DPO WorkspaceKostenlos starten

Praxisleitfaden · Art. 30 DSGVO

Verarbeitungsverzeichnis: Pflicht, Inhalt und wie man es ohne Chaos führt

Das Verarbeitungsverzeichnis ist die Landkarte aller Vorgänge, mit denen eine Organisation personenbezogene Daten verarbeitet – und das erste Dokument, das eine Aufsichtsbehörde bei einer Prüfung anfordert. Art. 30 DSGVO regelt Inhalt und Form; die tägliche Praxis, besonders bei mehreren Mandanten, entscheidet, ob daraus ein lebendiges Arbeitsmittel oder eine vergessene Tabelle wird.

In Deutschland trifft diese Pflicht früher zu als in vielen anderen Mitgliedstaaten: Bereits ab 20 Beschäftigten in der automatisierten Datenverarbeitung ist ein Datenschutzbeauftragter zu benennen (§ 38 BDSG) – und damit steht auch das Verzeichnis früher auf der Agenda vieler kleiner und mittlerer Unternehmen.

Pflichtinhalt nach Art. 30 Abs. 1

  • Zwecke der Verarbeitung
  • Kategorien betroffener Personen und Daten
  • Kategorien von Empfängern
  • Übermittlungen in Drittländer und Garantien
  • Löschfristen
  • Technische und organisatorische Maßnahmen (allgemeine Beschreibung)

Der Auftragsverarbeiter führt ein spiegelbildliches Verzeichnis für die Tätigkeiten im Auftrag jedes Verantwortlichen (Art. 30 Abs. 2 DSGVO).

Excel gegen dedizierte Software

ExcelDPO Workspace
Wiedervorlage-Fristen mit Erinnerung
Ein Verzeichnis pro Mandant, an einem Ort
Verknüpfung mit DSFA, Datenpannen und Dokumenten
Versionsverlauf für die Prüfung
Export für Verantwortlichen oder Behörde

Das Verzeichnis, für jeden Mandanten, mit den richtigen Fristen

In DPO Workspace hat jeder Mandant sein eigenes Verzeichnis nach Art. 30, verknüpft mit Dokumenten, DSFA und Datenpannen – jede Wiedervorlagefrist mit gesetzlicher Grundlage, nicht mit einer beliebigen Zahl. 30 Tage kostenlos testen, keine Kreditkarte nötig.

Kostenlos testen

Häufige Fragen

Ist das Verarbeitungsverzeichnis auch für kleine Unternehmen Pflicht?

Art. 30 Abs. 5 DSGVO befreit formal Organisationen mit weniger als 250 Mitarbeitern – die Rückausnahmen (nicht nur gelegentliche Verarbeitung, besondere Datenkategorien, risikobehaftete Verarbeitung) greifen aber praktisch immer: Beschäftigte, Kunden und Lieferanten sind keine gelegentliche Verarbeitung. In Deutschland kommt hinzu, dass bereits ab 20 Beschäftigten in der automatisierten Datenverarbeitung ein Datenschutzbeauftragter zu benennen ist (§ 38 BDSG), der das Verzeichnis ohnehin führen muss.

Was muss das Verzeichnis des Verantwortlichen enthalten?

Für jede Verarbeitungstätigkeit (Art. 30 Abs. 1): Zwecke der Verarbeitung; Kategorien betroffener Personen und Daten; Kategorien von Empfängern; gegebenenfalls Übermittlungen in Drittländer mit Garantien; Löschfristen; allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Dazu die Kontaktdaten von Verantwortlichem, gemeinsam Verantwortlichen, Vertreter und Datenschutzbeauftragtem.

Reicht Excel für das Verarbeitungsverzeichnis?

Formal ja: die DSGVO verlangt Schriftform, auch elektronisch. In der Praxis funktioniert Excel, solange es wenige Verarbeitungstätigkeiten und einen Verantwortlichen gibt. Bei mehreren Mandanten, wiederkehrenden Überprüfungen und Verknüpfungen zu DSFA und Datenpannen wird die Tabelle zur Schwachstelle der Compliance. Dedizierte Software ergänzt Fristen, Versionsverlauf und Konsistenz zwischen den Dokumenten.

Worin unterscheiden sich das Verzeichnis des Verantwortlichen und des Auftragsverarbeiters?

Der Verantwortliche dokumentiert seine EIGENEN Verarbeitungstätigkeiten (Art. 30 Abs. 1); der Auftragsverarbeiter dokumentiert die Kategorien von Verarbeitungen, die er IM AUFTRAG jedes Verantwortlichen durchführt (Art. 30 Abs. 2). Ein Unternehmen kann beide Verzeichnisse führen müssen: als Verantwortlicher für eigene Beschäftigte und Kunden, als Auftragsverarbeiter für Leistungen an andere.

Wer prüft das Verarbeitungsverzeichnis?

Die zuständige Landesdatenschutzbehörde am Sitz des Unternehmens – für Bundesbehörden und bestimmte bundesweite Bereiche der BfDI. Das Verzeichnis ist meist das erste Dokument, das bei einer Prüfung angefordert wird.

Ein lebendiges Verzeichnis, keine vergessene Tabelle

Verzeichnis nach Art. 30, DSFA, Datenpannen, Dokumente und Fristen jedes Mandanten in einer Plattform.

Kostenlos starten