DSGVO-Verfahrensverzeichnis: Pflicht und Vorlage

Das Verzeichnis von Verarbeitungstätigkeiten (kurz: Verfahrensverzeichnis, VVT) nach Art. 30 DSGVO ist eine der konkret formulierten Dokumentationspflichten der Datenschutz-Grundverordnung. Die Aufsichtsbehörde kann das Verzeichnis jederzeit anfordern (Art. 30 Abs. 4 DSGVO), etwa im Rahmen einer Beschwerde oder Prüfung.

Dieser Artikel ordnet ein: Wer ist tatsächlich pflichtig, was muss exakt drinstehen, welche Vorlagen die Behörden bereitstellen, und wo die praktischen Stolperfallen liegen.

Art. 30 DSGVO erklärt

Die zentrale Norm in voller Knappheit (sinngemäße Wiedergabe):

(1) Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen. Dieses Verzeichnis enthält sämtliche folgenden Angaben: a) den Namen und die Kontaktdaten des Verantwortlichen [...] b) die Zwecke der Verarbeitung c) eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten d) die Kategorien von Empfängern [...] e) gegebenenfalls Übermittlungen [...] in ein Drittland [...] f) wenn möglich, die vorgesehenen Fristen für die Löschung [...] g) wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen [...].

Das VVT ist kein Datenschutz-Bericht für die Öffentlichkeit, kein TOM-Konzept und keine Datenschutz-Folgenabschätzung, sondern ein internes Steuerungsinstrument, das auf Anfrage der Aufsicht vorgelegt wird.

Wer ist pflichtig?

Grundsatz: alle

Art. 30 Abs. 1 verpflichtet jeden Verantwortlichen, Art. 30 Abs. 2 jeden Auftragsverarbeiter, unabhängig von Größe oder Branche. „Verantwortlicher" ist nach Art. 4 Nr. 7 DSGVO jede natürliche oder juristische Person, die über Zweck und Mittel der Verarbeitung entscheidet. Bereits eine Webseite mit Kontaktformular, Newsletter oder Mitarbeiter-Mailadressen genügt.

Die scheinbare Ausnahme: Art. 30 Abs. 5

Unternehmen und Einrichtungen mit weniger als 250 Beschäftigten sind ausgenommen, aber nur dann, wenn kumulativ alle folgenden Bedingungen erfüllt sind:

• die Verarbeitung birgt kein Risiko für die Rechte und Freiheiten der betroffenen Personen
• die Verarbeitung erfolgt nur gelegentlich (Art. 30 Abs. 5)
• es werden keine besonderen Kategorien personenbezogener Daten verarbeitet (Art. 9, Gesundheit, Religion, sexuelle Orientierung, biometrische Daten, etc.)
• es werden keine Daten zu strafrechtlichen Verurteilungen verarbeitet (Art. 10)

In der Praxis scheitert die Ausnahme bei nahezu jedem operativ tätigen Unternehmen, denn schon die regelmäßige Lohnabrechnung (Mitarbeiterdaten + Gesundheitsdaten via Krankmeldung) kippt die Ausnahme. Die Datenschutzkonferenz (DSK) nennt in Kurzpapier Nr. 1 die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten ausdrücklich als Beispiel für eine nicht nur gelegentliche Verarbeitung. Außerdem genügt nach dem Kurzpapier, anders als bei der Datenschutz-Folgenabschätzung nach Art. 35, jedes Risiko, nicht erst ein hohes.

Auftragsverarbeiter (Art. 30 Abs. 2)

Auftragsverarbeiter (z. B. SaaS-Anbieter, Hosting-Provider) führen ein eigenes Verzeichnis mit reduziertem Inhalt (Art. 30 Abs. 2): Name und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, für den er tätig ist, gegebenenfalls der Vertreter und eines Datenschutzbeauftragten, die Kategorien der Verarbeitungen je Verantwortlichem, Drittlandübermittlungen und, wenn möglich, eine allgemeine Beschreibung der TOM. Steuerberater sind dagegen keine Auftragsverarbeiter: Nach § 11 Abs. 2 StBerG sind sie für die Daten ihrer Mandanten selbst Verantwortliche.

Wichtig: das Auftragsverarbeiter-VVT ist nicht das gleiche wie der Auftragsverarbeitungs-Vertrag (AVV nach Art. 28). Beide sind Pflicht, aber unterschiedliche Dokumente.

Was muss rein? Pflicht-Inhalte im Detail

Für jede Verarbeitungstätigkeit verlangt Art. 30 Abs. 1 folgende Angaben:

a) Name und Kontaktdaten

• Name des Verantwortlichen (Firma)
• Anschrift
• gegebenenfalls der Vertreter in der Union nach Art. 27 (bei Verantwortlichen ohne Niederlassung in der EU)
• Kontaktdaten des Datenschutzbeauftragten (falls bestellt, Art. 37)
• gegebenenfalls der gemeinsam mit ihm Verantwortliche (Art. 26)

b) Zwecke der Verarbeitung

Konkret formuliert, nicht „allgemeine Geschäftstätigkeit". Beispiele für brauchbare Zweckformulierungen:

• „Lohnabrechnung und Erfüllung arbeitsrechtlicher Pflichten"
• „Versand des wöchentlichen Newsletters mit Produkt-Updates"
• „Bewerber-Management vom Eingang bis zur Vertragsentscheidung"
• „Buchhaltung und Aufbewahrung steuerrelevanter Belege nach AO §147"

c) Kategorien betroffener Personen und personenbezogener Daten

Beispiele:

• Betroffene: Beschäftigte, Bewerber, Kunden, Lieferanten, Newsletter-Abonnenten, Website-Besucher
• Datenkategorien: Stammdaten (Name, Anschrift, Geburtsdatum), Kommunikationsdaten (E-Mail, Telefon), Vertragsdaten, Zahlungsdaten, Beschäftigungsdaten (Lohn, Urlaubsabrechnung), Gesundheitsdaten (Krankmeldungen), Nutzungsdaten (Logs, Cookies)

d) Kategorien von Empfängern

Wer bekommt die Daten? Eigene Mitarbeiter, externe Dienstleister (mit Namen oder Kategorien), Behörden (Finanzamt, Sozialversicherung), Banken, Berufsgenossenschaften usw.

e) Drittlandübermittlungen

Anzugeben sind Übermittlungen an ein Drittland oder eine internationale Organisation einschließlich des betreffenden Landes, bei Übermittlungen nach Art. 49 Abs. 1 UAbs. 2 zusätzlich die Dokumentation geeigneter Garantien. Das Übermittlungsinstrument (Angemessenheitsbeschluss, Standardvertragsklauseln, BCR, Ausnahme nach Art. 49) nennt Art. 30 nicht ausdrücklich; es mitzuerfassen, erleichtert aber die Prüfung. Bei US-SaaS besonders relevant.

f) Löschfristen

Soweit möglich konkret. Praxis: oft als Standardfristen je Datenkategorie hinterlegt, z.B. „Bewerberdaten: 6 Monate nach Absage, sofern keine Einwilligung zur längeren Speicherung".

g) TOM-Beschreibung

Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen, Verschlüsselung, Zugriffskonzept, Pseudonymisierung, Backup, Notfallkonzept usw. Eine detaillierte TOM-Anlage kann separat geführt und im VVT referenziert werden.

Praxis-Tipps

1. Granularität ist Kunst, nicht Wissenschaft

Pro Tool ein Eintrag wäre zu kleinteilig, pro Abteilung zu grob. Praxisbewährt: pro Verarbeitungszweck ein Eintrag. „Lohnabrechnung" ist ein Eintrag, egal ob dahinter DATEV, Excel oder ein HR-SaaS steht. „Newsletter-Marketing" ist ein Eintrag, egal ob Brevo, Mailchimp oder ActiveCampaign.

2. Format ist freigestellt

Art. 30 Abs. 3 erlaubt schriftlich oder elektronisch. Für KMU genügt oft eine Tabelle, etwa in Excel/Numbers, weil sie sich filtern und leicht fortschreiben lässt. Spezialisierte VVT-Tools (z.B. otris, DSMS-Plattformen, audatis) lohnen sich vor allem bei einem größeren Bestand an Verarbeitungen und vielen Beteiligten.

3. Vorlagepflicht: Tempo zählt

Art. 30 Abs. 4: das VVT ist auf Anfrage der Aufsicht zur Verfügung zu stellen. Die Frist setzt die Behörde. Ein fehlendes oder unvollständiges Verzeichnis und das Nichtvorlegen nach Aufforderung können nach Art. 83 Abs. 4 lit. a DSGVO mit einer Geldbuße geahndet werden (DSK-Kurzpapier Nr. 1).

4. Aktualisierung als Routine

Jede Änderung am Verarbeitungs-Setup (neuer Cookie-Banner, neuer Bewerbungsprozess, neues HR-Tool, neuer Newsletter, neues CRM) erfordert eine VVT-Anpassung. Praxisempfehlung: VVT halbjährlich review, plus Ad-hoc bei größeren Änderungen.

5. Bei kombinierter Auftragsverarbeitung

Wer SaaS-Anbieter ist (Auftragsverarbeiter) und gleichzeitig eigene Kunden- und Mitarbeiterdaten verarbeitet (Verantwortlicher), muss beide Verzeichnisse führen, sie können in einem Dokument zusammengefasst werden, müssen aber klar getrennt sein.

Vorlage-Hinweise

Als Ausgangspunkt eignen sich Materialien der Aufsichtsbehörden, zum Beispiel:

• Bayerisches Landesamt für Datenschutzaufsicht: branchenspezifische Muster, etwa für Vereine, Handwerksbetriebe, Arztpraxen und Online-Shops
• Für die Wahl der Vorlage ist die Aufsichtsbehörde des eigenen Bundeslands naheliegend. Für die meisten privaten Unternehmen ist das die Landesbehörde, nicht die BfDI.
• Datenschutzkonferenz (DSK): Kurzpapier Nr. 1 zu Art. 30 und ein Muster für Verantwortliche
• Der Verfahrensverzeichnis-Generator dieser Site fragt die Angaben nach Art. 30 Abs. 1 je Verarbeitungstätigkeit ab und gibt das Verzeichnis als Markdown-Datei aus. Vorbelegt ist ein Beispiel „Personalverwaltung“; Branchenmuster enthält er nicht.

Jedes Muster muss auf die eigenen Verarbeitungen angepasst werden, darauf weist auch das BayLDA ausdrücklich hin.

FAQ

Muss das VVT extern eingereicht oder veröffentlicht werden?

Nein. Das VVT ist ein internes Dokument und wird ausschließlich auf Anfrage einer Aufsichtsbehörde herausgegeben (Art. 30 Abs. 4 DSGVO). Eine Veröffentlichungspflicht, z.B. auf der Website, besteht nicht. Was hingegen veröffentlicht werden muss, sind die Informationspflichten nach Art. 13/14 DSGVO (typischerweise in der Datenschutzerklärung).

Welche Sanktionen drohen bei unvollständigem VVT?

Nach Art. 83 Abs. 4 lit. a DSGVO können Verstöße gegen Art. 30 mit Geldbußen bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (jeweils der höhere Betrag) geahndet werden. Das gilt laut DSK-Kurzpapier Nr. 1 für ein fehlendes oder unvollständiges Verzeichnis ebenso wie für das Nichtvorlegen nach Aufforderung. Daneben kann die Aufsichtsbehörde die Bereitstellung nach Art. 58 Abs. 1 lit. a DSGVO anweisen.

Kann das VVT durch ein Tool wie OneTrust oder DSMS-Software automatisiert werden?

Ja, Datenschutz-Managementsoftware wie OneTrust, audatis manager oder otris privacy bietet dafür Module an. Ob sich das gegenüber einer gepflegten Tabelle lohnt, hängt von der Zahl der Verarbeitungen und der Beteiligten ab; die DSGVO schreibt kein Format vor.

Was passiert mit dem VVT bei einer Betriebsübergabe / Fusion?

Bei einem Asset-Deal übernimmt der Erwerber die bestehenden Datenbestände und damit auch die Pflicht zur Fortführung des VVT. Bei einem Share-Deal bleibt die Gesellschaft erhalten und führt ihr VVT unverändert weiter. In beiden Fällen empfiehlt sich eine VVT-Review im Rahmen der Datenschutz-Due-Diligence.

Reicht es, das VVT einmal jährlich zu aktualisieren?

Nicht zwingend. Art. 30 DSGVO nennt keine Aktualisierungsfrequenz, verlangt aber ein Verzeichnis aller Verarbeitungstätigkeiten. Eine neue oder geänderte Verarbeitung gehört deshalb zeitnah ins Verzeichnis, nicht erst beim nächsten Jahresreview. Ein fester Review-Termin, etwa halbjährlich, dient als zusätzliche Kontrolle.