Das Verarbeitungsverzeichnis: Mehr als eine Pflichtübung
Ein mittelständisches Unternehmen mit 35 Mitarbeitern nutzt eine Lohnabrechnungssoftware, Outlook, ein CRM-System, eine Cloudablage, eine Zeiterfassung, eine Bewerberplattform und mehrere externe Dienstleister. Auf der Webseite gibt es ein Kontaktformular und einen Newsletter. Die Geschäftsführung geht davon aus, dass der Datenschutz im Wesentlichen geregelt ist – es gibt eine Datenschutzerklärung, mit einigen Dienstleistern wurden Auftragsverarbeitungsverträge geschlossen, die Mitarbeiter wurden geschult.
Dann kommt eine einfache Frage auf: Welche personenbezogenen Daten werden im Unternehmen eigentlich zu welchem Zweck verarbeitet, wo befinden sich diese Daten, wer erhält sie, und wann werden sie gelöscht? Plötzlich wird es schwierig. Jede Abteilung kennt ihre eigenen Abläufe, aber einen Gesamtüberblick gibt es nicht.
Genau an dieser Stelle setzt das Verzeichnis von Verarbeitungstätigkeiten – kurz VVT – an. Richtig aufgebaut ist es weit mehr als eine Tabelle, die irgendwann für eine Prüfung ausgefüllt wird. Es zeigt, welche Verarbeitungsvorgänge im Unternehmen tatsächlich stattfinden und wie diese datenschutzrechtlich einzuordnen sind. Damit wird es zum zentralen Arbeitsinstrument der Datenschutzorganisation – denn nur wer weiß, welche Verarbeitungen stattfinden, kann Rechtsgrundlagen prüfen, Informationspflichten erfüllen, Löschfristen festlegen, Dienstleister bewerten oder Auskunftsersuchen beantworten.
Zentrale Vorschrift ist Art. 30 DSGVO. Danach hat grundsätzlich jeder Verantwortliche ein Verzeichnis aller Verarbeitungstätigkeiten zu führen, die seiner Zuständigkeit unterliegen. Für Auftragsverarbeiter gilt nach Art. 30 Abs. 2 DSGVO eine eigenständige, etwas anders ausgestaltete Pflicht. Das Verzeichnis muss schriftlich geführt werden, eine elektronische Führung ist ausdrücklich zulässig, und es ist der zuständigen Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen – nicht routinemäßig und nicht automatisch bei ihr anzumelden.
Der Sinn dieser Pflicht wird in Erwägungsgrund 82 DSGVO deutlich: Das VVT soll dazu dienen, die Einhaltung der DSGVO nachweisen zu können und der Aufsichtsbehörde eine Kontrolle der Verarbeitungsvorgänge zu ermöglichen. Es steht damit unmittelbar im Zusammenhang mit der Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO. Ein VVT soll deshalb nicht in erster Linie schön aussehen – es soll den tatsächlichen Umgang mit personenbezogenen Daten abbilden.
Was ist eine „Verarbeitungstätigkeit“?
Die DSGVO definiert diesen Begriff nicht näher, was in der Praxis regelmäßig zu Unsicherheit führt. Müsste jede einzelne Handlung erfasst werden – etwa im Personalbereich getrennt das Anlegen eines Mitarbeiters, das Speichern seiner Anschrift, die Gehaltsberechnung, der Versand der Abrechnung und die Meldung an die Sozialversicherung? Ein solches Verzeichnis wäre kaum noch beherrschbar. Das andere Extrem – eine einzige Position „Personalverwaltung“, unter der Bewerbung, Vertrag, Abrechnung, Zeiterfassung und Kündigung zusammengefasst werden – ist ebenso problematisch, weil sich Zwecke, Datenarten, Empfänger und Löschfristen dahinter erheblich unterscheiden.
In der Praxis braucht es eine sinnvolle Abstraktionsebene: Eine Verarbeitungstätigkeit lässt sich als zusammenhängender betrieblicher Vorgang verstehen, der einen bestimmten Zweck oder eine Gruppe eng verbundener Zwecke verfolgt – etwa Bewerbermanagement, Entgeltabrechnung, Kundenverwaltung, Lieferantenverwaltung, Newsletterversand oder Betrieb der Webseite. Eine hilfreiche Kontrollfrage lautet: Lassen sich Zweck, betroffene Personen, Datenkategorien, Empfänger und Löschfristen für den gesamten Vorgang noch einigermaßen einheitlich darstellen? Wenn nicht, spricht viel dafür, die Tätigkeit weiter aufzuteilen.
Ein häufiges Missverständnis besteht darin, Verarbeitungstätigkeiten mit eingesetzten Programmen gleichzusetzen. „Microsoft 365“, „DATEV“ oder „CRM“ sind keine Zwecke, sondern Werkzeuge, mit denen ganz unterschiedliche Tätigkeiten durchgeführt werden – eine CRM-Anwendung etwa für Interessentenverwaltung, Kundenbetreuung und Direktwerbung zugleich. Besser ist es, vom Geschäftsprozess beziehungsweise vom Zweck der Verarbeitung auszugehen. Die eingesetzten Systeme sollten trotzdem dokumentiert werden, denn spätestens bei Löschkonzepten, Auskunftsersuchen oder Dienstleisterprüfungen braucht man die Information, wo die Daten tatsächlich gespeichert und verarbeitet werden.
Geschäftsprozess statt Software: Für das Verzeichnis von Verarbeitungstätigkeiten ist der Zweck der Verarbeitung der richtige Ausgangspunkt. Erst danach werden die beteiligten Systeme und Anwendungen dem jeweiligen Verarbeitungsvorgang zugeordnet.
„Wir haben weniger als 250 Mitarbeiter – brauchen wir wirklich kein VVT?“
Dieser Satz gehört zu den hartnäckigsten Irrtümern rund um Art. 30 DSGVO. Zwar enthält Art. 30 Abs. 5 DSGVO eine Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern, sie ist aber sehr eng gefasst: Sie greift nicht, wenn eine Verarbeitung nicht nur gelegentlich stattfindet, wenn sie voraussichtlich ein Risiko für die Rechte und Freiheiten der Betroffenen birgt, oder wenn sensible Daten nach Art. 9 oder 10 DSGVO betroffen sind. Bereits die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten gilt als „nicht nur gelegentlich“ – und ein Risiko genügt, ein „hohes Risiko“ wie bei der Pflicht zur Datenschutz-Folgenabschätzung ist gerade nicht erforderlich. Damit erledigt sich die vermeintliche KMU-Ausnahme in der normalen Unternehmenspraxis in aller Regel sehr schnell: Ein Handwerksbetrieb mit zwölf Mitarbeitern, der laufend Kunden- und Rechnungsdaten verarbeitet, fällt genauso darunter wie eine kleine Agentur mit fortlaufenden Kundenprojekten.
Hinweis für die Praxis: Auf europäischer Ebene läuft derzeit (Stand August 2026) ein Gesetzgebungsverfahren, mit dem diese Ausnahme deutlich erweitert werden soll – der Kommissionsvorschlag sieht vor, die Schwelle von 250 auf 750 Beschäftigte anzuheben, sofern keine risikoreiche Verarbeitung vorliegt. Das Verfahren ist jedoch noch nicht abgeschlossen. Bis zu einer endgültigen Entscheidung gilt weiterhin die bestehende 250-Mitarbeiter-Regelung. Geplante Erleichterungen sollten in der betrieblichen Praxis also nicht vorweggenommen werden.
Welche Angaben gehören hinein?
Art. 30 Abs. 1 DSGVO schreibt für Verantwortliche einen Mindestinhalt vor. Dazu zählen im Kern:
Name und Kontaktdaten des Verantwortlichen (und gegebenenfalls von Vertreter und Datenschutzbeauftragtem)
die Zwecke der Verarbeitung
die Kategorien betroffener Personen und der verarbeiteten Daten
die Kategorien von Empfängern
gegebenenfalls Drittlandübermittlungen
wenn möglich: Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen
Das Wort „wenn möglich“ bei Löschfristen und Schutzmaßnahmen sollte dabei nicht als Einladung verstanden werden, diese Felder leer zu lassen – in aller Regel lassen sich zumindest Löschkriterien oder ein Verweis auf ein zentrales Lösch- beziehungsweise TOM-Konzept angeben.
Rechtlich nicht zwingend vorgeschrieben, aber in der Praxis kaum verzichtbar sind zusätzlich die Rechtsgrundlage der Verarbeitung sowie die eingesetzten Systeme und konkreten Dienstleister. Nur wenn nachvollziehbar ist, warum eine Verarbeitung überhaupt zulässig ist und wo die Daten tatsächlich liegen, wird das Verzeichnis für Löschkonzepte, Auskunftsersuchen oder die Bewertung von Dienstleistern wirklich brauchbar. Man kann deshalb zwischen einem gesetzlichen Mindest-VVT, das Art. 30 DSGVO erfüllt, und einem erweiterten VVT unterscheiden, das die gesamte Datenschutzumsetzung im Unternehmen trägt. Für kleinere Unternehmen ist die zweite Variante meist die wirtschaftlichere Lösung, weil sie Doppelarbeit vermeidet.
Das VVT als Landkarte der Datenverarbeitung: Es bündelt unterschiedliche betriebliche Prozesse und macht sichtbar, welche personenbezogenen Daten zu welchem Zweck verarbeitet werden, welche Systeme beteiligt sind, wer Daten erhält und wie lange sie gespeichert bleiben.
Die Realität abbilden – nicht die Wunschvorstellung
Eine der häufigsten Schwachstellen in der Praxis: Das VVT beschreibt, wie ein Prozess laufen sollte, nicht wie er tatsächlich läuft. Da steht etwa „Bewerbungsunterlagen werden ausschließlich über das Bewerberportal verarbeitet“, während Bewerber tatsächlich regelmäßig an persönliche E-Mail-Adressen der Geschäftsführung schreiben. Oder es heißt „Empfänger: keine“, obwohl die Daten längst in einem CRM-System und bei einem externen IT-Dienstleister liegen. Ein solches Verzeichnis ist nicht nur falsch – es zeigt, dass der tatsächliche Prozess datenschutzrechtlich nicht vollständig beherrscht wird. Deshalb lohnt es sich, beim Aufbau nicht mit einem leeren Formular zu beginnen, sondern mit einer ehrlichen Bestandsaufnahme: Wer erhält welche Daten, wo werden sie gespeichert, welche Systeme sind beteiligt, wohin werden sie weitergegeben? Diese Vorgehensweise liefert die meisten Angaben für das VVT nahezu von selbst und reduziert die Gefahr, Verarbeitungsschritte zu übersehen.
Typische Fehler in der Praxis
Ein besonders verbreiteter Fehler ist das „VVT aus dem Internet“: Eine Vorlage für einen fremden Betrieb wird heruntergeladen, ein paar Unternehmensdaten ausgetauscht – das Ergebnis sieht ordentlich aus, bildet den tatsächlichen Betrieb aber kaum ab. Ebenso problematisch sind Verzeichnisse, die nur aus Softwarebezeichnungen bestehen, ohne die eigentlichen Zwecke zu benennen, oder das andere Extrem: übermäßig detaillierte Listen, in denen jede E-Mail und jeder Dateiupload als eigene Tätigkeit auftaucht und die niemand mehr pflegen kann. Häufig fehlen außerdem Dienstleister- und Drittlandbezüge, gerade bei Cloudsystemen, sowie pauschale Löschfristen wie „zehn Jahre“, die nicht differenzieren, dass nicht jede Information eines Vorgangs derselben Aufbewahrungspflicht unterliegt. Und nicht selten wird ein VVT einmal erstellt und dann jahrelang nicht mehr angefasst – genau dann verliert es seinen Nutzen. Sinnvoller als eine starre jährliche Aktualisierung ist eine anlassbezogene Pflege: Wird ein neuer Cloudanbieter eingeführt, ein CRM gewechselt oder ein Prozess ausgelagert, sollte die Änderung direkt in den Datenschutzprozess einfließen.
Was passiert, wenn das VVT fehlt?
Ein Verstoß gegen Art. 30 DSGVO kann nach Art. 83 Abs. 4 lit. a DSGVO mit Geldbußen von bis zu 10 Millionen Euro beziehungsweise bis zu zwei Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Das bedeutet selbstverständlich nicht, dass ein kleiner Betrieb wegen eines unvollständigen Excel-Feldes mit Millionenbußgeldern rechnen muss – bei der Bemessung spielen Art, Schwere und Dauer des Verstoßes sowie zahlreiche weitere Umstände eine Rolle. Dass die Vorschrift aber keine folgenlose Formalie ist, zeigen aufsichtsbehördliche Verfahren der jüngeren Vergangenheit: Die französische Aufsichtsbehörde CNIL verhängte Ende 2023 gegen einen Datenvermittler eine Geldbuße von 75.000 Euro, unter anderem wegen eines unvollständigen Verzeichnisses. Die polnische Aufsichtsbehörde belegte Ende 2024 eine Bank mit 72.000 Euro wegen unzureichend dokumentierten Profilings zur Kreditwürdigkeitsprüfung – zusätzlich zu weiteren Bußgeldern wegen anderer Verstöße.
Der Europäische Gerichtshof hat allerdings im Mai 2023 (Rechtssache C-60/22) klargestellt, dass ein fehlendes oder unvollständiges VVT die zugrunde liegende Datenverarbeitung nicht automatisch rechtswidrig macht. Art. 30 DSGVO ist eine eigenständige Rechenschafts- und Dokumentationspflicht, getrennt von der Frage, ob die Verarbeitung selbst materiell zulässig ist. Das bedeutet aber nicht, dass die Pflicht unwichtig wäre – sie bleibt bestehen und kann eigenständig sanktioniert werden. Ein Unternehmen kann also eine an sich zulässige Verarbeitung durchführen und trotzdem gegen die DSGVO verstoßen, weil das Verzeichnis fehlt.
Zusammenfassung
Das Verzeichnis von Verarbeitungstätigkeiten ist zunächst eine gesetzliche Pflicht – seine eigentliche Bedeutung geht aber weit darüber hinaus. Ein gut aufgebautes VVT beantwortet die grundlegenden Fragen jeder Datenverarbeitung: Warum werden Daten verarbeitet, wessen Daten sind betroffen, welche Daten sind es, wer erhält sie, wo werden sie verarbeitet, wie lange bleiben sie gespeichert und wie werden sie geschützt? Damit wird sichtbar, wo im Unternehmen weitere Datenschutzaufgaben entstehen. Es sollte deshalb nicht erst erstellt werden, weil irgendwann eine Aufsichtsbehörde danach fragen könnte, sondern weil es dem Unternehmen selbst hilft, seine Verarbeitungsvorgänge zu verstehen und den Datenschutz strukturiert umzusetzen. Ist es aktuell und an den tatsächlichen Geschäftsprozessen ausgerichtet, wird die weitere Datenschutzarbeit erheblich einfacher – dann ist es keine isolierte Tabelle mehr, sondern das organisatorische Gerüst, an dem Rechtsgrundlagen, Informationspflichten, Dienstleister, Löschfristen und Sicherheitsmaßnahmen zusammenlaufen.
Autorin Daniela Frank, LL.B.
Wirtschaftsjuristin, seit 2019 zertifizierte Datenschutzbeauftragte (TÜV-Süd), seit 2026 Datenschutzauditorin GDD cert. EU, jahrelange Erfahrung als Datenschutzbeauftrage sowohl im nicht-öffentlichen also auch im öffentlichen Bereich.
Dieser Beitrag stellt eine allgemeine fachliche Darstellung dar und ersetzt keine rechtliche Beratung im konkreten Einzelfall.
