Verzeichnis von Verarbeitungstätigkeiten: Vorlage nach Art. 30 DSGVO

Jeder Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen (Art. 30 Abs. 1 DSGVO); jeder Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Tätigkeiten, die er im Auftrag eines Verantwortlichen durchführt (Abs. 2). Das Verzeichnis ist schriftlich zu führen, was auch elektronisch erfolgen kann (Abs. 3), und ist der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen (Abs. 4). Es dient dem Nachweis, dass die Verordnung eingehalten wird, und erlaubt der Behörde, die Verarbeitungen zu kontrollieren (Erwägungsgrund 82). Verstöße gegen Art. 30 fallen unter den Bußgeldrahmen des Art. 83 Abs. 4 lit. a DSGVO. Absatz 5 enthält dazu eine eng begrenzte Ausnahme.

Kleine Unternehmen müssen nach dem Positionspapier der Art.-29-Datenschutzgruppe, das der Europäische Datenschutzausschuss (EDSA) bestätigt hat, nur die Verarbeitungen aufnehmen, auf die eine Rückausnahme zutrifft. In der Praxis betrifft das fast immer Personal-, Kunden- und Lieferantendaten. EDSA und EDSB nennen das Verzeichnis ein nützliches Werkzeug für Transparenz und Betroffenenrechte (9.7.2025). Ein vollständiges Verzeichnis ist deshalb die Empfehlung von TOMORIS: Es ist die Grundlage für Datenschutzerklärung, Löschkonzept und die Prüfung, ob eine Datenschutz-Folgenabschätzung nötig ist.

Im Verfahren, nicht geltendes Recht: Der Vorschlag COM(2025) 501 (Verfahren 2025/0130(COD)) würde die Ausnahme auf Unternehmen und Einrichtungen mit weniger als 750 Beschäftigten ausweiten, sofern die Verarbeitung kein hohes Risiko im Sinne von Art. 35 birgt. Laut Legislative Observatory des Europäischen Parlaments wurde der Text im Juni 2026 in den Verhandlungen vereinbart; die Abstimmung im Plenum ist für 23.11.2026 vorgesehen (Stand 25.10.2026). Bis zur Kundmachung im Amtsblatt gilt Art. 30 Abs. 5 in der hier beschriebenen Fassung.

Zusatzfelder als Empfehlung von TOMORIS, nicht Pflicht nach Art. 30: Rechtsgrundlage (Art. 6, bei besonderen Kategorien Art. 9), eingesetzte Systeme, verantwortliche Abteilung, Verweis auf den Vertrag zur Auftragsverarbeitung (Art. 28) und das Ergebnis der Prüfung, ob eine Datenschutz-Folgenabschätzung nötig ist (Art. 35). Diese Angaben brauchen Sie ohnehin für Informationspflichten, Nachweis (Art. 5 Abs. 2) und Anfragen Betroffener.

Das Beispiel zeigt Form und Detailtiefe. Ob Ihre Lohnverrechnung genau so läuft, welche Empfänger beteiligt sind und welche weiteren Aufbewahrungsfristen gelten, müssen Sie für Ihr Unternehmen prüfen.

Wer personenbezogene Daten im Auftrag verarbeitet, etwa ein IT-Dienstleister mit Fernwartung, Hosting oder Datensicherung, führt zusätzlich ein eigenes Verzeichnis nach Art. 30 Abs. 2 DSGVO. Es ist nach Auftraggebern gegliedert und enthält weniger Angaben als das Verzeichnis des Verantwortlichen. Für die eigenen Daten, etwa der Beschäftigten, ist dasselbe Unternehmen Verantwortlicher und braucht dafür das Verzeichnis nach Abs. 1.

1. 1

   Verarbeitungen erheben

   Je Abteilung fragen: Welche personenbezogenen Daten verarbeiten Sie, wofür, mit welchem System, wer bekommt sie? Typische Tätigkeiten sind Personal, Bewerbungen, Kunden, Lieferanten, Buchhaltung, Website und Newsletter, E-Mail, Zutritt und Videoüberwachung, IT-Protokolle.

2. 2

   Je Tätigkeit ein Blatt

   Tätigkeiten nach Zweck schneiden, nicht nach System. Ein CRM kann mehrere Tätigkeiten tragen (Vertrieb, Kundendienst), eine Tätigkeit mehrere Systeme nutzen.

3. 3

   Mit anderen Dokumenten verknüpfen

   Zu jedem Blatt den Vertrag zur Auftragsverarbeitung (Art. 28), das TOM-Dokument (Art. 32) und die Datenschutzinformation (Art. 13 und 14) verlinken. Lücken, die dabei auffallen, sind Aufgaben.

4. 4

   Risiko einschätzen

   Für jede Tätigkeit festhalten, ob eine Datenschutz-Folgenabschätzung nach Art. 35 nötig ist, und die Begründung notieren. Das Verzeichnis ist dafür die Ausgangsbasis.

5. 5

   Freigeben und ablegen

   Geschäftsführung oder Datenschutzverantwortliche geben die Fassung frei; Version und Datum im Stammblatt. Die Ablage muss so sein, dass Sie das Verzeichnis der Behörde auf Anfrage zur Verfügung stellen können (Art. 30 Abs. 4).

6. 6

   Pflegen

   Bei jedem neuen System, Dienstleister oder Zweck das Verzeichnis anpassen, bevor die Verarbeitung beginnt, und es zusätzlich mindestens einmal jährlich vollständig durchgehen.

• Stammblatt vollständig: Verantwortlicher, Kontakt, gegebenenfalls Datenschutzbeauftragter und Vertreter (Art. 30 Abs. 1 lit. a)
• Alle Abteilungen befragt, auch IT, Website, Marketing und Gebäude
• Je Tätigkeit konkrete Zwecke statt Sammelbegriffe (lit. b)
• Besondere Kategorien nach Art. 9 und Strafdaten nach Art. 10 eigens gekennzeichnet (lit. c)
• Alle Empfänger erfasst, auch Auftragsverarbeiter, Konzerngesellschaften und Behörden (lit. d)
• Drittlandübermittlungen mit Land und Grundlage, auch über Cloud-Dienste und Support aus dem Ausland (lit. e)
• Löschfristen je Datenkategorie mit Grund, nicht nur „gesetzliche Frist“ (lit. f)
• TOM beschrieben oder auf ein aktuelles TOM-Dokument verwiesen (lit. g)
• Für jede Tätigkeit mit Dienstleister ein Vertrag nach Art. 28 vorhanden
• Prüfung auf Datenschutz-Folgenabschätzung je Tätigkeit dokumentiert
• Als Auftragsverarbeiter: eigenes Verzeichnis nach Art. 30 Abs. 2 je Auftraggeber
• Version, Freigabe und nächste Überprüfung im Stammblatt eingetragen

• Ausnahme nach Abs. 5 angenommen, obwohl Personal- oder Kundendaten regelmäßig verarbeitet werden: Diese Verarbeitungen sind nicht nur gelegentlich und gehören ins Verzeichnis.
• Liste der Systeme statt der Zwecke: Das Verzeichnis beschreibt Verarbeitungstätigkeiten; Systeme sind ein Hilfsfeld.
• Einmal erstellt, nie gepflegt: Neue Werkzeuge, etwa KI-Dienste oder Cloud-Speicher, fehlen dann genau dort, wo Fragen kommen.
• Löschfristen ohne Umsetzung: Eine Frist im Verzeichnis nützt nur, wenn auch jemand löscht oder ein System automatisch löscht.
• Auftragsverarbeiter verwechseln die beiden Verzeichnisse: Für Kundendaten gilt Abs. 2, für eigene Daten Abs. 1.