Verzeichnis von Verarbeitungstätigkeiten (VVT): an einem Nachmittag erstellt (mit Vorlage)

Für wen

Inhaber und Verantwortliche in KMU, die sich „nebenbei auch um die DSGVO kümmern“, und DSB oder Berater, die Verzeichnisse für Mandanten erstellen und eine wiederholbare Methode suchen. Wenn Sie mehrere Mandanten betreuen, lesen Sie auch den Ratgeber für externe DSB mit mehreren Mandanten.

Für wen nicht

Für alle, die eine Rechtsberatung im Einzelfall brauchen. Dieser Ratgeber erklärt die Regel und eine praktische Methode, ersetzt aber keine professionelle Beratung.

Freitag, 14:05 Uhr, Oficina Rocha

Marta leitet die Verwaltung der Oficina Rocha, eines Möbelherstellers mit 45 Beschäftigten in der Nähe von Braga im Norden Portugals, mit einem Onlineshop, der ins ganze Land liefert. Am Freitagnachmittag „kümmert sie sich auch um die DSGVO“.

Heute kam eine E-Mail der CNPD, der portugiesischen Datenschutzbehörde. Ein Kunde des Onlineshops hat sich beschwert, und die Behörde verlangt mehrere Unterlagen, darunter das Verzeichnis von Verarbeitungstätigkeiten des Unternehmens.

Marta öffnet den geteilten Ordner und findet DSGVO_final_v3.docx, datiert Mai 2018. Darin geht es um einen Server, den es nicht mehr gibt, einen Softwareanbieter, der inzwischen anders heißt, und ein Faxgerät. Nichts zum Onlineshop, zu den Kameras im Lager oder zur neuen Bewerbersoftware.

Sie hat bis zum Ende des Nachmittags Zeit, um herauszufinden, was fehlt. Machen wir es mit ihr zusammen.

Die Oficina Rocha, Marta und die anderen Personen sind fiktiv.

Das Verzeichnis: was es ist und warum es sich lohnt

Das Verzeichnis ist die Landkarte der personenbezogenen Daten Ihrer Organisation. Es ist kein juristischer Text und keine Richtlinie. Es ist eine Tabelle mit einer Zeile pro Tätigkeit: Gehälter zahlen, Personal auswählen, Bestellungen im Onlineshop abwickeln, den Newsletter versenden, mit Kameras überwachen.

Das Gesetz verlangt es, damit Sie nachweisen können, dass Sie die DSGVO einhalten, und damit die Aufsichtsbehörde es einsehen kann (Erwägungsgrund 82; Art. 5 Abs. 2; Art. 30 Abs. 4). Der größte Nutzen liegt aber intern. Ein aktuelles Verzeichnis beantwortet schnell die Fragen, die immer im ungünstigsten Moment kommen:

• Ein Kunde verlangt alle Daten, die wir über ihn haben. Das Verzeichnis sagt, wo Sie suchen müssen (siehe den Ratgeber zu Auskunftsersuchen und Löschanträgen). In seiner koordinierten Aktion 2024 zum Auskunftsrecht mit 1.185 Organisationen empfiehlt der Europäische Datenschutzausschuss (EDSA), das Verzeichnis zu nutzen, um die Daten zu finden und zu erkennen, an wen sie weitergegeben wurden.
• Wir haben einen Laptop verloren. Das Verzeichnis sagt, welche Daten darauf sein konnten und wer betroffen ist, die erste Frage der 72 Stunden nach einer Datenpanne.
• Wir wechseln den Softwareanbieter. Das Verzeichnis sagt, welche Tätigkeiten davon abhängen.
• Wir müssen die Datenschutzhinweise aktualisieren. Zwecke, Empfänger und Fristen stehen schon da (Art. 13 und 14).

„Wir haben weniger als 250 Beschäftigte, also sind wir befreit.“ Wahrscheinlich nicht.

Die DSGVO sieht eine Ausnahme für Organisationen mit weniger als 250 Beschäftigten vor. Lesen Sie den Satz aber bis zum Ende:

„Die in den Absätzen 1 und 2 genannten Pflichten gelten nicht für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen, es sei denn die von ihnen vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich oder es erfolgt eine Verarbeitung besonderer Datenkategorien gemäß Artikel 9 Absatz 1 bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10.“ Art. 30 Abs. 5 DSGVO

Eine der drei Bedingungen genügt, um die Ausnahme aufzuheben, und die zweite trifft fast alle: Die monatliche Lohnabrechnung erfolgt nicht nur gelegentlich. In Deutschland erklärt die Datenschutzkonferenz (DSK), das Gremium der deutschen Aufsichtsbehörden, in ihrem Kurzpapier Nr. 1, was ins Verzeichnis gehört. Die CNPD, die portugiesische Behörde, geht noch weiter: Für sie greift die Ausnahme nur unter „absolut außergewöhnlichen“ Umständen.

Die Artikel-29-Datenschutzgruppe, deren Position der EDSA übernommen hat, hat einen hilfreichen Punkt klargestellt: Eine kleine Organisation muss nur die Tätigkeiten aufnehmen, die eine der Bedingungen erfüllen. In der Praxis sind das, wie die Oficina Rocha zeigt, fast alle.

Beispiel zur Veranschaulichung. Die Risikobewertung hängt von den konkreten Umständen jeder Organisation ab.

Selbst wenn die Ausnahme greift, bleibt das Verzeichnis der einfachste Weg, die Rechenschaftspflicht zu erfüllen (Art. 5 Abs. 2; Art. 24). 2025 haben der EDSA und der Europäische Datenschutzbeauftragte (EDSB) es als nützliches Werkzeug beschrieben, um auch andere Pflichten zu erfüllen, etwa die Transparenz.

Kostenlose Vorlage: das Starter-Kit Verarbeitungsverzeichnis macht aus diesem Ratgeber eine einsatzbereite Tabelle.

Verantwortlicher oder Auftragsverarbeiter? Vielleicht beides

Es gibt zwei getrennte Verzeichnisse mit unterschiedlichem Inhalt.

Eine Organisation kann beides sein. Eine Marketingagentur ist Verantwortlicher für die Daten ihres eigenen Personals und Auftragsverarbeiter, wenn sie Newsletter an die Listen ihrer Kunden schickt. Wer beide Rollen hat, führt zwei getrennte Verzeichnisse. Die Leitlinien 07/2020 des EDSA helfen, die Rolle im Einzelfall zu bestimmen.

Die sieben Angaben, in einfachen Worten

Das ist der Mindestinhalt des Verzeichnisses des Verantwortlichen (Art. 30 Abs. 1 lit. a bis g). Die letzte Spalte zeigt die Zeile Lohnabrechnung der Oficina Rocha als ausgefülltes Beispiel.

Zu den Löschfristen. Schreiben Sie unter f) die Zahl der Jahre und den Grund (zum Beispiel „Abgabenordnung“). Wenn Sie die genaue Frist nicht kennen, fragen Sie Ihre Steuer- oder Rechtsberatung und notieren Sie, wer sie wann bestätigt hat. Eine geprüfte Frist ist mehr wert als eine perfekte.

Die Nachmittagsmethode

Marta braucht kein Projekt über drei Monate. Sie braucht heute ein ehrliches und vollständiges Verzeichnis, das sie danach verbessert. In einer Organisation mit 10 bis 20 Tätigkeiten passen diese vier Schritte in einen Nachmittag. In einer größeren Organisation rechnen Sie mit einem Nachmittag pro Abteilung.

1. 14:00 · 30 Min.

   Teams und Systeme auflisten

   Schreiben Sie die Bereiche der Organisation auf: Personal, Vertrieb und Onlineshop, Verwaltung, Produktion, IT, Haustechnik. Daneben die Software und Dienste, die jeder nutzt. Vergessen Sie die Website nicht: Formulare, Cookies und Statistikwerkzeuge verarbeiten ebenfalls personenbezogene Daten.

2. 14:30 · 90 Min.

   Jedem Team dieselben fünf Fragen stellen

   Fünfzehn Minuten pro Person genügen. Verwenden Sie immer dieselben Fragen:

   1. Welche personenbezogenen Daten nutzen Sie bei Ihrer Arbeit?
   2. Wofür?
   3. Woher kommen sie (von der Person selbst, von einem anderen Unternehmen, aus einem öffentlichen Verzeichnis)?
   4. Wer sieht oder erhält sie sonst noch, einschließlich Software- und Dienstleistern?
   5. Wie lange bewahren Sie sie auf, und warum?

3. 16:00 · 90 Min.

   Eine Zeile pro Zweck schreiben, nicht pro Software

   Dieser Schritt vermeidet die meisten Fehler. Tätigkeiten werden über den Zweck bestimmt, nicht über die eingesetzte Software. Eine Software kann mehreren Zwecken dienen, und ein Zweck nutzt fast immer mehrere Programme.

   [Schema: Der Zweck „Bestellungen im Onlineshop abwickeln“ ist mit vier Systemen verbunden: Shop-Plattform, Rechnungssoftware, Lieferdienst, Support-Postfach.]

   Die Systeme kommen in eine eigene Spalte der Zeile. Wechseln Sie den Lieferdienst, ändern Sie eine Zelle, nicht das ganze Verzeichnis.

4. 17:30 · 30 Min.

   Die Spalten ergänzen, die das Verzeichnis nützlich machen

   Artikel 30 verlangt sie nicht, aber sie sparen später Zeit.

   • Rechtsgrundlage (Vertrag, rechtliche Verpflichtung, Einwilligung …) Art. 6
   • Herkunft der Daten, nötig für die Information der Betroffenen, Art. 14
   • Systeme und Dienstleister, mit dem Hinweis, ob ein Auftragsverarbeitungsvertrag besteht, Art. 28
   • DSFA nötig? Ja, nein oder zu prüfen, Art. 35
   • Verantwortliche Person für die Zeile und Datum der nächsten Prüfung

Um 18:00 Uhr hat Marta 14 Zeilen. Drei sind als „zu bestätigen“ markiert. Perfekt ist das nicht, aber wahr, datiert und versandbereit. Es ist viel besser als die Datei von 2018.

Sechs Fehler, die ein Verzeichnis nutzlos machen

• Eine Zeile pro Software. „Personalsoftware“ ist kein Zweck. Personal auswählen, Gehälter zahlen und Leistung beurteilen sind drei Zwecke.
• Vage Zwecke. „Verwaltung“ oder „administrative Zwecke“ sagen nichts. Schreiben Sie, was wirklich passiert: „den monatlichen Newsletter an Kunden senden, die ihn angefordert haben“.
• Speicherung „unbefristet“. Die DSGVO verlangt Fristen, wann immer möglich. Fast immer lässt sich eine Zahl nennen.
• Vergessene Tätigkeiten. Am häufigsten fehlen: Videoüberwachung, Initiativbewerbungen, Website-Statistik und der Fernzugriff des IT-Dienstleisters.
• Unvollständige Empfänger. Der E-Mail-Anbieter, die Cloud und die Steuerberatung sind ebenfalls Empfänger.
• Niemand ist zuständig. Ein Verzeichnis ohne jemanden, der es pflegt, ist in wenigen Monaten veraltet. Weisen Sie jede Zeile einer Person zu.

Was die Behörden sagen

Eine europäische koordinierte Aktion speziell zum Verzeichnis gab es noch nicht, aber die Behörden sind sich einig:

• Die Datenschutzkonferenz (DSK) erläutert in ihrem Kurzpapier Nr. 1, wer ein Verzeichnis führen muss und welche Angaben es enthält, für Verantwortliche und Auftragsverarbeiter. Zuständig für Unternehmen ist in Deutschland meist die Datenschutzbehörde des jeweiligen Bundeslandes.
• Die CNPD, die portugiesische Behörde, erinnert daran, dass die Pflicht auch Organisationen mit weniger als 250 Beschäftigten trifft und die Ausnahme „absolut außergewöhnlich“ ist. Sie veröffentlicht Excel-Vorlagen für Verantwortliche und Auftragsverarbeiter.
• Der EDSA schreibt im Bericht 2024 zum Auskunftsrecht, das Verzeichnis sei „stets aktuell“ zu halten, auch wenn neue Systeme oder Auftragsverarbeiter hinzukommen, und empfiehlt, es zu nutzen, um bei einem Antrag die Daten zu finden.
• EDSA und EDSB haben 2025 anerkannt, dass die bisherige Ausnahme ihr Ziel nicht immer erreicht hat. Sie haben die Vereinfachung unterstützt und sehen im Verzeichnis weiterhin ein nützliches Werkzeug.
• In der öffentlichen Konsultation des EDSA zu Vorlagen im Jahr 2025 war das Verzeichnis von Verarbeitungstätigkeiten die am häufigsten gewünschte Vorlage. Der EDSA hat eine europäische Vorlage in sein Arbeitsprogramm 2026–2027 aufgenommen. Wenn Ihnen das Verzeichnis schwerfällt, sind Sie nicht allein.

Was sich ändern kann · aktualisiert am 21. Okt. 2026

Die Ausnahme wird breiter. Noch kein Gesetz.

Im Mai 2025 hat die Europäische Kommission vorgeschlagen, Artikel 30 Absatz 5 im Vereinfachungspaket „Omnibus IV“ zu ändern. Das Gesetzgebungsverfahren trägt die Nummer 2025/0130(COD).

• 21. Mai 2025: Vorschlag der Kommission: Ausnahme für Organisationen mit weniger als 750 Beschäftigten, außer die Verarbeitung birgt voraussichtlich ein hohes Risiko.
• 25. Feb. 2026: Die Ausschüsse des Europäischen Parlaments beschließen ihre Position: Schwelle von 1.000 Beschäftigten und keine Ausnahme bei der Verarbeitung besonderer Daten.
• 26. Juni 2026: vorläufige Einigung zwischen Parlament und Rat, bestätigt vom Ausschuss der Ständigen Vertreter.
• 23. Nov. 2026: voraussichtlicher Termin der Plenumsabstimmung im Parlament. Danach folgen die Annahme durch den Rat und die Veröffentlichung im Amtsblatt.

Der Kompromisstext (Ratsdokument 10482/26 ADD 3 vom 19. Juni 2026) würde Unternehmen und Organisationen mit weniger als 1.000 Beschäftigten von der Pflicht zum Verzeichnis befreien, mit drei Grenzen:

• jede Tätigkeit, die voraussichtlich ein hohes Risiko für die Personen im Sinne von Artikel 35 birgt, muss weiter erfasst werden, und nur diese;
• das Verzeichnis ist weiter zu führen, wenn die Tätigkeit zu denen gehört, die die Benennung eines DSB erfordern;
• die Ausnahme gilt nicht für Behörden und öffentliche Stellen.

Die Erwägungsgründe fügen hinzu, dass die Verarbeitung von Gesundheitsdaten allein zur Erfüllung arbeits- und sozialversicherungsrechtlicher Pflichten (etwa Arbeitsunfähigkeitsbescheinigungen) für sich genommen nicht zum Verzeichnis verpflichtet.

Was das heute für Sie bedeutet: Bis der endgültige Text im Amtsblatt veröffentlicht und anwendbar ist, gilt die bisherige Regel mit 250 Beschäftigten. Und auch danach muss eine befreite Organisation wissen, welche Daten sie hat, um Auskunftsersuchen zu beantworten, Datenpannen zu bewältigen und korrekte Datenschutzhinweise zu schreiben. Von der Form befreit zu sein, heißt nicht, vom Wissen befreit zu sein.

Ein weiteres Paket, der „Digital Omnibus“ vom November 2025, ändert Artikel 30 nicht, schlägt aber europäische Listen der Verarbeitungen vor, die eine Datenschutz-Folgenabschätzung (DSFA) erfordern. Wird er angenommen, hilft er beim Ausfüllen der Spalte „DSFA nötig?“. Wir prüfen diesen Kasten bei jedem Verfahrensschritt. Was dieser Vorschlag bei Datenpannen und beim Auskunftsrecht ändert, erklären wir im Artikel zum Digital Omnibus.

In 15 Minuten pro Quartal aktuell halten

Ein Verzeichnis ist eine Momentaufnahme. Damit es nicht veraltet, braucht es Auslöser und eine kurze Routine.

Kostenlose Vorlagen, ehrlich verglichen

Sie müssen nicht bei null anfangen. Das sind die verfügbaren amtlichen Hilfen:

Das Pulsaiq-Kit folgt denselben Regeln und ergänzt, was fehlt: ausgefüllte Zeilen für die Tätigkeiten, die fast jedes KMU hat, und eine kurze Erklärung in jeder Spalte.

Checkliste: Ist Ihr Verzeichnis fertig?

• Sie haben entschieden, ob Sie Verantwortlicher, Auftragsverarbeiter oder beides sind, und haben für jede Rolle ein Verzeichnis.
• Sie haben mit allen Teams gesprochen, auch mit der IT und den Zuständigen für die Website.
• Jede Zeile ist ein Zweck, als konkrete Handlung formuliert.
• Die sieben Angaben nach Art. 30 Abs. 1 sind für jede Zeile ausgefüllt.
• Jede Löschfrist hat eine Zahl und einen Grund.
• Software- und Dienstleister stehen bei den Empfängern.
• Übermittlungen außerhalb des EWR sind erfasst, mit der verwendeten Garantie.
• Tätigkeiten, die eine DSFA brauchen könnten, sind markiert.
• Jede Zeile hat eine verantwortliche Person und ein nächstes Prüfdatum.
• Das Verzeichnis ist datiert und könnte noch am Tag der Anfrage an die Aufsichtsbehörde geschickt werden.

Häufige Fragen

Häufige Fragen

Muss ein KMU mit weniger als 250 Beschäftigten ein Verzeichnis von Verarbeitungstätigkeiten führen?

Fast immer ja. Die Ausnahme nach Art. 30 Abs. 5 entfällt, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko birgt oder besondere oder strafrechtliche Daten betrifft. Schon die monatliche Lohnabrechnung erfolgt nicht nur gelegentlich.

Muss ich das Verzeichnis an die Aufsichtsbehörde schicken?

Nein. Das Verzeichnis bleibt in der Organisation, schriftlich, auch elektronisch (Art. 30 Abs. 3). Sie stellen es nur zur Verfügung, wenn die Behörde es anfordert (Art. 30 Abs. 4): Es lohnt sich also, es am selben Tag versenden zu können.

Kann eine Tabelle als Verzeichnis dienen?

Ja. Das Gesetz schreibt weder Format noch Software vor, nur den Inhalt der sieben Angaben. Mehrere Behörden, darunter die CNPD, veröffentlichen eigene Vorlagen. Entscheidend ist, dass das Verzeichnis vollständig, datiert und aktuell ist.

Wie oft muss das Verzeichnis aktualisiert werden?

Bei jeder Änderung, plus eine kurze Prüfung pro Quartal. Das Gesetz legt keine Häufigkeit fest, aber der EDSA empfiehlt, das Verzeichnis „stets aktuell“ zu halten, auch wenn neue Systeme oder Auftragsverarbeiter hinzukommen.

Befreit mich der Vorschlag Omnibus IV schon vom Verzeichnis?

Noch nicht. Bis der endgültige Text im Amtsblatt veröffentlicht und anwendbar ist, gilt die bisherige Regel mit 250 Beschäftigten. Die vorläufige Einigung vom 26. Juni 2026 sieht die Ausnahme für Organisationen mit weniger als 1.000 Beschäftigten vor, behält das Verzeichnis aber für Tätigkeiten mit hohem Risiko bei.

Quellen

Gesetzgebung

• Verordnung (EU) 2016/679 (DSGVO), Artikel 5, 6, 13, 14, 24, 28, 30, 32 und 35 und Erwägungsgrund 82, EUR-Lex

Aufsichtsbehörden

• DSK, Kurzpapier Nr. 1: Verzeichnis von Verarbeitungstätigkeiten
• Artikel-29-Datenschutzgruppe, Position Paper on Article 30(5), 19. Apr. 2018, vom EDSA übernommen (Englisch)
• EDSA, Bericht der koordinierten Aktion 2024 zum Auskunftsrecht, Jan. 2025 (Englisch)
• EDSA, Leitlinien 07/2020 zu den Begriffen Verantwortlicher und Auftragsverarbeiter (Englisch)
• EDSA, Bericht über die öffentliche Konsultation zu Vorlagen, 2026 (Englisch)
• CNPD (Portugal), Registo de atividades de tratamento (Portugiesisch), mit Vorlagen für Verantwortliche und Auftragsverarbeiter

Laufende Änderungen

• Europäische Kommission, COM(2025) 501, Vorschlag zur Änderung der DSGVO
• Europäisches Parlament, Verfahrensakte 2025/0130(COD)
• Europäisches Parlament, Pressemitteilung zur Abstimmung im Ausschuss, Feb. 2026
• Rat der EU, Dokument 10482/26 ADD 3, Kompromisstext, 19. Juni 2026
• EDSA und EDSB, Gemeinsame Stellungnahme 01/2025, Juli 2025
• EDSA und EDSB, Gemeinsame Stellungnahme 2/2026 zum Digital Omnibus

Zuletzt geprüft: 21. Oktober 2026. Wir prüfen diesen Ratgeber immer dann, wenn sich das Recht oder die Hinweise der Behörden ändern.

Dieser Ratgeber ist eine allgemeine Information zur DSGVO und keine Rechtsberatung. Für eine Entscheidung im Einzelfall wenden Sie sich an eine qualifizierte Fachperson. Die Personen und Unternehmen in den Beispielen sind fiktiv.