Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist eine der zentralen Dokumentationspflichten der DSGVO. Artikel 30 verlangt von Verantwortlichen und Auftragsverarbeitern ein Verzeichnis, soweit die Pflicht im konkreten Fall gilt. In der Praxis bildet das VVT das Rückgrat jeder Datenschutz-Compliance: Ein aktuelles Verzeichnis hilft, weitere Pflichten auf die tatsächlichen Abläufe zu beziehen.
Eine pauschale Quote vollständiger Verzeichnisse lässt sich aus den hier verlinkten Behördenquellen nicht ableiten. Praktisch entscheidend sind vollständige Pflichtangaben, nachvollziehbare Zuständigkeiten und eine Aktualisierung bei Änderungen. Dieser Artikel erklärt Schritt für Schritt, wie Sie ein DSGVO-konformes Verzeichnis von Verarbeitungstätigkeiten erstellen und dauerhaft pflegen.
Was ist ein Verzeichnis von Verarbeitungstätigkeiten?
Das Verzeichnis von Verarbeitungstätigkeiten ist ein strukturiertes Dokument, das die nach Artikel 30 zu dokumentierenden Verarbeitungstätigkeiten einer Organisation erfasst. Es dient als Bestandsaufnahme dieser Tätigkeiten und macht transparent, welche Daten zu welchen Zwecken, auf welcher Rechtsgrundlage und mit welchen Schutzmaßnahmen verarbeitet werden.
Funktionen und Bedeutung des Verzeichnisses
Das VVT ist ein wichtiger Baustein der Rechenschaftspflicht nach der DSGVO. Die Aufsichtsbehörde kann es auf Anfrage verlangen. Ein brauchbares VVT unterstützt Auskunftsersuchen und Löschanfragen, ersetzt aber nicht die Suche in den tatsächlichen Systemen. Das Verzeichnis bildet die Basis für die Identifikation von Hochrisikoverarbeitungen, die eine Datenschutz-Folgenabschätzung erfordern, und schafft einen Überblick über alle Datenflüsse, der die systematische Prüfung der Rechtmäßigkeit jeder einzelnen Verarbeitung ermöglicht.
Wer muss ein Verzeichnis führen?
Artikel 30 DSGVO unterscheidet zwischen dem Verzeichnis des Verantwortlichen und dem Verzeichnis des Auftragsverarbeiters. Beide haben unterschiedliche Pflichtinhalte, und beide müssen bei Bedarf der Aufsichtsbehörde vorgelegt werden können.
Pflicht auch für kleine Unternehmen
Artikel 30 Absatz 5 enthält eine eng gefasste Ausnahme für Einrichtungen oder Unternehmen mit weniger als 250 Beschäftigten. Sie greift für eine konkrete Verarbeitung nicht, wenn diese ein Risiko für Rechte und Freiheiten birgt, nicht nur gelegentlich erfolgt oder besondere Kategorien nach Artikel 9 Absatz 1 beziehungsweise Daten nach Artikel 10 verarbeitet werden. Die Ausnahme ist daher tätigkeitsbezogen zu prüfen.
Auch kleine Unternehmen verarbeiten häufig regelmäßig Beschäftigten- oder Kundendaten. Prüfen Sie für jede Tätigkeit, ob die Ausnahme greift; der EDPB erläutert diese tätigkeitsbezogene Prüfung. Ein freiwilliger Eintrag kann selbst für ausgenommene Vorgänge organisatorisch nützlich sein. Änderungsvorschläge auf EU-Ebene sind kein geltendes Recht. Prüfen Sie den aktuellen Gesetzgebungsstand vor einer Berufung auf eine mögliche Anhebung der Beschäftigtenschwelle; für die hier beschriebene Prüfung gilt Artikel 30 Absatz 5 in seiner geltenden Fassung.
Pflichtinhalte nach der DSGVO
Die Anforderungen an den Inhalt des Verzeichnisses unterscheiden sich je nachdem, ob es sich um das Verzeichnis des Verantwortlichen oder des Auftragsverarbeiters handelt. Die Pflichtangaben bestimmen die Vollständigkeit eines gesetzlich geforderten Eintrags; eine normbezogene Aufschlüsselung aller Detail-Pflichten des Art. 30 DSGVO finden Sie in unserem gesonderten Beitrag.
Verzeichnis des Verantwortlichen
Nach Artikel 30 Absatz 1 gehören in das Verzeichnis des Verantwortlichen: Name und Kontaktdaten des Verantwortlichen sowie gegebenenfalls des gemeinsam Verantwortlichen, seines Vertreters und des Datenschutzbeauftragten; die Zwecke; Kategorien betroffener Personen und personenbezogener Daten; Kategorien von Empfängern einschließlich solcher in Drittländern oder internationalen Organisationen. Bei Drittlandübermittlungen sind das Zielland oder die internationale Organisation zu benennen. Für Übermittlungen nach Artikel 49 Absatz 1 Unterabsatz 2 ist die Dokumentation der dort verlangten Garantien aufzunehmen. Vorgesehene Löschfristen je Datenkategorie und eine allgemeine Beschreibung der Maßnahmen nach Artikel 32 sind soweit möglich anzugeben. Eine konkrete Rechtsgrundlage oder ein allgemeines Feld „Transfermechanismus“ können für die interne Steuerung sehr sinnvoll sein, stehen aber nicht pauschal in dieser Pflichtfeldliste.
Verzeichnis des Auftragsverarbeiters. Nach Artikel 30 Absatz 2 gehören Name und Kontaktdaten des Auftragsverarbeiters und jedes betroffenen Verantwortlichen sowie gegebenenfalls deren Vertreter und des Datenschutzbeauftragten hinein. Erfasst werden die Kategorien der im Auftrag ausgeführten Verarbeitungen. Bei Drittlandübermittlungen sind Zielland oder internationale Organisation und im Fall des Artikels 49 Absatz 1 Unterabsatz 2 die dort verlangten Garantien zu dokumentieren. Eine allgemeine Beschreibung der Sicherheitsmaßnahmen ist soweit möglich aufzunehmen. Eigene Zwecke und Datenkategorien des Verantwortlichen sind nicht einfach als Pflichtfelder des Auftragsverarbeiter-Verzeichnisses zu übernehmen.
Schrittweise Erstellung des Verzeichnisses
Die Erstellung eines vollständigen VVT beginnt mit der Aufnahme tatsächlicher Abläufe. Die folgenden Schritte sind eine praktikable Arbeitsfolge, die je nach Organisation angepasst werden muss.
Bestandsaufnahme und Dokumentation
Schritt eins: Bestandsaufnahme der tatsächlichen Verarbeitungstätigkeiten. Beginnen Sie mit einer systematischen Erhebung aller Verarbeitungsvorgänge in Ihrer Organisation. Befragen Sie die beteiligten Fachabteilungen zu ihren jeweiligen Datenverarbeitungen. Die Zahl der Tätigkeiten hängt von Geschäftsmodell, Rollen und sinnvoller Abgrenzung ab; eine feste Zielzahl gibt die DSGVO nicht vor.
Schritt zwei: Dokumentation der Pflichtangaben. Erfassen Sie für jede identifizierte Verarbeitungstätigkeit alle Pflichtinhalte. Nutzen Sie eine einheitliche Struktur, die alle Pflichtfelder abdeckt. Eine DSGVO-Checkliste kann beim Gegenlesen helfen; die tatsächliche Vollständigkeit muss anhand des Ablaufs geprüft werden.
Schritt drei: Prüfung der Rechtsgrundlagen. Ordnen Sie jeder Verarbeitungstätigkeit eine Rechtsgrundlage zu. Die häufigsten Rechtsgrundlagen sind Einwilligung, Vertragserfüllung, rechtliche Verpflichtung und berechtigtes Interesse. Bei berechtigtem Interesse muss zusätzlich eine dokumentierte Interessenabwägung vorliegen, die nachvollziehbar und aktuell sein muss.
Schritt vier: Integration in die Prozesse. Das VVT darf kein statisches Dokument sein. Integrieren Sie die Aktualisierung in Ihre Geschäftsprozesse: Bei der Einführung neuer Software, bei organisatorischen Änderungen, beim Wechsel von Dienstleistern und bei Änderungen der Rechtsgrundlage muss das Verzeichnis aktualisiert werden. Binden Sie einen benannten Datenschutzbeauftragten bei Änderungen frühzeitig ein; die Verantwortung für zutreffende Angaben bleibt beim Verantwortlichen beziehungsweise Auftragsverarbeiter.
Für die Bestandsaufnahme hilft eine Karte der IT-Systemlandschaft: Sie verbindet Anwendungen, Schnittstellen und zuständige Personen mit den tatsächlichen Abläufen. Die Systemkennungen lassen sich anschließend den jeweiligen Verarbeitungstätigkeiten zuordnen und bei technischen Änderungen gezielt nachpflegen.
Typische Fehler bei der Verzeichnisführung
Die Erfahrung aus Datenschutzaudits und Aufsichtsbehördenprüfungen zeigt wiederkehrende Defizite bei der Führung des Verzeichnisses. Die Kenntnis dieser Fehler hilft, kostspielige Compliance-Lücken frühzeitig zu schließen.
Defizite, die Sie vermeiden sollten
Zu allgemeine Beschreibungen: Eine Verarbeitungstätigkeit als “Datenverarbeitung zur Geschäftsabwicklung” zu beschreiben, genügt nicht den DSGVO-Anforderungen. Jede Verarbeitungstätigkeit muss hinreichend konkret dokumentiert werden, damit die dokumentierte Tätigkeit und ihre Zwecke nachvollziehbar sind; das interne VVT ist nicht automatisch ein Dokument für betroffene Personen.
Fehlende Aktualisierung: Ein Verzeichnis, das seit Jahren nicht aktualisiert wurde, verfehlt seinen Zweck vollständig. Entscheidend ist, ob der Eintrag die tatsächliche Verarbeitung noch zutreffend beschreibt.
Fehlende Löschfristen: Viele Verzeichnisse enthalten keine konkreten Löschfristen. Diese sind jedoch notwendig, um das Recht auf Löschung effektiv umzusetzen und den Grundsatz der Speicherbegrenzung zu erfüllen. Ohne definierte Löschfristen riskieren Unternehmen, Daten unbegrenzt zu speichern und damit gegen die DSGVO zu verstoßen.
Kein Verzeichnis für Auftragsverarbeiter: Unternehmen, die auch als Auftragsverarbeiter tätig sind, übersehen häufig, dass sie ein separates Verzeichnis führen müssen. Dieses Versäumnis kann bei einer Aufsichtsbehördenprüfung zu empfindlichen Konsequenzen führen.
Muster, Vorlagen und empfohlene Struktur
Es gibt keine vorgeschriebene Form für das VVT. Tabellenkalkulationen sind ebenso zulässig wie spezialisierte Datenschutz-Management-Software. Entscheidend ist die Vollständigkeit und Nachvollziehbarkeit des Dokuments.
Eine bewährte Struktur für jede Verarbeitungstätigkeit umfasst folgende Spalten: Bezeichnung der Verarbeitungstätigkeit, verantwortliche Fachabteilung, Zweck der Verarbeitung, Rechtsgrundlage, Kategorien betroffener Personen, Kategorien personenbezogener Daten, Empfänger der Daten, Drittlandübermittlung und Transfermechanismus, Löschfrist, technische und organisatorische Maßnahmen und Datum der letzten Überprüfung.
Eine Verarbeitungsverzeichnis-Vorlage kann als Ausgangspunkt dienen. Prüfen Sie eine Vorlage anhand des aktuellen Artikel 30 und ergänzen Sie Felder, die für Ihre Abläufe zur internen Steuerung nötig sind. Eine ausgefüllte Vorlage allein beweist weder Vollständigkeit noch die Rechtmäßigkeit der Verarbeitung. Für Unternehmen mit einer großen Zahl von Verarbeitungstätigkeiten empfiehlt sich der Einsatz spezialisierter Software, die auch die Verknüpfung mit Risikoanalysen und Änderungen an den tatsächlichen Abläufen verbindet.
Die Ausnahme für kleinere Unternehmen richtig anwenden
Bei weniger als 250 Beschäftigten beginnt die Prüfung mit einzelnen Verarbeitungstätigkeiten. Eine gelegentliche und risikoarme Tätigkeit ohne besondere Kategorien kann unter die Ausnahme des Artikels 30 Absatz 5 fallen. Wiederkehrende Beschäftigtenverwaltung, laufende Kundenbetreuung oder regelmäßige Abrechnung sind dagegen nicht schon deshalb ausgenommen, weil eine Firma klein ist. Für Beschäftigtendaten stimmen Sie den Eintrag mit den tatsächlichen Datenschutzhinweisen für Mitarbeitende ab. Das Positionspapier des Europäischen Datenschutzausschusses erläutert, dass ein Verzeichnis für Tätigkeiten zu führen ist, bei denen die Ausnahmevoraussetzungen nicht vorliegen. Ein einzelner sensibler Vorgang macht nicht zwingend jede andere Tätigkeit dokumentationspflichtig; die Entscheidung ist für die jeweiligen Abläufe zu begründen.
Ein kleines Ingenieurbüro beschäftigt acht Personen, zahlt monatlich Gehälter und führt dauerhaft eine Kundendatenbank. Beide Abläufe sind regelmäßig und gehören in ein Verzeichnis. Ein einmaliger Empfang mit einfacher Teilnahmeliste könnte anders zu beurteilen sein, wenn weder relevantes Risiko noch besondere Daten vorliegen. Dennoch darf das Büro auch diesen Vorgang freiwillig aufnehmen: Eine knappe Dokumentation erleichtert spätere Auskunft und Löschung. Halten Sie fest, warum eine Tätigkeit aufgenommen oder nach Artikel 30 Absatz 5 ausgenommen wurde, und prüfen Sie diese Entscheidung bei Wiederholung.
Tätigkeiten sinnvoll abgrenzen
Ein Eintrag sollte einen nachvollziehbaren Zweck und einen fachlich verantwortlichen Ablauf beschreiben. „Alle Daten im CRM“ ist oft zu grob, wenn dieselbe Anwendung getrennte Zwecke wie Vertragsbetreuung, Support und Werbeansprache erfüllt. Das andere Extrem, ein Eintrag für jedes Feld oder jede Bildschirmmaske, verhindert Überblick. Beginnen Sie bei der fachlichen Entscheidung: Warum werden Daten verarbeitet, wer nutzt sie und wann endet der Zweck? Ordnen Sie danach Anwendungen, Empfänger und Schutzmaßnahmen zu. Die Kartierung der IT-Systemlandschaft kann die technische Suche unterstützen, ersetzt diese Zweckabgrenzung aber nicht.
Beispielsweise kann ein Händler die Bearbeitung von Bestellungen als eine Tätigkeit beschreiben, sofern Empfänger, Datenarten und Fristen konsistent sind. Eine davon unabhängige Verhaltensanalyse für personalisierte Werbung verdient einen eigenen Eintrag: Sie hat einen anderen Zweck, eine andere Rechtsgrundlage und möglicherweise andere Empfänger. Wenn dieselben Stammdaten in beiden Abläufen genutzt werden, dokumentieren Sie die Verbindung, ohne die Daten zweimal als zwei unabhängige Bestände zu erfinden. Ein separates Detail zu Artikel 30 behandelt die Normfelder; hier zählt die Methode für ein brauchbares Verzeichnis.
Eintrag des Verantwortlichen und des Auftragsverarbeiters unterscheiden
Ein SaaS-Anbieter kann für sein Personal und seine eigene Abrechnung Verantwortlicher sein, während er Kundendaten im Auftrag verarbeitet. Er braucht dann Einträge für beide Rollen mit den jeweils passenden Pflichtangaben. Beim Verantwortlichen dokumentieren Sie insbesondere Zwecke, Personen- und Datenkategorien sowie Empfänger; bei Übermittlungen das konkrete Zielland oder die Organisation und gegebenenfalls Garantien nach Artikel 49 Absatz 1 Unterabsatz 2. Löschfristen und Sicherheitsbeschreibung folgen dem gesetzlichen Zusatz „soweit möglich“. Beim Auftragsverarbeiter stehen die Kategorien der Verarbeitung je Auftrag und die beteiligten Verantwortlichen samt gegebenenfalls einschlägigen Vertreter- und DPO-Kontakten im Vordergrund; auch dort gelten die spezifischen Angaben zu Drittlandübermittlungen. Ein vom Kunden erhaltenes Verarbeitungsverzeichnis-Muster sollte nicht ungeprüft für die andere Rolle kopiert werden.
Rechtsgrundlage, zuständige Fachabteilung, eingesetzte Anwendung und Datum der Prüfung sind für interne Steuerung hilfreich. Artikel 30 nennt aber nicht jedes dieser Felder ausdrücklich als Pflichtangabe. Kennzeichnen Sie deshalb, was die Norm verlangt und was Ihre Organisation ergänzend führt. Das vermeidet die Aussage, ein Eintrag sei allein wegen einer fehlenden Software-ID rechtswidrig. Zugleich bleiben die ergänzenden Felder nützlich, wenn eine Fachabteilung eine Datenschutz-Folgenabschätzung oder eine Antwort an Betroffene vorbereitet.
Von der Erhebung zur belastbaren Version
Führen Sie ein kurzes Gespräch mit dem fachlichen Eigentümer und bitten Sie ihn, einen realen Fall vom Eingang bis zur Löschung zu zeigen. Welche Formulare, Exporte, gemeinsamen Postfächer und Dienstleister werden tatsächlich genutzt? Kontrollieren Sie Aussagen anhand von Verträgen, Datenschutzhinweisen und der Anwendung. Ein VVT kann formal vollständig aussehen und dennoch einen Empfänger übersehen, wenn etwa die Supportabteilung Daten in eine zusätzliche Plattform kopiert. Klären Sie auch, ob ein Auftragsverarbeiter im Drittland zugreift; eine EU-Rechnungsadresse beantwortet diese Frage nicht.
Vor Veröffentlichung des Eintrags lässt sich ein einfacher Gegencheck machen: Können Zweck, betroffene Personen, Datenkategorien und Empfänger aus dem beschriebenen Ablauf erkannt werden? Ist die geplante Löschung mit der tatsächlichen Speicherfunktion und dem Löschkonzept vereinbar? Sind Sicherheitsmaßnahmen konkret genug beschrieben, um den Ablauf von einem anderen zu unterscheiden, ohne vertrauliche Konfigurationen offenzulegen? Markieren Sie offene Punkte als solche und vergeben Sie Zuständigkeit und Termin. Eine leere Zelle mit „später“ über mehrere Jahre ist keine dokumentierte Entscheidung.
Bei einem neuen Dienstleister oder einer Produktfunktion sollte der Eigentümer den Eintrag anlassbezogen prüfen. Eine jährliche Durchsicht kann als zusätzliche interne Kontrolle sinnvoll sein, ist aber kein im Artikel 30 vorgeschriebener Stichtag. Versionieren Sie Änderungen und halten Sie fest, welche neue Funktion oder Vertragsänderung sie ausgelöst hat. Bei einer Behördenanfrage lässt sich so eine aktuelle, schriftliche oder elektronische Fassung bereitstellen, ohne aus verstreuten Tabellen zuerst ein Verzeichnis rekonstruieren zu müssen.
Rechtsstand und Quellen: Maßgeblich sind Artikel 30 DSGVO in deutscher Fassung und das EDPB-Positionspapier zur Ausnahme. Abgerufen am 27. September 2026. Ein mögliches Gesetzesvorhaben zur Schwelle ist nicht als geltende Ausnahme berücksichtigt.
FAQ
Muss das Verzeichnis der Aufsichtsbehörde vorgelegt werden?
Ja, gemäß der DSGVO muss das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden. Es muss jedoch nicht proaktiv eingereicht werden. In der Praxis wird das Verzeichnis bei Datenschutzprüfungen, nach Datenpannen und bei Beschwerden betroffener Personen regelmäßig angefordert. Unternehmen sollten daher sicherstellen, dass das VVT jederzeit in einem vorzeigbaren Zustand ist.
In welchem Format muss das Verzeichnis geführt werden?
Die DSGVO schreibt kein bestimmtes Format vor. Das Verzeichnis muss lediglich schriftlich geführt werden, wobei ein elektronisches Format zulässig ist. Tabellenkalkulationen, Datenbanken und spezialisierte Datenschutz-Software sind gleichermaßen geeignet. Entscheidend ist, dass das Verzeichnis vollständig, aktuell und schnell verfügbar ist. Für Unternehmen mit umfangreichen Verarbeitungstätigkeiten empfiehlt sich der Einsatz spezialisierter Software.
Wie oft muss das Verzeichnis aktualisiert werden?
Die DSGVO schreibt keinen festen Aktualisierungsrhythmus vor, verlangt aber implizit die fortlaufende Aktualität. In der Praxis empfiehlt sich eine anlassbezogene Aktualisierung bei jeder Änderung einer Verarbeitungstätigkeit, ergänzt durch eine systematische Gesamtüberprüfung mindestens einmal jährlich. Bei signifikanten organisatorischen Veränderungen, Systemwechseln oder neuen Geschäftsprozessen ist eine sofortige Aktualisierung erforderlich.