Vorhaben besprechen

TOOLBOX · DOWNLOAD

Verarbeitungs-verzeichnis alsVorlage.

Das Verzeichnis von Verarbeitungstätigkeiten ist die Bestandsaufnahme, auf der fast jede andere DSGVO-Pflicht aufbaut: Informationspflichten, Löschfristen, technische und organisatorische Maßnahmen, Verträge mit Dienstleistern und die Frage, ob eine Datenschutz-Folgenabschätzung nötig ist. Diese Vorlage setzt die Pflichtangaben nach Art. 30 Abs. 1 und 2 DSGVO in Felder um, erklärt jedes Feld, zeigt eine ausgefüllte Beispielzeile und ordnet die Ausnahme für Unternehmen unter 250 Beschäftigten samt dem laufenden EU-Vorschlag zur Änderung ein.

PDF herunterladen (9 Seiten)Was drinsteht

Kostenloses PDF · Vorlage

Verzeichnis von Verarbeitungstätigkeiten: Vorlage nach Art. 30 DSGVO

Thema
NIS2 & Compliance
Format
PDF, A4
Umfang
9 Seiten
Größe
116 KB
Stand
25.10.2026
Quellen
8
Nutzung
Anpassen für den eigenen Gebrauch erlaubt, Weitergabe unverändert
Als Webseite lesen

FÜR WEN

Für wen
das gedacht ist.

Stammblatt, Blatt je Verarbeitungstätigkeit, ausgefüllte Beispielzeile und Teil für Auftragsverarbeiter, mit Erläuterung jedes Pflichtfelds nach Art. 30 DSGVO.

  • Geschäftsführung und Datenschutzverantwortliche kleiner und mittlerer Unternehmen
  • Datenschutzbeauftragte, die ein bestehendes Verzeichnis prüfen oder neu aufsetzen
  • IT-Dienstleister und andere Auftragsverarbeiter, die ein Verzeichnis nach Art. 30 Abs. 2 führen müssen
  • Abteilungen wie Personal, Vertrieb und IT, die ihre Verarbeitungen zuliefern

9 ABSCHNITTE

Was drin
steht.

Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.

  • 01

    Wer ein Verzeichnis führen muss

    Pflicht nach Art. 30 DSGVO, Form, Vorlage an die Behörde und die eng begrenzte Ausnahme unter 250 Beschäftigten.

  • 02

    Pflichtangaben für Verantwortliche

    Die sieben Angaben nach Art. 30 Abs. 1 lit. a bis g DSGVO, was hineingehört und worauf Sie achten sollten.

  • 03

    Stammblatt zum Ausfüllen

    Angaben, die für alle Verarbeitungstätigkeiten gleich sind, einmal am Anfang des Verzeichnisses.

  • 04

    Blatt je Verarbeitungstätigkeit

    Ein Blatt pro Tätigkeit, z. B. Lohnverrechnung, Bewerbungen, Kundenverwaltung, Newsletter oder Videoüberwachung.

  • 05

    Beispielzeile: Lohn- und Gehaltsverrechnung

    Ein ausgefülltes Blatt als Muster; Angaben an Ihr Unternehmen anpassen, Platzhalter ersetzen.

  • 06

    Verzeichnis als Auftragsverarbeiter

    Was IT-Dienstleister und andere Auftragsverarbeiter nach Art. 30 Abs. 2 DSGVO für jeden Auftraggeber festhalten.

  • 07

    So bauen Sie das Verzeichnis auf und halten es aktuell

    Vom ersten Erheben in den Abteilungen bis zur regelmäßigen Überprüfung, als Empfehlung von TOMORIS.

  • 08

    Prüfliste vor der Freigabe

    Zum Abhaken: Vollständigkeit, Genauigkeit und Zusammenhang mit den übrigen Nachweisen.

  • 09

    Häufige Fehler

    Was Verzeichnisse in der Praxis unbrauchbar macht und wie Sie es vermeiden.

AUSZUG

Pflichtangaben für Verantwortliche

Inhalt je Verarbeitungstätigkeit nach Art. 30 Abs. 1 DSGVO
AngabeWas Sie eintragenHinweis
a) VerantwortlicherName und Kontaktdaten des Verantwortlichen, gegebenenfalls des gemeinsam Verantwortlichen, des Vertreters und eines DatenschutzbeauftragtenEinmal im Stammblatt, je Tätigkeit nur Abweichungen (z. B. gemeinsame Verantwortung nach Art. 26)
b) ZweckeWofür die Daten verarbeitet werden, konkret statt allgemein„Lohnverrechnung und Meldungen an Behörden“ statt „Personalverwaltung“
c) Betroffene und DatenKategorien betroffener Personen und Kategorien personenbezogener DatenBesondere Kategorien (Art. 9) und Strafdaten (Art. 10) eigens kennzeichnen
d) EmpfängerKategorien von Empfängern, denen Daten offengelegt wurden oder werden, auch in DrittländernAuch Auftragsverarbeiter und Behörden; Kategorien genügen, Namen helfen bei der Pflege
e) DrittlandübermittlungGegebenenfalls Übermittlungen an ein Drittland oder eine internationale Organisation, mit Angabe des LandesBei Übermittlungen nach Art. 49 Abs. 1 Unterabsatz 2 die geeigneten Garantien dokumentieren
f) LöschfristenWenn möglich die vorgesehenen Fristen für die Löschung der DatenkategorienFrist mit Grund nennen, z. B. gesetzliche Aufbewahrungspflicht
g) SicherheitsmaßnahmenWenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1Verweis auf ein gemeinsames TOM-Dokument genügt, wenn es aktuell ist

Zusatzfelder als Empfehlung von TOMORIS, nicht Pflicht nach Art. 30: Rechtsgrundlage (Art. 6, bei besonderen Kategorien Art. 9), eingesetzte Systeme, verantwortliche Abteilung, Verweis auf den Vertrag zur Auftragsverarbeitung (Art. 28) und das Ergebnis der Prüfung, ob eine Datenschutz-Folgenabschätzung nötig ist (Art. 35). Diese Angaben brauchen Sie ohnehin für Informationspflichten, Nachweis (Art. 5 Abs. 2) und Anfragen Betroffener.

Komplett als PDF

QUELLEN

Belegt,
nicht behauptet.

  1. Verordnung (EU) 2016/679 (DSGVO) (öffnet in neuem Tab)Art. 4, 5 Abs. 2, 9, 10, 26 bis 28, 30, 32, 35, 49, 83 Abs. 4 und Erwägungsgrund 82
  2. Art.-29-Datenschutzgruppe: Position Paper on the derogations from the obligation to maintain records of processing activities pursuant to Article 30(5) GDPR (19.4.2018) (öffnet in neuem Tab)Rückausnahmen alternativ, „risk (not just a high risk)“, Begriff „occasional“ (Fußnote 1)
  3. EDSA: Endorsement 1/2018 der Dokumente der Art.-29-Datenschutzgruppe (öffnet in neuem Tab)Nr. 9: Positionspapier zu Art. 30 Abs. 5
  4. Vorschlag COM(2025) 501 zur Änderung u. a. der Verordnung (EU) 2016/679 (kleine Midcap-Unternehmen) (öffnet in neuem Tab)Erwägungsgründe 8 und 9, Änderung von Art. 30 Abs. 5
  5. Europäisches Parlament, Legislative Observatory: Verfahren 2025/0130(COD) (öffnet in neuem Tab)Stand 25.10.2026: Einigung 26.6.2026, Plenum vorgesehen 23.11.2026
  6. EDSA und EDSB: Gemeinsame Stellungnahme zu den Änderungen der Aufzeichnungspflichten (Meldung vom 9.7.2025) (öffnet in neuem Tab)Verzeichnis als Werkzeug für Transparenz und Betroffenenrechte
  7. Bundesabgabenordnung (BAO), geltende Fassung im RIS (öffnet in neuem Tab)§ 132 Abs. 1, Fassung vom 25.10.2026
  8. WKO DSGVO4KMU: Muster Verzeichnis von Verarbeitungstätigkeiten für Verantwortliche (öffnet in neuem Tab)ergänzend: Aufbau mit Stammdatenblatt und Rechtsgrundlagen

Diese Vorlage ist an Ihr Unternehmen anzupassen: Verarbeitungstätigkeiten, Empfänger, Fristen und Maßnahmen hängen von Ihren Abläufen ab. Sie gibt einen Überblick und ersetzt keine Rechtsberatung; maßgeblich ist der Gesetzestext in der jeweils geltenden Fassung.

TOOLBOX

Passend
dazu.

NIS2 & COMPLIANCE

Mehr zum
Thema.

Weitere kostenlose PDFs aus dem Bereich NIS2 & Compliance.

Alle Downloads zu NIS2 & Compliance

IHR NÄCHSTER SCHRITT

Vom Papier
in die Praxis.

Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Umsetzung besprechenAlle Downloads