> ISO 27701 Datenschutzmanagement: Verarbeitungsverzeichnis, Betroffenenrechte, DSFA und Datenschutzvorfälle in einem PIMS dokumentieren – passend zur DSGVO. Source: [https://docxpert.io/de/normen/iso-27701](https://docxpert.io/de/normen/iso-27701) # ISO 27701 Datenschutzmanagement mit docxpert ## Was ISO 27701 ist ISO/IEC 27701 beschreibt ein Datenschutz-Informationsmanagementsystem (Privacy Information Management System, PIMS). Es hilft Organisationen, personenbezogene Daten systematisch zu schützen und Datenschutzpflichten – etwa aus der DSGVO – nachweisbar zu erfüllen. Die Norm unterscheidet dabei zwischen **Verantwortlichen** und **Auftragsverarbeitern** und enthält für beide Rollen eigene Maßnahmen. Bis 2025 war ISO 27701 eine Erweiterung von ISO 27001 und setzte ein bestehendes ISMS voraus. Mit der Fassung **ISO/IEC 27701:2025** ist sie eine eigenständige Managementsystemnorm nach der Harmonized Structure geworden. Sie kann damit allein oder gemeinsam mit ISO 27001 zertifiziert werden. Für bestehende Zertifikate gelten Übergangsregeln der Zertifizierungsstellen. ISO 27701 und DSGVO Ein ISO-27701-Zertifikat ist keine Zertifizierung nach Art. 42 DSGVO und ersetzt nicht die eigene Verantwortung. Die Norm strukturiert aber genau die Prozesse, die Aufsichtsbehörden bei einer Prüfung sehen wollen: Verzeichnis, Rechtsgrundlagen, Betroffenenrechte, technische und organisatorische Maßnahmen, Auftragsverarbeitung und Meldung von Datenschutzverletzungen. ## Zentrale Anforderungen | Bereich | Inhalt | DSGVO-Bezug | | --- | --- | --- | | Kontext und Geltungsbereich | Rolle als Verantwortlicher oder Auftragsverarbeiter, betroffene Verarbeitungen | Art. 24, 28 | | Risikobeurteilung | Risiken für Betroffene, nicht nur für die Organisation | Art. 32, 35 | | Verarbeitungsverzeichnis | Zwecke, Kategorien, Empfänger, Fristen | Art. 30 | | Rechtsgrundlagen und Einwilligungen | Bestimmen und dokumentieren, Einwilligungen nachweisen | Art. 6, 7, 9 | | Betroffenenrechte | Auskunft, Berichtigung, Löschung, Widerspruch, Übertragbarkeit | Art. 12–23 | | Privacy by Design und Default | Datenschutz in Entwicklung und Voreinstellungen | Art. 25 | | Auftragsverarbeitung und Übermittlungen | Verträge, Unterauftragnehmer, Drittlandtransfers | Art. 28, 44 ff. | | Datenschutzverletzungen | Erkennen, bewerten, melden, dokumentieren | Art. 33, 34 | ## So unterstützt docxpert Ihr PIMS Vorlagen für den Datenschutz22 Vorlagen sind ISO 27701 zugeordnet, darunter Verzeichnis der Verarbeitungstätigkeiten, Betroffenenrechte mit Datenschutz-Folgenabschätzung und Auftragsverarbeitung sowie Sicherheitsvorfälle und Meldepflichten nach Art. 33 und 34 DSGVO. Gap-AnalyseFür ISO 27701:2025 ist ein Anforderungskatalog hinterlegt. Die [Gap-Analyse](https://docxpert.io/de/features/gap-analysis) zeigt, welche Anforderungen noch nicht belegt sind. Gemeinsam mit ISO 27001Risikobeurteilung, Informationswerte und Vorfallmanagement sind auch [ISO 27001](https://docxpert.io/de/normen/iso-27001) zugeordnet. Datenschutzabschnitte erscheinen, wenn ISO 27701 für Sie gilt. Schulung und SensibilisierungDatenschutzschulungen mit Quiz und Zertifikat über die [Schulungsverwaltung](https://docxpert.io/de/features/training-certification) – inklusive jährlicher Auffrischung. Gelenkte RichtlinienDatenschutzrichtlinien, Löschkonzept und Verfahrensanweisungen werden versioniert, freigegeben und mit [Lesebestätigung](https://docxpert.io/de/features/read-acknowledgement) verteilt. NachvollziehbarkeitDer Audit-Trail dokumentiert jede Änderung – wichtig für die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. ## Verantwortlicher oder Auftragsverarbeiter? Viele Unternehmen sind beides: Verantwortlicher für eigene Beschäftigten- und Kundendaten, Auftragsverarbeiter für Daten, die sie im Auftrag ihrer Kunden verarbeiten. ISO 27701 verlangt, dass Sie Ihre Rolle je Verarbeitung festlegen und die passenden Maßnahmen anwenden. | Thema | Als Verantwortlicher | Als Auftragsverarbeiter | | --- | --- | --- | | Rechtsgrundlage | Selbst bestimmen und dokumentieren | Weisungen des Kunden befolgen | | Betroffenenrechte | Anfragen bearbeiten und beantworten | Kunden bei der Bearbeitung unterstützen | | Unterauftragnehmer | Auftragsverarbeiter auswählen und vertraglich binden | Unterauftragnehmer nur mit Genehmigung einsetzen | | Datenschutzverletzung | Innerhalb von 72 Stunden an die Aufsichtsbehörde melden | Den Verantwortlichen unverzüglich informieren | ## Schritt für Schritt zum PIMS 1. 1 Verarbeitungen erfassen Das Verarbeitungsverzeichnis ist die Basis: Welche Daten werden wofür, auf welcher Rechtsgrundlage und wie lange verarbeitet? 2. 2 Rollen und Geltungsbereich festlegen Je Verarbeitung klären, ob Sie Verantwortlicher oder Auftragsverarbeiter sind. 3. 3 Risiken für Betroffene bewerten Risikobeurteilung um die Sicht der Betroffenen erweitern; bei hohem Risiko eine Datenschutz-Folgenabschätzung durchführen. 4. 4 Prozesse dokumentieren Betroffenenrechte, Löschung, Auftragsverarbeitung, Drittlandtransfers und Meldung von Verletzungen regeln. 5. 5 Schulen, prüfen, verbessern Beschäftigte sensibilisieren, interne Audits und Managementbewertung durchführen, Feststellungen als Korrekturmaßnahmen verfolgen. ## Typische Dokumente eines PIMS Welche Dokumente Sie benötigen, hängt von Ihrer Rolle und Ihren Verarbeitungen ab. Wichtiger als die Anzahl ist, dass jedes Dokument aktuell, freigegeben und den Verantwortlichen bekannt ist. Die folgende Liste zeigt die Dokumente, die in fast jedem PIMS vorhanden sind und nach denen Auditoren und Aufsichtsbehörden regelmäßig fragen: - Geltungsbereich, Datenschutzpolitik und Rollen einschließlich Datenschutzbeauftragter - Verzeichnis der Verarbeitungstätigkeiten als Verantwortlicher und als Auftragsverarbeiter - Methode und Ergebnisse der Risikobeurteilung sowie Datenschutz-Folgenabschätzungen - Verfahren zur Bearbeitung von Betroffenenanfragen mit Fristen und Nachweisen - Lösch- und Aufbewahrungskonzept - Verträge zur Auftragsverarbeitung und Liste der Unterauftragnehmer - Verfahren zur Meldung von Datenschutzverletzungen und Register der Vorfälle - Schulungsnachweise, Auditberichte und Managementbewertung ## Praxistipps - **Verzeichnis lebendig halten:** Neue Tools und Prozesse sollten erst nach Eintrag ins Verzeichnis genutzt werden. - **Fristen im Blick:** Auskunftsersuchen müssen grundsätzlich innerhalb eines Monats beantwortet werden; Datenschutzverletzungen innerhalb von 72 Stunden gemeldet. - **Löschkonzept umsetzen:** Aufbewahrungsfristen festzulegen reicht nicht – die Löschung muss auch tatsächlich stattfinden und nachweisbar sein. - **Datenschutzbeauftragte einbinden:** Sie beraten und überwachen, die Verantwortung bleibt aber bei der Leitung. ## Häufige Fragen Wie lange dauert die Einführung eines PIMS? Wenn bereits ein Verarbeitungsverzeichnis und grundlegende Datenschutzprozesse bestehen, sind drei bis sechs Monate bis zur Zertifizierungsreife realistisch. Ohne diese Grundlagen dauert es länger, weil zuerst die Verarbeitungen vollständig erfasst werden müssen. Gibt es eine Vorlage für das Verarbeitungsverzeichnis? Ja. Die Vorlage „Verzeichnis der Verarbeitungstätigkeiten“ ist ISO 27701 und Art. 30 DSGVO zugeordnet. Sie passen sie an Ihre Verarbeitungen an und lenken sie wie jedes andere Dokument mit Version und Freigabe. Brauche ich für ISO 27701 eine ISO-27001-Zertifizierung? Seit der Fassung 2025 nicht mehr zwingend: ISO/IEC 27701:2025 ist eine eigenständige Managementsystemnorm. In der Praxis werden beide Normen aber häufig gemeinsam umgesetzt, weil Informationssicherheit eine Voraussetzung für Datenschutz ist. Ist ein ISO-27701-Zertifikat eine DSGVO-Zertifizierung? Nein. Zertifizierungen nach Art. 42 DSGVO erfordern genehmigte Kriterien. ISO 27701 hilft aber, die DSGVO-Pflichten strukturiert umzusetzen und die Rechenschaftspflicht zu erfüllen. Für wen lohnt sich ISO 27701? Vor allem für Unternehmen, die viele personenbezogene Daten verarbeiten oder als Auftragsverarbeiter für Kunden tätig sind – etwa SaaS-Anbieter, Rechenzentren, Lohnbuchhaltung oder Gesundheitsdienstleister. Ein Zertifikat vereinfacht Lieferantenprüfungen durch Kunden. Ersetzt docxpert ein Datenschutz-Tool für Einwilligungen oder Cookie-Banner? Nein. docxpert ist das Managementsystem für Richtlinien, Verzeichnisse, Prozesse und Nachweise. Technische Werkzeuge wie Consent-Management oder Löschroutinen in Ihren Systemen bleiben eigenständig. Wie hängen ISO 27701 und ISO 27001 in docxpert zusammen? Viele Vorlagen sind beiden Normen zugeordnet und enthalten Abschnitte, die nur bei Anwendbarkeit von ISO 27701 erscheinen. So pflegen Sie ein gemeinsames Dokument statt zwei paralleler Fassungen. Wie verbinde ich Verzeichnis von Verarbeitungstätigkeiten und Datenschutzrisiken? Nutzen Sie Verarbeitungstätigkeiten als nachvollziehbare Einheit: Erfassen Sie Zweck, betroffene Personengruppen, Datenkategorien, Empfänger, Aufbewahrung und beteiligte Dienstleister. Bewerten Sie anschließend Risiken anhand des tatsächlichen Kontexts, etwa Umfang, Sensibilität, Zugriffsmöglichkeiten und Folgen für betroffene Personen. Die Risikobewertung sollte auf die passende Tätigkeit verweisen und nicht nur eine allgemeine Unternehmensliste darstellen. Wenn Zweck oder Datenfluss sich ändern, prüfen Sie sowohl den Eintrag als auch die zugehörigen Schutzmaßnahmen und Verträge. Benennen Sie fachliche Eigentümer, damit Datenschutz und Prozessverantwortliche Änderungen melden können. Das ersetzt weder eine erforderliche Datenschutz-Folgenabschätzung noch Rechtsberatung; es schafft eine belastbare Verbindung zwischen Dokumentation, Risikoentscheidung und dem Nachweis, dass festgelegte Kontrollen im Alltag berücksichtigt werden. ## Weiterlesen [ISO 27001ISMS-Dokumentation, Richtlinien, Erklärung zur Anwendbarkeit und Schulungen im Griff.Mehr erfahren](https://docxpert.io/de/normen/iso-27001) [NIS2Risikomanagementmaßnahmen, Schulungspflicht der Leitung und Meldefristen umsetzen.Mehr erfahren](https://docxpert.io/de/normen/nis2) [Gap-AnalyseVorhandene Dokumente gegen Normanforderungen prüfen und Lücken als Aufgaben abarbeiten.Mehr erfahren](https://docxpert.io/de/features/gap-analysis) [Vorlagenbibliothek65 Vorlagen für 20 Normen und Regelwerke – an Ihr Unternehmen angepasst, auf Deutsch und Englisch.Mehr erfahren](https://docxpert.io/de/features/template-library) [ISO 27001 PflichtdokumenteDie geforderten Dokumente und Aufzeichnungen der ISO/IEC 27001:2022 im Überblick.Mehr erfahren](https://docxpert.io/de/ratgeber/iso-27001-pflichtdokumente) ## docxpert 14 Tage kostenlos testen Dokumentenlenkung, Freigaben, Schulungen und Nachweise in einer Plattform – mit deutschen und englischen Vorlagen für über zehn Normen. [Kostenlos testen](https://docxpert.io/de/trial)[Preise ansehen](https://docxpert.io/de/pricing)