISO 27701 zertifizierter Auftragsverarbeiter?
Er liefert den Nachweis, dass sein Datenschutzsystem auditiert wurde, was den Nachweis hinreichender Garantien erleichtert. Den Vertrag und die Überprüfung durch den Verantwortlichen ersetzt das nicht.
Führen Sie die Aufzeichnungen zu ISO 27701 ohne verstreute Vorlagen
Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.
Weiter entdecken
Verwandte Seiten
Datenschutzverletzungen und Auftragsverarbeiter
Der letzte Baustein umfasst zwei kritische Pflichten: Datenschutzverletzungen fristgerecht melden und…
Maßnahmen für Verantwortliche und Auftragsverarbeiter
Anhang A bündelt die Referenzmaßnahmen des PIMS für Verantwortliche und Auftragsverarbeiter; Anhang B…
Vorlage für das Verzeichnis von Verarbeitungstätigkeiten nach ISO 27701
Was das Verzeichnis von Verarbeitungstätigkeiten in einem PIMS nach ISO 27701 und Art. 30 DSGVO enthält…
Vorlage für das Inventar personenbezogener Daten nach ISO 27701
Inventar personenbezogener Daten für ein PIMS nach ISO 27701: wo die Daten liegen, in welchen Systemen, wer…
Quellen
Woher jede Angabe stammt
Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.
- Verordnung (EU) 2016/679, Datenschutz-Grundverordnung EUR-Lex · 27. April 2016; anwendbar seit dem 25. Mai 2018
- ISO/IEC 27701:2025 — Datenschutz-Informationsmanagementsysteme. Anforderungen und Leitlinien ISO/IEC · Zweite Ausgabe, Oktober 2025