Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Jeder Verantwortliche und jeder Auftragsverarbeiter führt ein Verzeichnis seiner Verarbeitungstätigkeiten und legt es der Aufsichtsbehörde auf Anfrage vor (Art. 30 Abs. 1, 2, 4 DSGVO). Das Verzeichnis ist das zentrale Dokumentationsinstrument der DSGVO und Grundlage für die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO.

1 Überblick

1.1 Funktion und Ziel

Das Verzeichnis ersetzt die generelle Meldepflicht der alten Datenschutzrichtlinie (Art. 19 DSRL), die als bürokratisch und für den Datenschutz wenig wirksam galt (Erwägungsgrund 89 DSGVO). An ihre Stelle tritt eine interne Dokumentation, die der Verantwortliche eigenverantwortlich führt und nur auf Anfrage der Aufsichtsbehörde herausgibt (Erwägungsgrund 82 DSGVO).

Das Verzeichnis hat drei Hauptfunktionen:

• Externe Kontrolle. Aufsichtsbehörden verschaffen sich anhand des Verzeichnisses einen Überblick über die Systeme und Prozesse mit Personenbezug und können eine erste Rechtmäßigkeitsprüfung vornehmen.
• Interne Steuerung. Das Verzeichnis ist Grundlage für die Selbstkontrolle des Verantwortlichen, für ein Datenschutzmanagementsystem und für angrenzende Pflichten, etwa die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und die Bearbeitung von Betroffenenanfragen (insbesondere Art. 15 DSGVO).
• Nachweis der Compliance. Das Verzeichnis konkretisiert die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO.

1.2 Verstoß und materielle Rechtmäßigkeit

Ein Verstoß gegen Art. 30 DSGVO ist bußgeldbewehrt (Art. 83 Abs. 4 lit. a DSGVO). Er macht die zugrundeliegende Verarbeitung aber nicht rechtswidrig: Die Dokumentationspflicht ist von der materiellen Rechtmäßigkeit nach Art. 6 DSGVO zu trennen (EuGH, Urt. v. 04.05.2023, C-60/22, Rn. 61). Ein Löschungs- oder Einschränkungsanspruch der betroffenen Person folgt aus dem Dokumentationsverstoß allein nicht.

1.3 Adressaten

Adressaten der Pflicht sind:

• der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO (Abs. 1),
• der Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO (Abs. 2),
• jeweils ein etwaiger Vertreter nach Art. 27 DSGVO.

Beide Pflichten stehen selbständig nebeneinander. Eine Stelle, die für eigene Zwecke Daten verarbeitet und zugleich als Auftragsverarbeiter für andere tätig ist (typischer Fall in Konzernen), muss zwei Verzeichnisse führen.

2 Verzeichnis des Verantwortlichen (Abs. 1)

2.1 Begriff der Verarbeitungstätigkeit

Der Begriff der „Verarbeitungstätigkeit" ist nicht legaldefiniert. Er ist prozess- und systemorientiert und damit weiter als der Begriff der einzelnen Verarbeitung in Art. 4 Nr. 2 DSGVO (Erwägungsgrund 82 DSGVO). Die Datenschutzkonferenz beschreibt die Verarbeitungstätigkeit als „Geschäftsprozess auf geeignetem Abstraktionsniveau" (DSK, Kurzpapier Nr. 1, S. 1). Eine Verarbeitungstätigkeit kann mehrere Einzelverarbeitungsvorgänge umfassen, etwa alle Verarbeitungen, die ein Marketing-Tool ermöglicht.

2.2 Mindestangaben im Überblick

Art. 30 Abs. 1 S. 2 DSGVO listet sieben Mindestangaben:

Die Detailtiefe muss eine summarische Erstprüfung durch die Aufsichtsbehörde erlauben, nicht den vollständigen Wissensstand des Verantwortlichen abbilden.

2.3 Name und Kontaktdaten (lit. a)

Pflichtangaben sind Name und Kontaktdaten des Verantwortlichen, eines etwaigen gemeinsam Verantwortlichen, eines Vertreters und des Datenschutzbeauftragten. Bei Unternehmen genügt die Firma; Handelsregisternummer oder das zuständige Amtsgericht sind nicht zu nennen. Da Art. 30 Abs. 1 lit. a den Plural „Kontaktdaten" verwendet, reicht eine bloße E-Mail- oder Internet-Adresse nicht. Die Aufsichtsbehörden fordern als Triade: postalische Anschrift, Telefonnummer und elektronische Kontaktdaten (DSK, Hinweise zum Verzeichnis von Verarbeitungstätigkeiten, S. 4).

Sie empfehlen außerdem, statt der gesetzlichen Vertreter den fachlichen Ansprechpartner zu nennen, der die Verarbeitung im Tagesgeschäft verantwortet (DSK, a.a.O., S. 4). In Konzernen zeigt die Angabe zugleich, welche Gesellschaft konkret verantwortlich ist; die Nennung der fachverantwortlichen Organisationseinheit ist üblich, aber gesetzlich nicht gefordert.

2.4 Zwecke (lit. b)

Anzugeben ist der Zweckzusammenhang jeder Verarbeitung. Die Detailtiefe steht nicht im Gesetz; Maßstab sind die Informationspflichten aus Art. 13 und Art. 14 DSGVO. Der Differenzierungsgrad muss zwei Anforderungen genügen: eindeutige Unterscheidung der Verfahren und summarische Überprüfbarkeit. Je kritischer eine Verarbeitung (etwa als Auslöser einer Datenschutz-Folgenabschätzung), desto präziser die Beschreibung.

Granularität ist Augenmaß: Die einzelnen Schritte einer Lohn-/Gehaltsabrechnung (Lohnwertberechnung, Auszahlungsanweisung, Auszahlungskontrolle) werden nicht jeweils einzeln aufgelistet. Typische Verarbeitungen, die in einem sorgfältig geführten Verzeichnis erscheinen, sind etwa Personalstammdaten, Zeiterfassung, Lohn- und Gehaltsabrechnung, Schulungs- und Performance-Management, Bewerberverwaltung, Videoüberwachung, Dokumenten- und Aktenmanagement, Zutritts- und Zugangskontrolle, E-Mail-Kommunikation, Mitarbeiterverzeichnisse, CRM, Buchhaltung und Forderungsmanagement, ERP, Reisebuchung und -abrechnung sowie Projektmanagement.

2.5 Kategorien betroffener Personen und Daten (lit. c)

Die Personenkategorien leiten sich aus dem jeweiligen Verfahren ab: Kunden, Lieferanten, Mitarbeiter, Bewerber, Führungskräfte, Interessenten, Handelsvertreter, Vertragspartner, Darlehensnehmer, Bürgen, Patienten oder Ärzte. Auch Kategorien nach speziellen Kriterien (Einkommens- oder Altersgruppen) sind möglich, wenn diese Kriterien selbst Gegenstand der Verarbeitung sind. Die Beschreibung muss die Personengruppe abgrenzbar machen; pauschale Oberbegriffe wie „Externe" reichen nicht.

Den Personenkategorien sind die Datenkategorien jeweils zuzuordnen, etwa Identifikations- und Adressdaten, Vertragsstammdaten, Vertragsabrechnungs- und Zahlungsdaten, Planungs- und Steuerungsdaten, Auskunftsdaten und IT-Nutzungsdaten. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind als solche zu kennzeichnen, da sich daran zusätzliche Pflichten knüpfen (siehe Art. 9).

2.6 Kategorien von Empfängern (lit. d)

Aufzunehmen sind die Kategorien von Empfängern (Art. 4 Nr. 9 DSGVO), gegenüber denen Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfängern in Drittländern und internationalen Organisationen. „Offenlegung" ist weiter als „Übermittlung" und umfasst auch passive Zugriffsrechte, unabhängig davon, ob die Empfänger sie tatsächlich nutzen. Eine Bündelung anhand der Funktion ist zulässig, etwa „Logistikdienstleister" oder bestimmte Arten von Auftragsverarbeitern.

Erfasst sind nur gewollte Offenlegungen. Eine versehentliche Preisgabe wegen falsch gesetzter Berechtigungen ist kein Eintrag ins Verzeichnis, sondern eine Datenschutzverletzung im Sinne des Art. 33 DSGVO.

2.7 Drittlandtransfers (lit. e)

Werden Daten an ein Drittland (also einen Nicht-EU-Staat) oder an eine internationale Organisation übermittelt, sind im Verzeichnis Name und gegebenenfalls weitere Identifikationsangaben aufzuführen. Beruht die Übermittlung auf einer der Ausnahmen des Art. 49 Abs. 1 UA 2 DSGVO, müssen zusätzlich die geeigneten Garantien dokumentiert werden.

2.8 Löschfristen (lit. f)

„Wenn möglich" sind die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien anzugeben. Die einschränkende Formulierung trägt dem Umstand Rechnung, dass starre Fristen für ganze Kategorien selten sachgerecht sind: Innerhalb derselben Kategorie können einzelne Datenarten sehr unterschiedliche Aufbewahrungspflichten auslösen, etwa aus § 257 HGB, § 147 AO oder bereichsspezifischen Spezialgesetzen.

In der Praxis empfiehlt sich, jeweils den frühesten Fristbeginn und das späteste Fristende zu definieren oder ersatzweise eine Löschregel mit fest definiertem Ereignis als Anker zu hinterlegen. Erwägungsgrund 39 S. 10 DSGVO erlaubt ausdrücklich Fristen zur Löschung oder zur regelmäßigen Überprüfung. Konkrete Löschfristen gehören ohnehin in das Löschkonzept; das Verzeichnis ist der Ort, an dem sie zentral nachvollziehbar werden (siehe Speicherbegrenzung).

2.9 Technisch-organisatorische Maßnahmen (lit. g)

„Wenn möglich" ist eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO aufzunehmen. Verlangt wird kein Detail-Datensicherheitskonzept, sondern eine stichwortartige Übersicht, die der Aufsichtsbehörde eine erste Beurteilung des Schutzniveaus erlaubt.

2.10 Zusatz aus der KI-Verordnung (Art. 10 Abs. 5 lit. f KI-VO)

Verarbeiten Anbieter von Hochrisiko-KI-Systemen besondere Kategorien personenbezogener Daten zur Erkennung und Korrektur von Verzerrungen, müssen sie zusätzlich im Verzeichnis nach Art. 30 DSGVO begründen, weshalb diese Verarbeitung unbedingt erforderlich war und das Ziel nicht durch andere Datenkategorien (auch nicht synthetische oder anonymisierte) erreicht werden konnte (Art. 10 Abs. 5 lit. f Verordnung (EU) 2024/1689). Die Mindestangaben des Art. 30 Abs. 1 S. 2 DSGVO werden insoweit erweitert.

3 Verzeichnis des Auftragsverarbeiters (Abs. 2)

3.1 Eigenständige Pflicht

Auch der Auftragsverarbeiter führt ein eigenes Verzeichnis, und zwar getrennt für jeden Auftraggeber, in dessen Auftrag er tätig ist. Die Pflicht ist eigenständig und nicht subsidiär zur Pflicht des Verantwortlichen. Das Auftragsverarbeitungs-Verzeichnis dient zugleich der Selbstkontrolle des Auftragsverarbeiters und mittelbar der Kontrolle durch den Verantwortlichen. Eine Stelle in einer Doppelrolle führt zwei getrennte Verzeichnisse.

3.2 Pflichtangaben

Die Mindestangaben sind enger gefasst als beim Verantwortlichen (Art. 30 Abs. 2 lit. a-d DSGVO):

• lit. a: Identifikation. Name und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag verarbeitet wird; gegebenenfalls Vertreter und Datenschutzbeauftragter beider Seiten. Ziel ist die rasche, zweifelsfreie Zuordnung des Ansprechpartners. Im Massengeschäft (typischerweise beim Cloud Computing mit standardisiertem Angebot für eine große Zahl von Kunden) genügt nach verbreiteter Auffassung zunächst die Angabe von Kategorien von Verantwortlichen, sofern auf Nachfrage der Aufsichtsbehörde eine konkrete Auflistung geliefert werden kann.
• lit. b: Kategorien von Verarbeitungen pro Auftraggeber. Eine Bündelung gleichartiger Verarbeitungsprozesse ist zulässig: die einzelnen Verarbeitungen finden sich im Verzeichnis des jeweiligen Verantwortlichen. So werden Redundanzen vermieden. Bei standardisierten Cloud-Diensten dürfen vergleichbare Aufträge zu einer Kategorie zusammengefasst werden; Ziel ist, die Risikogeneigtheit der Verarbeitung einschätzen zu können.
• lit. c: Drittlandtransfers. Inhaltsgleich mit Abs. 1 lit. e (siehe 2.7).
• lit. d: Technische und organisatorische Maßnahmen. „Wenn möglich" eine allgemeine Beschreibung der Maßnahmen nach Art. 32 Abs. 1 DSGVO (siehe 2.9).

4 Form und Vorlage (Abs. 3, 4)

4.1 Schriftlich oder elektronisch

Das Verzeichnis ist schriftlich zu führen, wobei ausdrücklich auch ein elektronisches Format genügt (Art. 30 Abs. 3 DSGVO). Eine strenge Schriftform mit Unterschriften der Verantwortungsträger ist nicht erforderlich; Textform im Sinne des § 126b BGB reicht aus. Eine elektronische Signatur ist ebenfalls nicht erforderlich. Der Markt bietet eine Reihe von Anwendungen, die sich in Funktionsumfang und Konzern-Tauglichkeit unterscheiden. Ein Vergleich vor der Auswahl ist sinnvoll.

4.2 Sprache

Das Gesetz gibt keine Sprache vor. Die deutschen Aufsichtsbehörden verweisen auf § 23 Abs. 1, 2 VwVfG und verlangen, das Verzeichnis „regelmäßig in deutscher Sprache" zu führen, jedenfalls aber unverzüglich eine Übersetzung vorlegen zu können (DSK, Hinweise zum Verzeichnis von Verarbeitungstätigkeiten, S. 3). International tätige Konzerne dürfen daher ein gemeinsames englisches Verzeichnis führen und im Einzelfall die Beschreibung der konkret angefragten Verarbeitungstätigkeit übersetzen lassen.

4.3 Vorlage auf Anfrage

Eine Vorlage von Amts wegen oder eine Veröffentlichungspflicht besteht nicht. Das Verzeichnis ist der Aufsichtsbehörde nur auf Anfrage zur Verfügung zu stellen (Art. 30 Abs. 4 DSGVO). Eine elektronische Übermittlung (etwa über einen Gastzugang der eingesetzten Anwendung) ist zulässig; sicherheitshalber sollte zusätzlich eine analoge Form bereitgehalten werden.

5 Ausnahme für kleinere Unternehmen (Abs. 5)

5.1 Regel-Ausnahme-Prinzip

Unternehmen und Einrichtungen mit weniger als 250 Beschäftigten sind grundsätzlich von der Verzeichnispflicht befreit (Art. 30 Abs. 5 DSGVO). Maßgeblich ist die absolute Mitarbeiterzahl des Unternehmens, nicht die Zahl der mit der Verarbeitung befassten Mitarbeiter. Hintergrund ist Erwägungsgrund 13 DSGVO: Der freie Datenverkehr im Binnenmarkt darf kleine und mittlere Unternehmen nicht durch unverhältnismäßigen Bürokratieaufwand belasten.

5.2 Rück-Ausnahmen

Die Befreiung greift jedoch nur, wenn keiner der folgenden Tatbestände erfüllt ist. Sobald einer zutrifft, lebt die Verzeichnispflicht wieder auf:

• die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen,
• die Verarbeitung erfolgt nicht nur gelegentlich,
• es werden besondere Datenkategorien gemäß Art. 9 Abs. 1 DSGVO verarbeitet, oder
• es werden personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Art. 10 DSGVO verarbeitet.

5.3 Auslegung der unbestimmten Begriffe

Beide Schlüsselbegriffe sind streitig:

• „Risiko" ist nicht jede abstrakte Beeinträchtigungsmöglichkeit. Andernfalls liefe die Ausnahme leer, weil jede Verarbeitung dem Grunde nach ein Risiko enthält. Gemeint sein muss ein hohes oder erhebliches Risiko für die Rechte und Freiheiten der Betroffenen.
• „Nicht nur gelegentlich" ist nicht rein zeitlich zu verstehen. Die englische Sprachfassung der DSGVO verwendet das Wort „occasional", das auf eine untergeordnete Bedeutung insgesamt zielt, nicht auf bloße Häufigkeit. Schon der Kommissionsentwurf wollte Verarbeitungen freistellen, die „nur als Nebentätigkeit zusätzlich zu ihren Haupttätigkeiten" erfolgen; Erwägungsgrund 13 DSGVO ist im Verlauf des Verfahrens nicht angepasst worden. Die Befreiung entfällt daher erst, wenn die Verarbeitung Bestandteil des Hauptgeschäfts ist. Die regelmäßige Gehaltsabrechnung für die eigene Belegschaft macht die Verarbeitung dagegen noch nicht zu einer „nicht nur gelegentlichen", sonst wäre die Schwelle der 250 Beschäftigten ohne Bedeutung.

5.4 Reformvorschlag der Kommission (COM(2025) 501 final)

Die Europäische Kommission hat im Rahmen ihres Vereinfachungspakets im Mai 2025 einen Vorschlag zur Neufassung des Abs. 5 vorgelegt (COM(2025) 501 final; zur fachlichen Bewertung Stellungnahme EDSA/EDSB). Geplant sind drei Änderungen:

• Schwellenwert von 250 auf 750 Beschäftigte,
• einheitliches Kriterium der Rück-Ausnahme: Verarbeitung mit wahrscheinlich hohem Risiko im Sinne des Art. 35 DSGVO,
• die Verarbeitung besonderer Kategorien personenbezogener Daten im Beschäftigungskontext nach Art. 9 Abs. 2 lit. b DSGVO löst die Pflicht nicht mehr automatisch aus.

Der Vorschlag ist noch nicht verabschiedet; die geltende Fassung des Art. 30 Abs. 5 DSGVO ist weiter anzuwenden.

Praktisch fällt der Anwendungsbereich der Ausnahme schmal aus: Wer den Mitarbeiter-Schwellenwert unterschreitet, läuft fast immer in mindestens eine der Rück-Ausnahmen. Hinzu kommt, dass die für das Verzeichnis benötigten Angaben (Zwecke, Datenkategorien, Empfänger, Löschfristen, Schutzmaßnahmen) ohnehin für die Erfüllung anderer Pflichten der DSGVO vorzuhalten sind, etwa für die Informationspflichten nach Art. 13, 14 DSGVO, das Auskunftsrecht nach Art. 15 DSGVO und die Datensicherheit nach Art. 32 DSGVO. Der Mehraufwand eines geführten Verzeichnisses bleibt überschaubar.

6 Aufbau, Pflege und interne Zuständigkeit

6.1 Wer führt das Verzeichnis im Unternehmen?

Das Gesetz schweigt zu den internen Zuständigkeiten. Pflichtadressat nach außen bleibt der Verantwortliche; die Erstellung wird in der Praxis aber regelmäßig dem Datenschutzbeauftragten übertragen. Diese Aufgabe gehört nicht zum gesetzlichen Aufgabenkatalog des Art. 39 DSGVO; eine Delegation durch die Geschäftsleitung ist zulässig, soweit der Datenschutzbeauftragte bei der inhaltlichen Gestaltung weisungsfrei bleibt (Art. 38 Abs. 3 DSGVO).

Faktisch übernimmt der Datenschutzbeauftragte eine organisatorische Rolle, vergleichbar einem Projektmanager. Die Detailangaben kann er nicht alleine erheben; er ist auf die Mitarbeit der jeweiligen Process-Owner angewiesen, die den Geschäftsprozess fachlich verantworten und die nötigen Daten zu Zwecken, Datenkategorien, Empfängern, Löschfristen und Schutzmaßnahmen liefern. Die Verantwortung für Vollständigkeit und Richtigkeit verbleibt davon unberührt beim Verantwortlichen, nicht beim Datenschutzbeauftragten.

6.2 Erstellung in zwei Schritten

Bei der erstmaligen Erstellung hat sich ein zweistufiges Vorgehen bewährt:

6.3 Aktualisierung

Eine ausdrückliche Aktualisierungspflicht ist im Gesetz nicht vorgesehen; der entsprechende Vorschlag des Parlaments wurde im Gesetzgebungsverfahren verworfen. Die Pflicht folgt aber aus dem Verb „führen" und aus der Rechenschaftspflicht (Art. 5 Abs. 2, Art. 24 DSGVO): Ein Verzeichnis, das den aktuellen Stand der Verarbeitungen nicht abbildet, erfüllt seinen Zweck nicht. Es ist als lebendes Dokument zu verstehen.

Praktisch sinnvoll ist ein Prozess, in dem die für einen Geschäftsprozess oder ein System fachverantwortliche Person in regelmäßigen Abständen zur Bestätigung der Aktualität aufgefordert wird, Änderungen einarbeitet und sie in einer Änderungshistorie festhält. Die Aufsichtsbehörden empfehlen, die Änderungshistorie für mindestens ein Jahr vorzuhalten, um Anpassungen nachvollziehbar zu machen (DSK, Hinweise zum Verzeichnis von Verarbeitungstätigkeiten, S. 3).

6.4 Konzern-Konstellationen

In Unternehmensgruppen (Art. 4 Nr. 19 DSGVO) liegt es nahe, das Verzeichnis zentral zu führen und den Tochtergesellschaften nur lesenden Zugriff einzuräumen. Sind zentrale IT-Systeme oder Shared Services konzernweit im Einsatz, kann ein Intercompany-Vertrag mit dynamischem Verweis auf das Verzeichnis vermeiden, dass jeder Tool-Wechsel eine Vertragsänderung auslöst. Die einzelnen Verantwortlichkeiten und Empfänger müssen im Verzeichnis selbst aber präzise benannt werden.

6.5 Verhältnis zu anderen Pflichten

Das Verzeichnis ist Bezugspunkt einer Reihe weiterer Pflichten:

• es konkretisiert die Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO),
• es liefert den Ausgangspunkt für die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO,
• es ist Grundlage für die Beantwortung von Auskunftsersuchen nach Art. 15 DSGVO,
• es ergänzt die Dokumentation nach Art. 24 DSGVO und das Informationssicherheits-Managementsystem nach Art. 32 DSGVO,
• in Verbindung mit Art. 10 Abs. 5 KI-VO trägt es zusätzliche Begründungen für Verarbeitungen besonderer Datenkategorien zur Bias-Korrektur in Hochrisiko-KI-Systemen.