Verfahrensverzeichnis: Erster Aufbau-Rahmen für KMU

Stand: 18.09.2026 · ComplyCheck-Redaktion · Keine Rechtsberatung iSd RDG § 2.

Welche regulatorische Grundlage gilt?

Art. 30 Abs. 1 DSGVO verpflichtet den Verantwortlichen, ein Verzeichnis aller Verarbeitungstätigkeiten zu führen. Pflicht-Angaben sind:

1. Name und Kontaktdaten des Verantwortlichen (und gegebenenfalls des gemeinsam Verantwortlichen, des Vertreters und des Datenschutzbeauftragten)
2. Zwecke der Verarbeitung
3. Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten
4. Kategorien von Empfängern
5. Gegebenenfalls Übermittlungen in Drittländer oder an internationale Organisationen mit Angabe des Drittlands bzw. der Organisation; bei Übermittlungen nach Art. 49 Abs. 1 Unterabs. 2 DSGVO zusätzlich die Dokumentation geeigneter Garantien
6. Wenn möglich, die vorgesehenen Lösch-Fristen
7. Wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO

Auftragsverarbeiter führen ein eigenes Verzeichnis nach Art. 30 Abs. 2 DSGVO mit reduzierten Angaben. Das DSK-Kurzpapier Nr. 1 konkretisiert die Verwaltungs-Praxis der deutschen Aufsichtsbehörden. Muster stellen einzelne Aufsichtsbehörden bereit, etwa das Bayerische Landesamt für Datenschutzaufsicht mit branchenspezifischen Beispielen.

Welche Konstellation passt zu deinem Verarbeitungs-Profil?

Art. 30 Abs. 5 DSGVO sieht eine Ausnahme für Unternehmen mit weniger als 250 Beschäftigten vor, diese greift jedoch nur, sofern alle drei folgenden Bedingungen kumulativ erfüllt sind:

1. Die Verarbeitung birgt voraussichtlich kein Risiko für die Rechte und Freiheiten der Betroffenen.
2. Die Verarbeitung erfolgt nur gelegentlich.
3. Es werden keine besonderen Datenkategorien nach Art. 9 Abs. 1 DSGVO und keine Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO verarbeitet.

Sobald ein Unternehmen regelmäßig Gehälter abrechnet, Kunden im CRM pflegt, einen Newsletter versendet oder eine Webseite mit Kontakt-Formular betreibt, erfolgt die Verarbeitung nicht mehr nur gelegentlich, die Ausnahme scheidet dann aus. Die Ausnahme greift in der Praxis daher nur in sehr engen Konstellationen.

In der Beratungs-Praxis kristallisieren sich für ein typisches deutsches KMU folgende Standard-Verfahren heraus:

• HR und Personalverwaltung
• Bewerbungs-Management
• Lohnbuchhaltung (häufig extern bei Steuerberater oder Lohnbüro)
• Buchhaltung und Rechnungs-Wesen
• Kundenstamm-Verwaltung (CRM)
• Vertrags-Abwicklung
• Newsletter- und E-Mail-Marketing
• Webseiten-Analyse (Matomo, Google Analytics, Plausible)
• Cookie-Consent-Management
• Online-Shop oder Bestell-Abwicklung (sofern vorhanden)
• Kunden-Support und Helpdesk
• Telefonie und Anruf-Protokolle
• Video-Überwachung (sofern vorhanden)
• Externe Dienstleister (Steuerberatung, IT-Wartung)
• Zutritts-Systeme und Schlüssel-Management

Wie viele Verfahren zusammenkommen, hängt vom Geschäftsmodell ab: Online-Shop, Helpdesk, Videoüberwachung oder Werbung bringen jeweils eigene Einträge mit.

Welcher Aufbau-Rahmen ist verbreitet?

In der Beratungs-Praxis hat sich für den ersten Aufbau-Rahmen ein vierstufiges Vorgehen etabliert:

Tool- und Dienstleister-Inventur. Erfasst werden alle Systeme, Tools und externen Dienstleister, die personenbezogene Daten verarbeiten. Eine pragmatische Quelle für die Inventur ist die Liste monatlicher Lieferanten-Rechnungen, jede Buchung von Microsoft, Google, Brevo, DATEV oder vergleichbaren Anbietern verweist auf ein Verfahren oder einen Auftragsverarbeiter.

Verfahrens-Ausformulierung. Pro Verfahren wird eine halbseitige Beschreibung erstellt, die die Pflicht-Angaben aus Art. 30 Abs. 1 DSGVO abbildet:

Verfahren: [Bezeichnung]
Zweck: [konkret, 1-2 Sätze]
Rechtsgrundlage: [Art. 6 Abs. 1 lit. b/c/f DSGVO; bei Art. 9-Daten ergänzend]
Kategorien Betroffener: [Beschäftigte / Kunden / Interessenten / Bewerber]
Kategorien Daten: [Stamm-, Vertrags-, Zahlungs-, Kommunikations-Daten]
Empfänger-Kategorien: [Tool- und Dienstleister-Bezeichnung]
Drittland-Übermittlung: [Ja/Nein; sofern Ja: Garantie nach Art. 46 und TIA-Verweis]
Lösch-Frist: [Rechtsgrundlage der Frist konkret nennen]
TOM-Verweis: [Dokument-Stand der TOM-Beschreibung]

Der Aufwand pro Verfahren hängt von Vorwissen und Komplexität der Verarbeitung ab.

Quer-Felder und Stammdaten. Verantwortlicher (Geschäftsführung, Adresse, Kontakt), Kontaktdaten des Datenschutzbeauftragten, sofern bestellt, Datum der letzten Aktualisierung.

Review-Rhythmus. Die DSGVO schreibt keinen festen Rhythmus vor. Sinnvoll ist eine regelmäßige Sichtung und eine Ergänzung bei jeder Einführung eines neuen Tools. Muster der Aufsichtsbehörden eignen sich als Ausgangspunkt; eine 1:1-Übernahme ohne Anpassung an die konkrete Verarbeitungs-Landschaft ist nicht empfehlenswert.

Welche Konstellationen erfordern abweichendes Vorgehen?

Mehrere Konstellationen erfordern über den dargestellten Standard-Rahmen hinaus gehende Strukturen:

• Verarbeitungen mit voraussichtlich hohem Risiko im Sinne von Art. 35 Abs. 1 DSGVO, hier ist neben dem Verzeichnis eine Datenschutz-Folgenabschätzung erforderlich. Die DSK-Liste der DPIA-pflichtigen Verarbeitungs-Vorgänge gibt eine erste Orientierung.
• Besondere Datenkategorien nach Art. 9 DSGVO, hier empfiehlt es sich, im Verzeichnis-Eintrag die Ausnahme nach Art. 9 Abs. 2 DSGVO und die spezifischen Schutz-Maßnahmen festzuhalten. Art. 30 Abs. 1 DSGVO schreibt die Rechtsgrundlage nicht als Pflichtangabe vor.

• Profiling und automatisierte Einzelentscheidungen nach Art. 22 DSGVO, hier kommen Informationspflichten über die involvierte Logik, Tragweite und Auswirkungen hinzu (Art. 13 Abs. 2 lit. f, Art. 14 Abs. 2 lit. g DSGVO); oft ist auch eine Datenschutz-Folgenabschätzung zu prüfen.
• Drittlands-Übermittlungen ohne Angemessenheits-Beschluss, hier sind im Verzeichnis die Übermittlung und das Drittland anzugeben (Art. 30 Abs. 1 lit. e), bei Übermittlungen nach Art. 49 Abs. 1 Unterabs. 2 DSGVO zusätzlich die geeigneten Garantien. Garantien nach Art. 46 DSGVO und ein etwaiges Transfer Impact Assessment werden gesondert dokumentiert.
• Konzern-Strukturen mit gemeinsamer Verantwortlichkeit, hier sind im Verzeichnis Name und Kontaktdaten des gemeinsam Verantwortlichen anzugeben (Art. 30 Abs. 1 lit. a); die Vereinbarung nach Art. 26 DSGVO wird gesondert geschlossen.
• Branchen-spezifische Verzeichnis-Anforderungen, Banken, Versicherungen und Gesundheits-Unternehmen unterliegen ergänzenden Dokumentationspflichten aus Sektorrecht, im Finanzsektor etwa aus DORA (Verordnung (EU) 2022/2554).

In allen genannten Konstellationen ist eine fachliche Einzel-Begutachtung empfehlenswert. Die hier dargestellten Standard-Strukturen erfassen diese Komplexitäten nicht abschließend.

Nächster Schritt

Ein erster Aufbau-Rahmen lässt sich strukturiert mit dem Verfahrensverzeichnis-Generator erstellen: Er fragt Verantwortlichen und Datenschutzbeauftragten sowie je Verfahren Zweck, Rechtsgrundlage, Kategorien Betroffener und Daten, Empfänger, Drittlandübermittlung, Lösch-Fristen und TOM-Verweis ab und gibt das Ergebnis als Markdown-Datei zum Weiterbearbeiten aus.

Für die vertiefte Auseinandersetzung mit Pflicht-Angaben, Aufsichts-Maßstäben und behördlichen Muster-Vorlagen erläutert DSGVO-Verfahrensverzeichnis: Pflicht und Vorlage die rechtlichen Grundlagen und stellt die Verwaltungs-Praxis im Detail dar.