Was ist ein Verzeichnis von Verarbeitungstätigkeiten?
Das Verzeichnis ist eine Übersicht Ihrer Verarbeitungstätigkeiten, nicht Ihrer Systeme oder Datenfelder. Eine Verarbeitungstätigkeit ist etwas, das Sie mit personenbezogenen Daten zu einem Zweck tun, etwa die Gehaltsabrechnung oder den Versand eines Newsletters. Die meisten Organisationen kommen auf 15 bis 60 Tätigkeiten. Das Verzeichnis ist schriftlich zu führen, auch elektronisch, und der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen (Art. 30 Abs. 3 und 4).
Organisationen mit weniger als 250 Beschäftigten sind nur für Verarbeitungen befreit, die gelegentlich erfolgen, voraussichtlich kein Risiko für die Betroffenen bergen und keine besonderen Kategorien (Art. 9) oder Daten über Straftaten (Art. 10) umfassen. Lohnabrechnung, Kundenverwaltung und Personalakten erfolgen nicht gelegentlich, deshalb führt praktisch jeder Arbeitgeber dafür ein Verzeichnis.
Was der Verantwortliche festhalten muss
| Art. 30 Abs. 1 | Spalte im Verzeichnis | Beispiel |
|---|---|---|
| lit. a | Name und Kontaktdaten des Verantwortlichen, ggf. gemeinsam Verantwortlicher, des Vertreters und des Datenschutzbeauftragten | Einmal oben im Verzeichnis |
| lit. b | Zwecke der Verarbeitung | Gehaltszahlung und Erfüllung steuerlicher Pflichten |
| lit. c | Kategorien betroffener Personen und personenbezogener Daten | Beschäftigte; Identifikationsdaten, Bankverbindung, Gehalt, Steuer-ID |
| lit. d | Kategorien von Empfängern, auch in Drittländern | Lohnbüro, Finanzamt, Krankenkasse |
| lit. e | Übermittlungen in Drittländer und die Garantie | Keine, oder: USA, Angemessenheitsbeschluss |
| lit. f | Fristen für die Löschung, wenn möglich | Gesetzliche Aufbewahrungsfrist, danach Löschung |
| lit. g | Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (Art. 32) | Zugriff nur für HR, Zwei-Faktor-Anmeldung, verschlüsselte Speicherung |
Nicht von Art. 30 verlangt, aber als Spalte sinnvoll: die Rechtsgrundlage nach Art. 6, die verantwortliche Fachabteilung, die Herkunft der Daten, ob eine DSFA nötig ist und das Datum der letzten Prüfung. Die Rechtsgrundlage brauchen Sie ohnehin für die Datenschutzhinweise, und die Muster der Aufsichtsbehörden enthalten sie meist.
Das Verzeichnis des Auftragsverarbeiters
Wenn Sie personenbezogene Daten im Auftrag von Kunden verarbeiten, etwa als SaaS-Anbieter, Lohnbüro oder IT-Dienstleister, verlangt Art. 30 Abs. 2 ein eigenes, kürzeres Verzeichnis:
- Name und Kontaktdaten jedes Verantwortlichen (Kunden), für den Sie tätig sind, sowie Ihres Vertreters und Datenschutzbeauftragten;
- die Kategorien von Verarbeitungen, die Sie für jeden Verantwortlichen durchführen;
- Übermittlungen in Drittländer und die Garantie;
- eine allgemeine Beschreibung Ihrer technischen und organisatorischen Maßnahmen.
Viele Organisationen sind beides: Verantwortlicher für eigene Beschäftigte und Kunden, Auftragsverarbeiter für die Daten, die Kunden in ihren Dienst einstellen. Führen Sie beide Verzeichnisse, klar getrennt.
Beispiel: ein Unternehmen mit 40 Beschäftigten
Ein Softwareunternehmen mit 40 Beschäftigten als Verantwortlicher. Drei seiner Verarbeitungstätigkeiten:
| Tätigkeit | Zweck und Rechtsgrundlage | Betroffene und Daten | Empfänger und Übermittlungen | Löschfrist | Maßnahmen |
|---|---|---|---|---|---|
| Lohnabrechnung und Personalverwaltung | Gehalt, Steuern und Sozialversicherung; Vertrag und rechtliche Pflicht (Art. 6 Abs. 1 lit. b und c) | Beschäftigte; Identifikation, Kontakt, Bankverbindung, Gehalt, Steuer-ID, Abwesenheitstage | Lohnbüro (Auftragsverarbeiter), Finanzamt, Krankenkasse; keine Übermittlung | Gesetzliche Aufbewahrungsfristen | Zugriff nur für HR, Zwei-Faktor-Anmeldung, verschlüsselte Speicherung |
| Kundensupport | Kundenanfragen beantworten; Vertrag (Art. 6 Abs. 1 lit. b) | Ansprechpartner der Kunden; Name, E-Mail, Ticketinhalt | Helpdesk-Anbieter (Auftragsverarbeiter), in der EU gehostet; keine Übermittlung | 2 Jahre nach Abschluss des Tickets | Rollenbasierte Zugriffe, Protokollierung |
| Newsletter | Produktneuigkeiten; Einwilligung (Art. 6 Abs. 1 lit. a) | Abonnenten; E-Mail, Name, Datum der Einwilligung | Versanddienstleister (Auftragsverarbeiter); USA, Angemessenheitsbeschluss | Bis zur Abmeldung; Nachweis der Einwilligung 3 Jahre | Double-Opt-in, Zugriff nur für Marketing |
Kostenlose Vorlage (CSV)
Zwei CSV-Dateien, die sich in Excel, LibreOffice und Google Sheets öffnen lassen: eine für Ihr Verzeichnis als Verantwortlicher, mit den drei Beispielzeilen, und eine für Ihr Verzeichnis als Auftragsverarbeiter. Die Angaben zu Verantwortlichem und Datenschutzbeauftragtem gehören oben in das Dokument, das Sie weitergeben.
Häufige Fehler
- Eine Zeile pro System ("CRM", "SharePoint") statt pro Zweck, sodass Zwecke und Rechtsgrundlagen vage bleiben.
- Löschfrist "solange erforderlich" statt eines Zeitraums oder der Regel, die ihn festlegt.
- Fehlende Auftragsverarbeiter wie Cloud-, E-Mail- und Lohnabrechnungsanbieter.
- Übermittlungen an Anbieter außerhalb der EU ohne Garantie: Angemessenheitsbeschluss, Standardvertragsklauseln oder verbindliche interne Datenschutzvorschriften.
- Ein Verzeichnis, das 2018 einmal erstellt und seitdem nie geprüft wurde.
Das Verzeichnis in Dazr führen
- Ein Verzeichnis, beide Rollen: jede Verarbeitungstätigkeit erfasst Rolle (Verantwortlicher oder Auftragsverarbeiter), Zwecke, Rechtsgrundlage, Betroffene, Datenkategorien, Empfänger, Übermittlungen mit Garantie, Löschfrist, Maßnahmen und Herkunft.
- Einmal erfasst: Angaben zu Verantwortlichem, Vertreter und Datenschutzbeauftragtem werden einmal eingegeben und in jedem Export verwendet.
- Verknüpft: Tätigkeiten sind mit Dienstleistern und DSFAs verknüpft, Risiken aus der DSFA mit dem Risikoregister.
- Export: das Verzeichnis als PDF für die Aufsichtsbehörde oder den Auditor, als Excel oder CSV zum Bearbeiten; jede Änderung steht im Aktivitätsprotokoll.
- Tarif: Verarbeitungsverzeichnis und DSFAs gehören zu Pro, 99 € im Monat, mit 14 Tagen kostenlosem Test. Free enthält das Register für Datenpannen mit der 72-Stunden-Frist.
Dazr hilft Ihnen, das Verzeichnis vollständig und aktuell zu halten; es legt keine Rechtsgrundlage fest und ist keine Rechtsberatung.
Quelle: Verordnung (EU) 2016/679 (DSGVO), Art. 30, und das Positionspapier der Artikel-29-Datenschutzgruppe zu Art. 30 Abs. 5 vom 19. April 2018. Zuletzt geprüft am 7. November 2026.
Häufige Fragen
Brauchen kleine Unternehmen ein Verarbeitungsverzeichnis?
Meist ja. Die Ausnahme für weniger als 250 Beschäftigte gilt nicht für regelmäßige oder riskante Verarbeitungen oder solche mit besonderen Kategorien, und Lohnabrechnung und Kundendaten sind regelmäßig. Die EU hat vorgeschlagen, diese Schwelle zu ändern; prüfen Sie, ob eine Änderung in Kraft ist, bevor Sie sich darauf stützen.
Gibt es ein amtliches Muster?
Nein. Art. 30 schreibt den Inhalt vor, nicht die Form. Mehrere Aufsichtsbehörden veröffentlichen eigene Muster; eine Tabelle oder ein Register in einem Tool genügt, solange alle Pflichtangaben enthalten sind.
Müssen wir das Verzeichnis veröffentlichen?
Nein. Es ist ein internes Dokument, das Sie der Aufsichtsbehörde auf Anfrage vorlegen. Was Sie Betroffenen mitteilen, gehört in die Datenschutzhinweise.
Wie oft sollten wir es aktualisieren?
Immer wenn eine Verarbeitung beginnt, sich ändert oder endet, und mindestens einmal im Jahr in einer vollständigen Prüfung. Halten Sie das Datum der letzten Prüfung je Tätigkeit fest.