ISO 27701:2025 Pflichtdokumente
ISO/IEC 27701:2025 folgt der harmonisierten Struktur für Managementsysteme und verlangt unter anderem folgende dokumentierte Information: den Geltungsbereich des Datenschutz-Managementsystems (4.3), die Datenschutzrichtlinie (5.2), die Prozesse und Ergebnisse der Datenschutz-Risikobeurteilung und -behandlung (6.1 und Abschnitt 8), die Erklärung zur Anwendbarkeit für die Maßnahmen des Anhangs A, die Datenschutzziele (6.2) sowie Aufzeichnungen zu Kompetenz, Überwachung, internem Audit, Managementbewertung und Korrekturmaßnahmen. Die Maßnahmen des Anhangs A ergänzen datenschutzspezifische Aufzeichnungen wie das Verzeichnis von Verarbeitungstätigkeiten.
Geforderte Dokumente nach Abschnitt
| Dokument | Abschnitt | Wofür |
|---|---|---|
| Geltungsbereich des Datenschutz-Managementsystems | 4.3 | Welche Verarbeitungen, Prozesse und Rollen (Verantwortlicher, Auftragsverarbeiter) erfasst sind |
| Datenschutzrichtlinie | 5.2 | Verpflichtungen der Leitung und Rahmen für die Ziele |
| Prozess der Datenschutz-Risikobeurteilung | 6.1 | Kriterien, um Risiken für die Organisation und für betroffene Personen zu erkennen und zu bewerten |
| Risikobehandlungsprozess und Erklärung zur Anwendbarkeit | 6.1 | Aus A.1, A.2 und A.3 gewählte Maßnahmen, Begründung von Aufnahmen und Ausschlüssen, Umsetzungsstand |
| Datenschutzziele | 6.2 | Messbare Ziele und Pläne zu ihrer Erreichung |
| Kompetenznachweise | 7.2 | Schulung und Erfahrung der Personen, die personenbezogene Daten verarbeiten |
| Information für den Betrieb | 8.1 | Was nötig ist, um sicher zu sein, dass Prozesse wie geplant laufen |
| Ergebnisse von Risikobeurteilung und -behandlung | 8 | Aktuelles Risikoregister und Behandlungsplan |
| Ergebnisse von Überwachung und Messung | 9.1 | Kennzahlen und ihre Auswertung |
| Auditprogramm und Ergebnisse interner Audits | 9.2 | Plan, Berichte und Feststellungen |
| Ergebnisse der Managementbewertung | 9.3 | Entscheidungen und Maßnahmen der Leitung |
| Nichtkonformitäten und Korrekturmaßnahmen | 10.2 | Was schiefging, Ursache, Maßnahme und Ergebnis |
Abschnitt 7.5 ergänzt alle dokumentierte Information, die die Organisation selbst für nötig hält. Nutzen Sie diese Liste als Orientierung und prüfen Sie jede Anforderung im offiziellen Normtext, erhältlich bei ISO oder Ihrer nationalen Normungsorganisation.
Datenschutz-Aufzeichnungen aus den Maßnahmen des Anhangs A
- **Verzeichnisse von Verarbeitungstätigkeiten** als Verantwortlicher und als Auftragsverarbeiter: Zweck, Rechtsgrundlage, Kategorien von Daten und Personen, Empfänger, Übermittlungen und Speicherfristen.
- **Datenschutz-Folgenabschätzungen (DSFA)** für Verarbeitungen mit hohem Risiko.
- **Protokoll der Betroffenenanfragen** (Auskunft, Berichtigung, Löschung, Widerspruch) mit Datum und Antwort.
- **Register der Vorfälle und Datenpannen** mit Bewertung und Meldungen.
- **Protokoll der Übermittlungen und Offenlegungen** an Dritte und in andere Länder.
- **Verträge mit Auftragsverarbeitern und Unterauftragsverarbeitern** und Nachweise ihrer Prüfung.
- **Aktuelle Datenschutzhinweise** und Nachweise der Einwilligung, wo sie die Rechtsgrundlage ist.
ISO 27701 Toolkit: Dokumentation für Ihr Datenschutz-Managementsystem
34 Word-Dokumente · 14 Excel-Werkzeuge · 78 Maßnahmen aus Anhang A
Zum ISO 27701:2025 Toolkit mit all diesen DokumentenHäufige Fehler
- Die Erklärung zur Anwendbarkeit von 2019 übernehmen: 2025 wurden die Maßnahmen in die Tabellen A.1, A.2 und A.3 umgeordnet.
- Den Geltungsbereich festlegen, ohne zu sagen, wo die Organisation Verantwortlicher und wo Auftragsverarbeiter ist.
- Risiken nur für das Unternehmen bewerten und nicht für die Personen, deren Daten verarbeitet werden.
- Genehmigte Richtlinien haben, aber keine Aufzeichnungen, die ihre Anwendung zeigen (Anfragen, Datenpannen, Schulungen).
- Annehmen, dass eine Zertifizierung die Einhaltung eines bestimmten Gesetzes wie der DSGVO belegt.
So ordnen Sie die Dokumentation
Ordnen Sie die Dokumente nach den Abschnitten 4 bis 10, mit einem Gesamtverzeichnis, das Verantwortliche, Version und Prüfdatum jedes Dokuments zeigt. Wenn Sie bereits ein ISMS nach ISO/IEC 27001 betreiben, teilen Sie Dokumentenlenkung, internes Audit und Managementbewertung und ergänzen Sie die datenschutzspezifischen Teile: Rollen als Verantwortlicher und Auftragsverarbeiter, Verarbeitungsverzeichnisse, Datenschutz-Folgenabschätzungen, Betroffenenrechte und die Erklärung zur Anwendbarkeit nach ISO/IEC 27701.
Nächster Schritt
Kostenlos testen oder direkt zur vollständigen Lösung.
ISO 27701 Toolkit: Dokumentation für Ihr Datenschutz-Managementsystem
34 Word-Dokumente · 14 Excel-Werkzeuge · 78 Maßnahmen aus Anhang A
Zum ISO 27701:2025 Toolkit mit all diesen Dokumenten
Kostenloses Muster
Laden Sie kostenlos eine reduzierte Version der Risikomatrix aus dem Toolkit herunter (Excel, 10 Szenarien, Heatmap; Probe auf Englisch). Sehen Sie, wie Risikoniveau und Kategorie berechnet werden, bevor Sie sich entscheiden.
Kostenlose Probe herunterladen (Englisch)Häufige Fragen
Wie viele Pflichtdokumente hat ISO 27701?
Das hängt von der Gruppierung ab, aber die Abschnitte 4 bis 10 verlangen rund ein Dutzend Dokumente und Aufzeichnungen, und die angewandten Maßnahmen des Anhangs A ergänzen Datenschutz-Aufzeichnungen wie das Verarbeitungsverzeichnis.
Ist das Verzeichnis von Verarbeitungstätigkeiten Pflicht?
Die Maßnahmen des Anhangs A für Verantwortliche und Auftragsverarbeiter sehen es vor, und viele Gesetze (etwa Artikel 30 DSGVO) verlangen es oder machen es zum praktischen Weg, rechtmäßige Verarbeitung zu zeigen.
Kann ich die Dokumente meines ISMS nach ISO 27001 weiterverwenden?
Ja. Seit 2025 ist ISO/IEC 27701 eigenständig, lässt sich aber mit einem ISMS integrieren: Dokumentenlenkung, Audits und Managementbewertung können gemeinsam genutzt werden.
Reichen die Dokumente allein für die Zertifizierung?
Nein. Die Zertifizierung hängt davon ab, dass das System funktioniert und von einer Zertifizierungsstelle geprüft wird.
Verwandte Leitfäden
Erklärung zur Anwendbarkeit (SoA) nach ISO 27001: was sie ist und wie man sie erstellt
Das SoA-Dokument nach ISO/IEC 27001:2022: was die Erklärung zur Anwendbarkeit für die 93 Maßnahmen aus Anhang A enthalten muss, wie man Ausschlüsse begründet und welche Fehler Auditoren am häufigsten finden. Mit Excel-Vorlage.
Leitfaden lesen →ISO 27001 Pflichtdokumente: Liste nach Kapiteln
Welche dokumentierten Informationen ISO/IEC 27001:2022 verlangt – Kapitel für Kapitel (Anwendungsbereich, Leitlinie, Risiken, Erklärung zur Anwendbarkeit, Ziele, Audit, Managementbewertung) – und welche Dokumente für Anhang A üblich sind.
Leitfaden lesen →ISO 27701:2025: was neu ist und was jetzt zu tun ist
ISO/IEC 27701:2025 ist jetzt eine eigenständige Managementsystemnorm für Datenschutz. Was sich gegenüber 2019 geändert hat, der neue Anhang A (78 Maßnahmen), Übergangsfristen und die nächsten Schritte.
Leitfaden lesen →Aktualisiert: 2026-10-24