Verzeichnis von Verarbeitungstätigkeiten: Pflicht, Inhalt und Umsetzung nach Art. 30 DSGVO

Das Verzeichnis von Verarbeitungstätigkeiten gehört zu den zentralen Dokumentationspflichten der Datenschutz-Grundverordnung. Verantwortliche und Auftragsverarbeiter halten darin fest, welche personenbezogenen Daten sie zu welchen Zwecken verarbeiten.

Betroffen sind Unternehmen nahezu jeder Größe. Die in Art. 30 Abs. 5 DSGVO vorgesehene Erleichterung für kleinere Unternehmen ist deutlich enger gefasst, als es auf den ersten Blick wirkt.

Dieser Beitrag ordnet ein, was Art. 30 DSGVO verlangt, wen die Pflicht trifft und wie die Umsetzung im Unternehmen gelingt. Unsere Experten begleiten Unternehmen bei Datenschutz- und Compliance-Projekten und kennen die typischen Schwachstellen aus der Beratungspraxis.

Das Wichtigste in Kürze

• Verantwortliche und Auftragsverarbeiter führen jeweils ein eigenes Verzeichnis von Verarbeitungstätigkeiten mit unterschiedlichen Pflichtangaben.
• Die Erleichterung für Unternehmen mit weniger als 250 Beschäftigten entfällt bereits dann, wenn nur einer der in Art. 30 Abs. 5 DSGVO genannten Ausnahmefälle vorliegt.
• Art. 30 Abs. 1 DSGVO legt die Mindestangaben fest; Löschfristen und technisch-organisatorische Maßnahmen sind dabei jeweils anzugeben, wenn dies möglich ist.
• Das Verzeichnis darf elektronisch geführt werden und ist der Aufsichtsbehörde auf Anfrage vorzulegen.
• Neue Tools, neue Dienstleister oder geänderte Prozesse machen eine zeitnahe Aktualisierung erforderlich.
• Das Verzeichnis unterstützt die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, ersetzt aber weder die Datenschutzerklärung noch eine Datenschutz-Folgenabschätzung.

Was ist ein Verzeichnis von Verarbeitungstätigkeiten?

Das Verzeichnis von Verarbeitungstätigkeiten – kurz VVT – dokumentiert die Verarbeitungstätigkeiten mit personenbezogenen Daten, die der Zuständigkeit eines Unternehmens unterliegen. Dokumentiert werden dabei Tätigkeiten, nicht jeder einzelne technische Verarbeitungsschritt.

Mehrere zusammenhängende Arbeitsschritte lassen sich zu einer Verarbeitungstätigkeit zusammenfassen. Die Lohnabrechnung, das Bewerbermanagement oder der Newsletter-Versand bilden jeweils einen eigenen Eintrag.

Auf Anfrage ist das Verzeichnis der zuständigen Aufsichtsbehörde zur Verfügung zu stellen. Es dient damit zugleich als Grundlage für den Nachweis nach Art. 5 Abs. 2 DSGVO, dass die Vorgaben der Verordnung eingehalten werden.

Abgrenzung zum früheren Verfahrensverzeichnis

Das VVT hat die Dokumentationsformen des alten Bundesdatenschutzgesetzes abgelöst. Dazu gehörten das öffentliche Verfahrensverzeichnis nach § 4g Abs. 2 BDSG a. F. sowie die interne Verfahrensübersicht nach § 4g Abs. 2a BDSG a. F.

Das frühere öffentliche Verfahrensverzeichnis war auf Antrag jedermann zugänglich zu machen. Das Verzeichnis nach der DSGVO ist dagegen ein internes Dokument, das der Aufsichtsbehörde auf Verlangen vorzulegen ist.

Aufsichtsbehörden können das Verzeichnis nicht nur nach Beschwerden oder Datenschutzvorfällen anfordern. Auch anlassunabhängige Prüfungen und branchenbezogene Prüfaktionen sind möglich.

Welche Funktion das Verzeichnis im Datenschutzmanagement hat

Das VVT verschafft dem Unternehmen einen strukturierten Überblick über die eigene Datenverarbeitung. Es bildet damit eine Arbeitsgrundlage für weitere Datenschutzpflichten.

Aus dem Verzeichnis lässt sich ableiten, bei welchen Verarbeitungen zu prüfen ist, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich wird. Die Folgenabschätzung selbst verlangt allerdings eine deutlich detailliertere Beschreibung und eine eigenständige Risikobewertung.

Auch bei Auskunftsersuchen nach Art. 15 DSGVO hilft ein gepflegtes Verzeichnis, weil es zeigt, in welchen Prozessen und Systemen überhaupt personenbezogene Daten anfallen. Die Zuordnung konkreter Datensätze zu einzelnen betroffenen Personen leistet es jedoch nicht.

Wer muss ein Verzeichnis von Verarbeitungstätigkeiten führen?

Die Pflicht trifft zunächst jeden Verantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO. Das ist jede natürliche oder juristische Person, Behörde oder Einrichtung, die über Zwecke und Mittel der Verarbeitung entscheidet.

Auftragsverarbeiter trifft nach Art. 30 Abs. 2 DSGVO eine eigenständige Pflicht mit einem anderen Angabenkatalog. In der Beratungspraxis wird diese Rolle häufig übersehen, etwa bei IT-Dienstleistern, Lettershops oder externen Lohnbüros.

Viele Unternehmen nehmen beide Rollen parallel ein. Für die eigene Personalverwaltung sind sie Verantwortliche, für Kundenprojekte Auftragsverarbeiter.

Die Ausnahme für kleinere Unternehmen und ihre Grenzen

Art. 30 Abs. 5 DSGVO sieht eine Erleichterung für Unternehmen und Einrichtungen mit weniger als 250 Beschäftigten vor. Sie greift jedoch nicht, sobald einer der folgenden Fälle vorliegt:

• Die Verarbeitung erfolgt nicht nur gelegentlich.
• Die Verarbeitung birgt voraussichtlich ein Risiko für die Rechte und Freiheiten der betroffenen Personen.
• Es werden besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO verarbeitet, etwa Gesundheitsdaten oder biometrische Daten zur eindeutigen Identifizierung.
• Es werden personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO verarbeitet.

Die Erleichterung wirkt tätigkeitsbezogen. Sie entfällt für diejenigen Verarbeitungstätigkeiten, bei denen einer dieser Fälle einschlägig ist – und das betrifft in der Praxis die meisten regelmäßigen Abläufe.

Die laufende Entgeltabrechnung, eine dauerhaft geführte Kundendatenbank oder ein Onlineshop mit gespeicherten Bestelldaten erfolgen nicht nur gelegentlich. Die Europäische Kommission hat den Anwendungsbereich der Ausnahme in ihrer Evaluierung der DSGVO ausdrücklich als sehr eng bezeichnet.

Kleinere Unternehmen sind damit nicht generell von der Dokumentation befreit. Für sie kommt allerdings ein schlankes Verzeichnis in Betracht, das sich an den Mustern der Aufsichtsbehörden orientiert.

Welche Angaben muss das Verzeichnis enthalten?

Für Verantwortliche legt Art. 30 Abs. 1 DSGVO die Mindestangaben fest. Je Verarbeitungstätigkeit gehören dazu:

• Name und Kontaktdaten des Verantwortlichen sowie gegebenenfalls des gemeinsam Verantwortlichen, des Vertreters und eines etwaigen Datenschutzbeauftragten
• die Zwecke der Verarbeitung
• eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten
• die Kategorien von Empfängern, gegenüber denen die Daten offengelegt wurden oder werden, einschließlich Empfänger in Drittländern oder internationalen Organisationen
• gegebenenfalls Übermittlungen an ein Drittland oder eine internationale Organisation unter Angabe des Empfängerlands sowie, bei Übermittlungen nach Art. 49 Abs. 1 Unterabs. 2 DSGVO, die Dokumentation geeigneter Garantien
• wenn möglich die vorgesehenen Löschfristen für die verschiedenen Datenkategorien
• wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO

Der Zusatz „wenn möglich“ ist keine Einladung, diese Punkte offenzulassen. Sind Löschfristen oder Schutzmaßnahmen bekannt, sind sie aufzunehmen; sonst sollte nachvollziehbar dokumentiert werden, warum eine Angabe noch nicht möglich ist.

Zu beachten ist zudem der Begriff des Drittlands. Gemeint sind Staaten außerhalb des Europäischen Wirtschaftsraums, nicht nur außerhalb der Europäischen Union.

Zusätzliche Anforderungen für Auftragsverarbeiter

Auftragsverarbeiter führen nach Art. 30 Abs. 2 DSGVO ein Verzeichnis mit eigenem Inhalt. Erforderlich sind insbesondere:

• Name und Kontaktdaten des Auftragsverarbeiters, jedes Verantwortlichen, in dessen Auftrag verarbeitet wird, sowie gegebenenfalls der Vertreter und des Datenschutzbeauftragten
• die Kategorien der im Auftrag durchgeführten Verarbeitungen
• gegebenenfalls Übermittlungen an ein Drittland oder eine internationale Organisation einschließlich der Dokumentation geeigneter Garantien in den Fällen des Art. 49 Abs. 1 Unterabs. 2 DSGVO
• wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen

Unternehmen mit Doppelrolle müssen beide Bereiche klar voneinander trennen. Ob das über zwei getrennte Dokumente oder über eindeutig abgegrenzte Bereiche in einem System gelöst wird, gibt die DSGVO nicht vor.

Sinnvolle Zusatzangaben über den Gesetzestext hinaus

In der Praxis hat es sich bewährt, weitere Informationen aufzunehmen. Dazu zählen die Rechtsgrundlage der Verarbeitung, die eingesetzten Systeme, die zuständige Fachabteilung sowie der Stand der letzten Aktualisierung.

Diese Angaben verlangt Art. 30 DSGVO nicht ausdrücklich. Sie erleichtern aber den Nachweis der Rechenschaftspflicht und die interne Pflege des Verzeichnisses erheblich.

Form und Sprache des Verarbeitungsverzeichnisses

Art. 30 Abs. 3 DSGVO verlangt die Schriftform und lässt elektronische Formate ausdrücklich zu. Ob Tabellenkalkulation, Textdokument oder spezialisierte Datenschutzsoftware genutzt wird, bleibt dem Unternehmen überlassen.

Kleinere Organisationen kommen mit den Mustervorlagen der Aufsichtsbehörden gut zurecht. Größere Strukturen profitieren von Systemen, die Änderungen protokollieren und Prüftermine steuern.

Zur Sprache enthält die Verordnung keine Vorgabe. Da das Verzeichnis der nationalen Aufsichtsbehörde vorzulegen ist, empfiehlt sich Deutsch als Dokumentationssprache; international tätige Unternehmen pflegen ergänzend weitere Sprachfassungen.

Bewährt hat sich eine zentrale Ablage mit klar geregelten Zugriffsrechten und einer erkennbaren Versionsführung. Parallel gepflegte Kopien in einzelnen Abteilungen führen erfahrungsgemäß zu widersprüchlichen Ständen.

Typische Fehler bei der Erstellung eines VVT

Die Schwächen, die bei Prüfungen und internen Audits auffallen, ähneln sich branchenübergreifend.

Zu allgemeine Einträge: Ein Vermerk wie „Kundendaten“ ohne weitere Spezifikation genügt nicht. Aus dem Eintrag sollte hervorgehen, welche Datenkategorien betroffen sind, welchem Zweck die Verarbeitung dient und welche Löschfristen gelten.

Fehlende Aktualisierung: Das Verzeichnis ist kein einmaliges Projekt. Neue Software, ein Dienstleisterwechsel oder geänderte Geschäftsprozesse machen eine Anpassung erforderlich.

Verwechslung mit der Datenschutzerklärung: Die Datenschutzerklärung informiert betroffene Personen über die Verarbeitung ihrer Daten. Das Verzeichnis ist ein internes Dokumentations- und Nachweisinstrument und ersetzt die Informationspflichten nach Art. 13 und 14 DSGVO nicht.

Fehlende Einbindung der Fachabteilungen: Personalwesen, IT, Marketing und Vertrieb verarbeiten Daten auf unterschiedliche Weise. Wird das Verzeichnis allein am Schreibtisch des Datenschutzbeauftragten erstellt, bleiben Prozesse unberücksichtigt.

Wie erstellt man ein Verzeichnis von Verarbeitungstätigkeiten?

Der Aufbau lässt sich in vier Schritte gliedern.

1. Verarbeitungstätigkeiten erfassen

Am Anfang steht die Bestandsaufnahme aller Tätigkeiten, bei denen personenbezogene Daten verarbeitet werden. Strukturierte Fragebögen für die einzelnen Fachbereiche haben sich dabei bewährt.

Häufig treten in dieser Phase Verarbeitungen zutage, die bislang nicht dokumentiert waren – etwa Auswertungen in Einzeldateien oder kurzfristig eingeführte Tools.

2. Pflichtangaben und Zusatzinformationen zuordnen

Für jede erfasste Tätigkeit werden die Angaben nach Art. 30 DSGVO zusammengetragen. Ergänzend empfiehlt sich die Dokumentation der Rechtsgrundlage und der beteiligten Systeme.

Dieser Schritt erfordert die enge Abstimmung zwischen Fachabteilung, IT und Datenschutzbeauftragtem.

3. Zuständigkeiten festlegen

Jeder Eintrag braucht eine verantwortliche Person, die inhaltliche Änderungen meldet. Ohne diese Zuordnung veraltet das Verzeichnis erfahrungsgemäß schnell.

4. Aktualisierung organisatorisch verankern

Die DSGVO schreibt keinen festen Prüfzyklus vor. Entscheidend ist, dass das Verzeichnis den tatsächlichen Stand der Verarbeitungen abbildet.

In der Praxis hat sich eine Kombination aus einer jährlichen Gesamtdurchsicht und anlassbezogenen Anpassungen bei neuen Prozessen oder Systemen bewährt.

Was droht bei einem fehlenden oder mangelhaften Verzeichnis?

Verstöße gegen Art. 30 DSGVO fallen unter den Bußgeldrahmen des Art. 83 Abs. 4 DSGVO. Vorgesehen sind Geldbußen von bis zu 10 Millionen Euro oder – bei Unternehmen – bis zu 2 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist.

Diese Beträge sind Höchstwerte. Die konkrete Bemessung richtet sich nach den Kriterien des Art. 83 Abs. 2 DSGVO, etwa nach Art, Schwere und Dauer des Verstoßes, dem Grad des Verschuldens und den ergriffenen Abhilfemaßnahmen.

Praktisch bedeutsamer ist häufig die Nachweissituation. Wer bei einer Prüfung kein aktuelles Verzeichnis vorlegen kann, gerät bei der Darlegung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO unter Druck.

Hinzu kommen organisatorische Folgen. Fehlt der Überblick über die eigenen Verarbeitungen, verlängert sich die Bearbeitung von Betroffenenanfragen und die Reaktion auf Datenschutzvorfälle wird schwieriger.

Fazit: Das Verzeichnis als Grundlage strukturierten Datenschutzes

Das Verzeichnis von Verarbeitungstätigkeiten ist mehr als eine formale Pflicht. Es schafft Transparenz über die eigene Datenverarbeitung, unterstützt die Rechenschaftspflicht und erleichtert die Zusammenarbeit mit der Aufsichtsbehörde.

Wer es sorgfältig aufbaut und konsequent pflegt, reduziert den Aufwand bei Prüfungen und Betroffenenanfragen spürbar. Der größte Nutzen entsteht dabei nicht durch das Dokument selbst, sondern durch die Prozesskenntnis, die bei seiner Erstellung entsteht. Helfen kann dabei etwa eine Datenschutz-Management-Software.

Haben Sie Fragen zum Aufbau oder zur Aktualisierung Ihres Verzeichnisses von Verarbeitungstätigkeiten, sprechen Sie uns gerne an. Wir unterstützen Unternehmen von der Bestandsaufnahme und strukturierten Umsetzung bis zur laufenden Pflege sowie bei rechtlichen Fragen.

Häufige Fragen zum Verzeichnis von Verarbeitungstätigkeiten

Wer muss ein Verzeichnis von Verarbeitungstätigkeiten führen?

Verpflichtet sind Verantwortliche nach Art. 30 Abs. 1 DSGVO und Auftragsverarbeiter nach Art. 30 Abs. 2 DSGVO. Unternehmen, die beide Rollen einnehmen, dokumentieren beide Bereiche getrennt.

Brauchen kleine Unternehmen ein Verarbeitungsverzeichnis?

In der Regel ja. Die Erleichterung für Unternehmen mit weniger als 250 Beschäftigten entfällt bereits, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko für betroffene Personen besteht oder Daten nach Art. 9 oder Art. 10 DSGVO verarbeitet werden.

Was muss im Verzeichnis von Verarbeitungstätigkeiten stehen?

Erforderlich sind unter anderem Kontaktdaten, Verarbeitungszwecke, Kategorien betroffener Personen und Daten, Empfängerkategorien, Drittlandübermittlungen sowie – wenn möglich – Löschfristen und eine allgemeine Beschreibung der Schutzmaßnahmen.

Muss die Rechtsgrundlage im Verzeichnis angegeben werden?

Art. 30 DSGVO nennt die Rechtsgrundlage nicht ausdrücklich als Pflichtangabe. Ihre Aufnahme ist dennoch empfehlenswert, weil sie den Nachweis der Rechtmäßigkeit der Verarbeitung erleichtert.

Wie oft muss das Verzeichnis aktualisiert werden?

Einen gesetzlich festgelegten Turnus gibt es nicht. Das Verzeichnis muss den aktuellen Stand abbilden, weshalb sich eine jährliche Durchsicht und eine Anpassung bei jeder relevanten Änderung anbieten.

Darf das Verzeichnis elektronisch geführt werden?

Ja. Art. 30 Abs. 3 DSGVO verlangt die Schriftform und lässt elektronische Formate ausdrücklich zu.

Muss das Verzeichnis veröffentlicht werden?

Nein. Anders als das frühere öffentliche Verfahrensverzeichnis nach dem alten BDSG ist es ein internes Dokument, das nur der Aufsichtsbehörde auf Anfrage vorzulegen ist.