Kaum ein DSGVO-Begriff klingt so sperrig und schreckt so zuverlässig ab wie das Verzeichnis von Verarbeitungstätigkeiten. Viele Geschäftsführer gehen davon aus, dass so etwas nur für Konzerne gilt, oder dass man dafür zwingend einen teuren Berater braucht. Beides stimmt nicht.
Das Verzeichnis ist das zentrale Nachweisdokument der DSGVO, und für die allermeisten Betriebe ist es Pflicht. Die gute Nachricht: Es ist gut machbar, in überschaubarer Zeit und mit Bordmitteln. Dieser Artikel erklärt, wer das Verzeichnis wirklich braucht, was hineingehört und wie Sie ein Muster Schritt für Schritt selbst befüllen. Stand: 2026-08-31.
Wer ein Verzeichnis von Verarbeitungstätigkeiten braucht
Fast jedes Unternehmen. Nach Art. 30 DSGVO muss ein Verzeichnis führen, wer personenbezogene Daten verarbeitet. Die viel zitierte Ausnahme für Betriebe mit weniger als 250 Mitarbeitern greift in der Praxis kaum, weil sie mehrere Bedingungen an sich knüpft, die fast jeder Betrieb erfüllt. Im Zweifel gilt: Verzeichnis erstellen.
Das Verzeichnis von Verarbeitungstätigkeiten (kurz VVT oder Verarbeitungsverzeichnis) ist eine interne, strukturierte Übersicht aller Vorgänge, bei denen Ihr Betrieb personenbezogene Daten verarbeitet. Personenbezogen ist alles, was einer natürlichen Person zugeordnet werden kann: Name, Adresse, E-Mail, Telefonnummer, IP-Adresse, Kunden-, Lieferanten- und Mitarbeiterdaten.
Der Zweck ist Rechenschaft. Die DSGVO verlangt in Art. 5 Abs. 2, dass Sie die Einhaltung der Datenschutzgrundsätze nicht nur sicherstellen, sondern auch nachweisen können. Das Verzeichnis ist genau dieser Nachweis. Es zeigt der Aufsichtsbehörde und Ihnen selbst auf einen Blick, welche Daten wo, wofür und wie lange verarbeitet werden.
Wichtig: Das Verzeichnis ist kein öffentliches Dokument. Es wird nicht bei einer Behörde eingereicht und nicht auf der Website veröffentlicht. Es muss aber auf Anfrage der Aufsichtsbehörde zeitnah vorgelegt werden können. Wer im Ernstfall erst anfängt, es zu erstellen, hat schon verloren.
Quelle: Verordnung (EU) 2016/679 (DSGVO)
Die Ausnahme für unter 250 Mitarbeiter und warum sie fast nie greift
Die Ausnahme in Art. 30 Abs. 5 DSGVO klingt großzügig, ist es aber nicht. Sie befreit Betriebe mit weniger als 250 Mitarbeitern nur dann, wenn die Verarbeitung kein Risiko birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien betrifft. Sobald eine dieser Bedingungen nicht erfüllt ist, entfällt die Befreiung.
Der entscheidende Haken ist das Wort "gelegentlich". Sobald Sie eine Kundendatenbank, eine Auftragsverwaltung oder eine Personalverwaltung führen, verarbeiten Sie personenbezogene Daten dauerhaft und regelmäßig, also gerade nicht nur gelegentlich. Damit fällt die Ausnahme weg. Genau deshalb gehen die Datenschutzbehörden davon aus, dass in der Praxis nahezu jedes Unternehmen ein Verzeichnis führen muss.
Auch die anderen beiden Bedingungen sind schnell erfüllt. Ein "Risiko für die Rechte und Freiheiten" entsteht bereits bei ganz normaler Kundenverwaltung. Und besondere Datenkategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten, liegen zum Beispiel schon vor, wenn Sie in der Personalabteilung Krankmeldungen oder Angaben zur Schwerbehinderung verwalten.
Was ins Verzeichnis gehört: die sieben Pflichtangaben nach Artikel 30
Nach Art. 30 Abs. 1 DSGVO dokumentieren Sie pro Verarbeitungstätigkeit sieben Angaben. Das klingt nach viel, ist pro Zeile aber schnell ausgefüllt. Diese sieben Felder bilden die Spalten Ihrer Tabelle, und jede Verarbeitungstätigkeit ist eine Zeile darin.
Die sieben Pflichtangaben für den Verantwortlichen:
- Verantwortlicher und Kontaktdaten. Name und Kontaktdaten Ihres Unternehmens, bei gemeinsamer Verantwortung auch der weiteren Verantwortlichen, sowie die Kontaktdaten eines etwaigen Datenschutzbeauftragten.
- Zwecke der Verarbeitung. Wofür werden die Daten verarbeitet? Zum Beispiel: Auftragsabwicklung, Rechnungsstellung, Lohnabrechnung, Bewerbermanagement.
- Kategorien betroffener Personen und Daten. Wessen Daten (Kunden, Interessenten, Mitarbeiter, Lieferanten) und welche Arten von Daten (Name, Adresse, Kontodaten, Vertragsdaten).
- Kategorien von Empfängern. An wen werden Daten weitergegeben? Steuerberater, IT-Dienstleister, Cloud-Anbieter, Versanddienstleister, Banken, Behörden.
- Übermittlungen in Drittländer. Werden Daten außerhalb der EU verarbeitet, etwa bei einem US-Cloud-Dienst? Dann gehört hier die Rechtsgrundlage der Übermittlung hin.
- Löschfristen (wenn möglich). Die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien, zum Beispiel zehn Jahre für Rechnungsdaten aus steuerlichen Gründen.
- Technisch-organisatorische Maßnahmen (wenn möglich). Eine allgemeine Beschreibung der Schutzmaßnahmen, etwa Zugriffsschutz, Verschlüsselung, Backup.
Die letzten beiden Punkte sind mit dem Zusatz "wenn möglich" versehen. In der Praxis sind sie aber fast immer möglich und sollten ausgefüllt werden, weil sie im Schadensfall zeigen, dass Sie sich Gedanken gemacht haben.
Quelle: dsgvo-gesetz.de: Art. 30 DSGVO im Volltext
Verantwortlicher oder Auftragsverarbeiter: zwei verschiedene Verzeichnisse
Art. 30 kennt zwei Rollen mit unterschiedlichen Pflichten. Als Verantwortlicher (Abs. 1) führen Sie das Verzeichnis für Ihre eigenen Verarbeitungen. Als Auftragsverarbeiter (Abs. 2) führen Sie ein separates, schlankeres Verzeichnis über die Verarbeitungen, die Sie im Auftrag anderer erledigen. Die meisten KMU sind nur Verantwortliche.
Für den typischen Bürobetrieb, Handwerker oder Mittelständler ist Abs. 1 der relevante Fall. Sie entscheiden selbst über Zweck und Mittel der Verarbeitung Ihrer Kunden- und Mitarbeiterdaten, also sind Sie Verantwortlicher.
Zum Auftragsverarbeiter werden Sie erst, wenn Sie personenbezogene Daten im Auftrag und nach Weisung eines anderen Unternehmens verarbeiten, ohne selbst über den Zweck zu bestimmen. Das betrifft zum Beispiel ein Lohnbüro, ein Rechenzentrum oder eine Agentur, die für Kunden Newsletter versendet. Wer in beiden Rollen unterwegs ist, führt beide Verzeichnisse getrennt.
Typische Verarbeitungstätigkeiten in einem KMU
Ein Betrieb mit rund zehn Mitarbeitern hat erfahrungsgemäß zwischen 8 und 15 Verarbeitungstätigkeiten. Das ist überschaubar. Die folgende Liste deckt die allermeisten Fälle ab und dient als Startraster: Gehen Sie sie durch und übernehmen Sie, was auf Ihren Betrieb zutrifft.
- Kundenverwaltung (Stammdaten, Auftragsdaten, Kommunikation)
- Angebots- und Auftragsabwicklung
- Rechnungsstellung und Buchhaltung
- Lohn- und Gehaltsabrechnung
- Personalverwaltung und Personalakten
- Bewerbermanagement
- Lieferanten- und Dienstleisterverwaltung
- E-Mail-Kommunikation und Kontaktformulare
- Website und Reichweitenmessung (Analyse-Tools, Cookies)
- Newsletter- und Marketingversand
- Telefonanlage und Anrufdaten
- Videoüberwachung (falls vorhanden)
- Zutrittskontrolle und Zeiterfassung (falls vorhanden)
- IT-Betrieb und Monitoring (Backup, Logdaten, Fernwartung)
Jede dieser Tätigkeiten wird eine Zeile in Ihrem Verzeichnis. Für viele davon ist ein externer Dienstleister beteiligt, der als Empfänger einzutragen ist, etwa der Steuerberater bei der Lohnabrechnung oder der IT-Dienstleister beim Monitoring.
Ein Muster befüllen: so sieht eine fertige Zeile aus
Am schnellsten verstehen Sie das Verzeichnis an einem ausgefüllten Beispiel. Nehmen wir die Verarbeitungstätigkeit "Kundenverwaltung". So sieht eine vollständige Zeile mit allen sieben Pflichtangaben aus, ohne juristisches Fachchinesisch, aber prüffest.
- VerantwortlicherMuster GmbH, Musterstraße 1, 67346 Speyer, Geschäftsführer Max Muster. Datenschutzbeauftragter: falls benannt, hier mit Kontaktdaten eintragen.
- ZweckVerwaltung von Kundenstammdaten zur Anbahnung, Abwicklung und Betreuung von Aufträgen.
- Kategorien betroffener Personen und DatenBetroffene: Kunden und Interessenten. Daten: Name, Anschrift, Kontaktdaten, Auftrags- und Vertragsdaten, Zahlungsinformationen.
- Kategorien von EmpfängernSteuerberater, IT-Dienstleister (Wartung und Backup), Versanddienstleister, ggf. Bank und Inkasso.
- DrittlandübermittlungKeine, sofern die genutzten Systeme in der EU betrieben werden. Bei US-Cloud-Diensten: Rechtsgrundlage der Übermittlung angeben.
- LöschfristVertrags- und Rechnungsdaten 10 Jahre (steuerliche Aufbewahrung), reine Interessentendaten ohne Vertragsschluss deutlich kürzer.
- Technisch-organisatorische MaßnahmenIndividuelle Benutzerkonten mit Rollenrechten, MFA für externe Zugänge, Verschlüsselung der Geräte, verschlüsseltes Backup mit Offsite-Kopie.
Nach diesem Muster füllen Sie Zeile für Zeile für jede Ihrer Verarbeitungstätigkeiten aus. Die Angaben zu Verantwortlichem und technisch-organisatorischen Maßnahmen wiederholen sich oft, sodass die Arbeit von Zeile zu Zeile schneller wird. Für die technisch-organisatorischen Maßnahmen genügt an dieser Stelle ein Verweis auf ein separates TOM-Dokument, das Sie einmal erstellen und dann referenzieren.
Häufige Fehler beim Verarbeitungsverzeichnis
Die typischen Fehler sind nicht juristischer, sondern praktischer Natur. Das Verzeichnis wird einmal erstellt und dann vergessen, es ist unvollständig, oder es existiert nur als Absichtserklärung statt als Beschreibung der Realität. Alle drei Fehler fallen spätestens bei einer Prüfung auf.
Einmal erstellt, nie gepflegt. Ein Verzeichnis, das den Stand von vor drei Jahren zeigt, ist wertlos. Neue Software, ein neuer Dienstleister, ein neuer Cloud-Dienst: All das gehört ins Verzeichnis. Legen Sie einen festen Termin fest, etwa einmal jährlich, an dem das Verzeichnis überprüft wird. Und tragen Sie neue Systeme direkt bei der Einführung ein.
Schatten-IT vergessen. Was nicht in der offiziellen Liste steht, wird gern übersehen. Die private Cloud-Ablage einer Abteilung, das selbst eingerichtete Umfrage-Tool, der WhatsApp-Kundenkontakt. Genau diese ungeregelten Systeme sind datenschutzrechtlich am riskantesten. Wie Sie so etwas in den Griff bekommen, beschreiben wir im Beitrag zur Schatten-IT im Unternehmen.
Wunschzustand statt Wirklichkeit. Das Verzeichnis beschreibt, was tatsächlich passiert, nicht was passieren sollte. Wenn Sie "Verschlüsselung aller Laptops" eintragen, aber die Hälfte der Geräte unverschlüsselt ist, ist das im Schadensfall ein Eigentor. Tragen Sie den Ist-Zustand ein und schließen Sie die Lücken danach.
Achtung: Die EU plant eine Änderung, die 2026 noch nicht gilt
Hier ist Vorsicht angebracht, weil das Thema in Bewegung ist. Die EU-Kommission hat vorgeschlagen, die Verzeichnispflicht deutlich zu entschärfen. Die Schwelle soll von unter 250 auf unter 750 Beschäftigte steigen, und das Verzeichnis soll im Kern nur noch bei risikoreichen Verarbeitungen zwingend sein. In Kraft ist diese Änderung 2026 aber noch nicht.
Der Vorschlag ist Teil des sogenannten Digital-Omnibus- beziehungsweise Vereinfachungspakets und befindet sich im europäischen Gesetzgebungsverfahren zwischen Parlament und Rat. Der Europäische Datenschutzausschuss (EDPB) hat die Vereinfachung der Aufzeichnungspflichten grundsätzlich begrüßt, zugleich aber betont, dass alle anderen Pflichten (Transparenz, Rechtsgrundlage, Betroffenenrechte, Sicherheit) unabhängig davon vollständig bestehen bleiben.
Für Ihre Praxis heißt das: Solange nichts beschlossen und verkündet ist, gilt die heutige Rechtslage mit der 250-Personen-Schwelle unverändert weiter. Verschieben Sie die Erstellung Ihres Verzeichnisses nicht in der Hoffnung, die Pflicht falle ohnehin bald weg. Und selbst wenn die Schwelle steigt: Ein sauberes Verzeichnis ist Ihre eigene Landkarte Ihrer Datenverarbeitung und bleibt auch dann sinnvoll, wenn es nicht mehr zwingend vorgeschrieben ist.
Quelle: EDPB: Targeted modifications of the GDPR, gemeinsame Stellungnahme zu den Aufzeichnungspflichten
Was ein fehlendes Verzeichnis kostet
Ein fehlendes oder mangelhaftes Verzeichnis ist ein eigenständiger Verstoß gegen die DSGVO. Nach Art. 83 Abs. 4 DSGVO sind dafür Bußgelder bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes möglich, je nachdem, welcher Betrag höher ist. Für KMU fallen die Bußgelder in der Praxis deutlich niedriger aus, das Risiko ist aber real.
Entscheidend ist, wie so ein Verstoß ans Licht kommt. Kaum eine Behörde klopft grundlos an. Auffällig wird das fehlende Verzeichnis fast immer im Zusammenhang mit etwas anderem: nach einer Datenpanne durch Ransomware, nach der Beschwerde eines Mitarbeiters oder Kunden oder nach einer Auskunftsanfrage nach Art. 15 DSGVO, die Sie nur mit einem vollständigen Verzeichnis fristgerecht beantworten können.
Genau hier zeigt sich der praktische Wert des Verzeichnisses jenseits der reinen Pflicht. Wenn ein Kunde wissen will, welche Daten Sie über ihn gespeichert haben, ist das Verzeichnis Ihre Landkarte. Ohne sie suchen Sie in jedem System einzeln und riskieren, etwas zu übersehen. Mit ihr wissen Sie sofort, wo Sie nachsehen müssen. Das Verzeichnis erfüllt also nicht nur eine Pflicht, es macht Sie im Alltag handlungsfähig.
In sechs Schritten zum fertigen Verzeichnis
Wenn Sie bei null anfangen, ist der Weg überschaubar. Diese Reihenfolge funktioniert für die meisten Betriebe und ist an einem konzentrierten Halbtag machbar, danach reicht eine jährliche Pflege.
- Systeme und Datenflüsse auflistenGehen Sie durch alle Software, Cloud-Dienste und Ordner, in denen personenbezogene Daten liegen. Beziehen Sie jede Abteilung ein und fragen Sie aktiv nach inoffiziellen Tools. Diese Liste ist die Grundlage für alles Weitere.
- Verarbeitungstätigkeiten bildenFassen Sie die Systeme zu sinnvollen Tätigkeiten zusammen, etwa Kundenverwaltung, Lohnabrechnung, Bewerbermanagement. Nutzen Sie die Beispielliste in diesem Artikel als Startraster und streichen oder ergänzen Sie nach Bedarf.
- Muster wählenNehmen Sie eine einfache Tabelle mit den sieben Pflichtspalten aus Art. 30 Abs. 1. Excel oder Word genügt. Die Aufsichtsbehörden der Länder stellen kostenlose Muster bereit, an denen Sie sich orientieren können.
- Zeile für Zeile befüllenArbeiten Sie jede Verarbeitungstätigkeit durch: Zweck, betroffene Personen und Daten, Empfänger, Drittländer, Löschfrist, Schutzmaßnahmen. Nutzen Sie das ausgefüllte Beispiel oben als Vorlage.
- Löschfristen und TOM verankernHalten Sie für jede Datenkategorie eine realistische Löschfrist fest und verweisen Sie bei den Schutzmaßnahmen auf ein separates TOM-Dokument, das Sie einmal erstellen und wiederverwenden.
- Verantwortlichkeit und Pflegetermin festlegenBestimmen Sie eine Person, die das Verzeichnis pflegt, und einen festen Termin zur jährlichen Überprüfung. Tragen Sie neue Systeme künftig direkt bei der Einführung ein, nicht erst beim nächsten Review.
Wer die zugrunde liegenden Datenschutzpflichten im Überblick behalten will, findet sie gebündelt im Beitrag DSGVO für KMU. Das Verzeichnis ist dort die erste der drei tragenden Säulen, neben den technisch-organisatorischen Maßnahmen und den Auftragsverarbeitungsverträgen.
Wie ITCC dabei unterstützt
ITCC ist Ihr externer IT-Dienstleister, kein Anwalt und keine Datenschutzkanzlei. Die rechtliche Bewertung Ihrer Verarbeitungen und die Formulierung des Verzeichnisses überlassen wir datenschutzrechtlichen Partnern. Was wir tun: Wir liefern die technische Grundlage, ohne die kein Verzeichnis vollständig wird.
In der Praxis heißt das, dass wir mit Ihnen und Ihrem internen oder externen Datenschutzbeauftragten die Bestandsaufnahme machen: Welche Systeme gibt es, welche Cloud-Dienste laufen, wo liegen die Daten, welche Dienstleister haben Zugriff, wie sind Backup, Verschlüsselung und Zugriffsrechte tatsächlich eingerichtet. Diese Informationen füllen die Spalten "Empfänger", "Drittländer" und "technisch-organisatorische Maßnahmen" Ihres Verzeichnisses und sind gleichzeitig die Basis für eine saubere IT-Dokumentation.
Für Betriebe im Raum Pfalz, Rhein-Neckar und Rhein-Main ist ein Erstgespräch der einfachste Weg zu einer ehrlichen Einschätzung, wo Sie stehen und was als Nächstes sinnvoll ist.
Häufige Fragen
Verwandte Themen
- ComplianceAlte Festplatten und Firmengeräte datenschutzkonform entsorgen: So vermeiden Sie ein Datenleck beim Wegwerfen
Alte Festplatten und Firmengeräte DSGVO-konform entsorgen: sichere Löschung, DIN 66399, Löschnachweis und AV-Vertrag. So vermeiden Sie ein Datenleck.
- ComplianceAV-Verträge richtig nutzen: Was KMU beachten müssen
Was ein Auftragsverarbeitungsvertrag ist, wann er Pflicht ist und welche Lücken im Mittelstand am häufigsten vorkommen. Mit konkreten Hinweisen zu Art. 28 DSGVO.
- ComplianceBSI IT-Grundschutz für Unternehmer: Das Whitepaper
Was der BSI IT-Grundschutz ist, wie die Bausteine aufgebaut sind, welche Absicherungsstufe für KMU passt und wie der Weg von der Bestandsaufnahme zur Umsetzung aussieht.