Vorlagen und Aufzeichnungen · ISO 27701 · Abschnitt A.1
Vorlage für den Einwilligungsnachweis nach ISO 27701
Der Beleg, dass jede Person zugestimmt hat, wozu und wann – und dass ihr Widerruf beachtet wurde. Ohne Aufzeichnung lässt sich die Einwilligung nicht nachweisen.
In einem Satz
Der Einwilligungsnachweis hält für jede betroffene Person Zeitpunkt, Weg, akzeptierten Zweck, Version des Informationstextes und einen etwaigen Widerruf fest, weil Artikel 7 Absatz 1 DSGVO den Verantwortlichen verpflichtet, die Einwilligung nachweisen zu können, wenn sie die Grundlage der Verarbeitung ist, und ISO/IEC 27701 ihre Einholung und Aufzeichnung unter den Maßnahmen der Tabelle A.1 aufführt.
- Wo die Norm es verlangt
- ISO 27701 · Abschnitt A.1 Zitiert wird die Ausgabe 2025: Die Nummern 4 bis 10 sind Kapitel; A.1, A.2 und A.3 sind die Tabellen in Anhang A mit den Maßnahmen für Verantwortliche, für Auftragsverarbeiter und für beide.
- Art der Information
- Pflichtaufzeichnung Aufzubewahrende Aufzeichnung, wenn die Verarbeitung auf einer Einwilligung beruht (Art. 7 Abs. 1 DSGVO; Tabelle A.1)
- Wer sie ausfüllt
- Das System, das die Einwilligung erfasst Das Marketing oder der anfragende Bereich steht für die Richtigkeit des Textes ein
- Wann
- Im Moment der Erteilung oder des Widerrufs Automatisch, nicht durch nachträgliche Notiz
- Wie lange sie aufbewahrt wird
- Solange die Verarbeitung andauert, plus die Frist für den Nachweis Legt die Organisation anhand der Verjährungsfristen möglicher Ansprüche fest
Was die Norm verlangt
Was ISO 27701 fordert und was Ihrem Ermessen überlassen bleibt
Die Norm verlangt vom Verantwortlichen, festzustellen, wann er eine Einwilligung braucht, sie einzuholen und nachweisen zu können. Das gilt nur für Verarbeitungen, deren Rechtsgrundlage die Einwilligung ist: Viele stützen sich auf den Vertrag, eine rechtliche Verpflichtung oder das berechtigte Interesse, und eine unnötig eingeholte Einwilligung stiftet Verwirrung.
Die DSGVO verlangt, dass die Einwilligung freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt wird, dass ihr Widerruf so einfach ist wie ihre Erteilung (Art. 7 Abs. 3) und dass sie, wenn sie in einem Dokument mit anderen Sachverhalten erfragt wird, klar davon zu unterscheiden ist (Art. 7 Abs. 2).
Die Aufzeichnung muss erkennen lassen, welchen Text die Person gesehen hat: Ändert sich die Klausel, ist die Vorversion aufzubewahren.
Aufbau
Felder, die die Vorlage enthalten sollte
- Identifikation der betroffenen Person
- Akzeptierter Zweck oder akzeptierte Zwecke, jeweils getrennt
- Datum, Uhrzeit und Kanal
- Version des angezeigten Informationstextes
- Form der Erklärung: Kontrollkästchen, Unterschrift, eindeutige bestätigende Handlung
- Widerruf: Datum und Kanal
- Vom Widerruf betroffene Verarbeitungen und Systeme
Beispiel
Beispiel: Werbe-Newsletter eines fiktiven Onlineshops
Unternehmen, Personen und Zahlen sind erfunden: Das Beispiel zeigt nur, wie eine sauber ausgefüllte Aufzeichnung aussieht.
| Feld | Inhalt |
|---|---|
| Betroffene Person | Kundin Nr. 48213 · Heideladen (fiktiv) |
| Zweck | Versand eines Newsletters mit Angeboten (Kontrollkästchen getrennt vom Kauf) |
| Datum und Kanal | 14. Februar 2026, 19:42 · Registrierungsformular auf der Website |
| Text | Datenschutzhinweis v2.1 |
| Widerruf | 3. Juli 2026 · Abmeldelink im Newsletter · Abmeldung am selben Tag in der Versandplattform umgesetzt |
Im Audit
Fehler, die Auditoren häufig feststellen
- Vorab angekreuzte Kontrollkästchen oder eine mit der Annahme der Geschäftsbedingungen gebündelte Einwilligung.
- Es wird nicht festgehalten, welche Version der Klausel jede Person akzeptiert hat.
- Der Widerruf wird vermerkt, aber der Versanddienstleister schickt weiter E-Mails.
- Für Verarbeitungen, die bereits eine andere Rechtsgrundlage haben, wird eine Einwilligung eingeholt.
In Kimobox
So wird diese Aufzeichnung in Kimobox geführt
- 1Die Formulare speichern die Einwilligung mit Datum, Kanal und der Textversion als gelenktem Dokument.
- 2Der Widerruf startet einen Workflow mit Aufgaben für jedes betroffene System und deren Abschlussdatum.
- 3Das Audit-Trail dokumentiert, wer was wann geändert hat.
Häufige Fragen
Was man uns vor dem Start fragt
Braucht man für alles eine Einwilligung?
Nein. Sie ist eine der sechs Rechtsgrundlagen des Artikels 6 DSGVO. Stützt sich die Verarbeitung auf den Vertrag oder das Gesetz, gibt es keine Einwilligung zu dokumentieren.
Genügt das Protokoll des E-Mail-Systems?
Wenn es festhält, wer, wann, wofür und mit welchem Text eingewilligt hat, und auch den Widerruf, kann es genügen. Nicht ausreichend ist eine Adressliste ohne Nachvollziehbarkeit.
Führen Sie die Aufzeichnungen zu ISO 27701 ohne verstreute Vorlagen
Wir zeigen Ihnen das Modul im Einsatz, mit Daten, die Ihren ähneln.
Weiter entdecken
Verwandte Seiten
Maßnahmen für Verantwortliche und Auftragsverarbeiter
Anhang A bündelt die Referenzmaßnahmen des PIMS für Verantwortliche und Auftragsverarbeiter; Anhang B…
Vorlage für das Verzeichnis von Verarbeitungstätigkeiten nach ISO 27701
Was das Verzeichnis von Verarbeitungstätigkeiten in einem PIMS nach ISO 27701 und Art. 30 DSGVO enthält…
Vorlage für das Inventar personenbezogener Daten nach ISO 27701
Inventar personenbezogener Daten für ein PIMS nach ISO 27701: wo die Daten liegen, in welchen Systemen, wer…
Vorlage für die Datenschutz-Risikobeurteilung nach ISO 27701
So dokumentieren Sie die Datenschutz-Risikobeurteilung nach ISO 27701: Kriterien, Risiko für Personen…
Quellen
Woher jede Angabe stammt
Verweise auf den geltenden amtlichen Text. Wird eine Norm überarbeitet, wird diese Seite aktualisiert und das Revisionsdatum entsprechend angepasst.
- Verordnung (EU) 2016/679, Datenschutz-Grundverordnung EUR-Lex · 27. April 2016; anwendbar seit dem 25. Mai 2018
- ISO/IEC 27701:2025 — Datenschutz-Informationsmanagementsysteme. Anforderungen und Leitlinien ISO/IEC · Zweite Ausgabe, Oktober 2025