Verfahrensverzeichnis: Erster Aufbau-Rahmen für KMU

Stand: 2026-05-17 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Welche regulatorische Grundlage gilt?

Art. 30 Abs. 1 DSGVO verpflichtet den Verantwortlichen, ein Verzeichnis aller Verarbeitungstätigkeiten zu führen. Pflicht-Angaben sind:

Detail

1. Name und Kontaktdaten des Verantwortlichen (und gegebenenfalls des gemeinsam Verantwortlichen, des Vertreters und des Datenschutzbeauftragten)
2. Zwecke der Verarbeitung
3. Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten
4. Kategorien von Empfängern
5. Übermittlungen in Drittländer einschließlich Dokumentation geeigneter Garantien
6. Vorgesehene Lösch-Fristen
7. Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO

Auftragsverarbeiter führen ein eigenes Verzeichnis nach Art. 30 Abs. 2 DSGVO mit reduzierten Angaben. Das DSK-Kurzpapier Nr. 1 konkretisiert die Verwaltungs-Praxis der deutschen Aufsichtsbehörden. Die Berliner Beauftragte für Datenschutz hat eine als Verwaltungs-Praxis-Referenz weit verbreitete Muster-Tabelle veröffentlicht.

Welche Konstellation passt zu deinem Verarbeitungs-Profil?

Art. 30 Abs. 5 DSGVO sieht eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten vor — diese greift jedoch nur, sofern alle drei folgenden Bedingungen kumulativ erfüllt sind:

Detail

1. Die Verarbeitung birgt voraussichtlich kein Risiko für die Rechte und Freiheiten der Betroffenen.
2. Die Verarbeitung erfolgt nicht regelmäßig.
3. Es werden keine besonderen Datenkategorien nach Art. 9 DSGVO oder strafrechtlich relevante Daten nach Art. 10 DSGVO verarbeitet.

Sobald ein Unternehmen regelmäßig Gehälter abrechnet, Kunden im CRM pflegt, einen Newsletter versendet oder eine Webseite mit Kontakt-Formular betreibt, ist die Voraussetzung der nicht-regelmäßigen Verarbeitung typischerweise nicht mehr erfüllt. Die Ausnahme greift in der Praxis daher nur in sehr engen Konstellationen.

In der Beratungs-Praxis kristallisieren sich für ein typisches deutsches KMU folgende Standard-Verfahren heraus:

• HR und Personalverwaltung
• Bewerbungs-Management
• Lohnbuchhaltung (häufig extern bei Steuerberater oder Lohnbüro)
• Buchhaltung und Rechnungs-Wesen
• Kundenstamm-Verwaltung (CRM)
• Vertrags-Abwicklung
• Newsletter- und E-Mail-Marketing
• Webseiten-Analyse (Matomo, Google Analytics, Plausible)
• Cookie-Consent-Management
• Online-Shop oder Bestell-Abwicklung (sofern vorhanden)
• Kunden-Support und Helpdesk
• Telefonie und Anruf-Protokolle
• Video-Überwachung (sofern vorhanden)
• Externe Dienstleister (Steuerberatung, IT-Wartung)
• Zutritts-Systeme und Schlüssel-Management

Ein KMU ohne Online-Shop und ohne Video-Überwachung landet in der Praxis regelmäßig bei 8 bis 10 Verfahren. Mit Shop, Helpdesk und Außenwerbung eher bei 12 bis 15.

Welcher Aufbau-Rahmen ist verbreitet?

In der Beratungs-Praxis hat sich für den ersten Aufbau-Rahmen ein vierstufiges Vorgehen etabliert:

Tool- und Dienstleister-Inventur. Erfasst werden alle Systeme, Tools und externen Dienstleister, die personenbezogene Daten verarbeiten. Eine pragmatische Quelle für die Inventur ist die Liste monatlicher Lieferanten-Rechnungen — jede Buchung von Microsoft, Google, Brevo, DATEV oder vergleichbaren Anbietern verweist auf ein Verfahren oder einen Auftragsverarbeiter.

Detail

Verfahrens-Ausformulierung. Pro Verfahren wird eine halbseitige Beschreibung erstellt, die die Pflicht-Angaben aus Art. 30 Abs. 1 DSGVO abbildet:

Verfahren: [Bezeichnung]
Zweck: [konkret, 1-2 Sätze]
Rechtsgrundlage: [Art. 6 Abs. 1 lit. b/c/f DSGVO; bei Art. 9-Daten ergänzend]
Kategorien Betroffener: [Beschäftigte / Kunden / Interessenten / Bewerber]
Kategorien Daten: [Stamm-, Vertrags-, Zahlungs-, Kommunikations-Daten]
Empfänger-Kategorien: [Tool- und Dienstleister-Bezeichnung]
Drittland-Übermittlung: [Ja/Nein; sofern Ja: Garantie nach Art. 46 und TIA-Verweis]
Lösch-Frist: [Rechtsgrundlage der Frist konkret nennen]
TOM-Verweis: [Dokument-Stand der TOM-Beschreibung]

Der Aufwand pro Verfahren liegt in der Praxis je nach Vorwissen und Verarbeitungs-Komplexität bei wenigen Minuten bis einer Viertelstunde.

Quer-Felder und Stammdaten. Verantwortlicher (Geschäftsführung, Adresse, Kontakt), DSB-Kontakt sofern bestellt (oder dokumentierte Begründung zum Verzicht), Datum der letzten Aktualisierung.

Review-Rhythmus. Eine quartalsweise Sichtung ist in der Praxis verbreitet, bei jeder Tool-Einführung eine sofortige Ergänzung. Eine Vorlage der Berliner Beauftragten für Datenschutz wird als Ausgangs-Tabelle häufig genannt; eine 1:1-Übernahme ohne Anpassung an die konkrete Verarbeitungs-Landschaft ist nicht empfehlenswert.

Welche Konstellationen erfordern abweichendes Vorgehen?

Mehrere Konstellationen erfordern über den dargestellten Standard-Rahmen hinaus gehende Strukturen:

• Verarbeitungen mit voraussichtlich hohem Risiko im Sinne von Art. 35 Abs. 1 DSGVO — hier ist neben dem Verzeichnis eine Datenschutz-Folgenabschätzung erforderlich. Die DSK-Liste der DPIA-pflichtigen Verarbeitungs-Vorgänge gibt eine erste Orientierung.
• Besondere Datenkategorien nach Art. 9 DSGVO — hier sind im Verzeichnis-Eintrag zusätzliche Angaben zur Erlaubnis-Norm und zu spezifischen Schutz-Maßnahmen aufzunehmen.

Detail

• Profiling und automatisierte Einzelentscheidungen nach Art. 22 DSGVO — hier sind Logik, Tragweite und Folgen der Verarbeitung gesondert zu dokumentieren.
• Drittlands-Übermittlungen ohne Angemessenheits-Beschluss — hier sind die geeigneten Garantien und das Transfer Impact Assessment im Sinne der EDSA-Empfehlungen 01/2020 als Anlagen einzubeziehen.
• Konzern-Strukturen mit gemeinsamer Verantwortlichkeit — hier ist die Joint-Controllership-Vereinbarung nach Art. 26 DSGVO im Verzeichnis abzubilden.
• Branchen-spezifische Verzeichnis-Anforderungen — Banken, Versicherungen und Gesundheits-Unternehmen unterliegen ergänzenden Dokumentations-Pflichten aus Sektor-Recht (etwa BAIT/VAIT, § 22 BDSG).

In allen genannten Konstellationen ist eine fachliche Einzel-Begutachtung empfehlenswert. Die hier dargestellten Standard-Strukturen erfassen diese Komplexitäten nicht abschließend.

Nächster Schritt

Ein erster Aufbau-Rahmen lässt sich strukturiert mit unserem Verfahrensverzeichnis-Generator erstellen — die Tool-Inventur wird über zwölf Leit-Fragen abgebildet und das Ergebnis als ausfüll-fertige Tabelle mit allen Pflicht-Feldern nach Art. 30 Abs. 1 DSGVO ausgegeben.

Für die vertiefte Auseinandersetzung mit Pflicht-Angaben, Aufsichts-Maßstäben und behördlichen Muster-Vorlagen erläutert DSGVO-Verfahrensverzeichnis: Pflicht und Vorlage die rechtlichen Grundlagen und stellt die Verwaltungs-Praxis im Detail dar.