Verzeichnis von Verarbeitungstätigkeiten: Art. 30 DSGVO praktisch führen

Ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO soll nicht bloß eine Liste von Software und Abteilungen sein. Es muss erkennen lassen, welche personenbezogenen Daten ein Unternehmen für welchen Zweck verarbeitet, wer davon betroffen ist, an wen Daten übermittelt werden und welche Löschfristen sowie Schutzmaßnahmen vorgesehen sind.

Dieser Beitrag zeigt, wie Verantwortliche und Auftragsverarbeiter ein solches Verzeichnis praktisch aufbauen und aktuell halten. Im Mittelpunkt steht die Dokumentationspflicht nach Art. 30 DSGVO. Ein allgemeines Löschkonzept, ein vollständiger Nachweis technischer und organisatorischer Maßnahmen oder die separate Rollenklärung zwischen Verantwortlichem und Auftragsverarbeiter sind damit nicht ersetzt.

Art. 30 Abs. 1 DSGVO verpflichtet Verantwortliche grundsätzlich, ein Verzeichnis aller Verarbeitungstätigkeiten in ihrem Zuständigkeitsbereich zu führen. Der Eintrag beginnt mit dem konkreten Vorgang, nicht mit dem Namen einer Abteilung oder einer eingesetzten Anwendung. „CRM“ oder „Personalverwaltung“ beschreibt noch nicht, welche Daten zu welchem Zweck verarbeitet werden.

Für Verantwortliche nennt Art. 30 Abs. 1 DSGVO unter anderem Kontaktdaten, Zwecke, Kategorien betroffener Personen und personenbezogener Daten, Empfänger sowie allfällige Übermittlungen in Drittländer oder an internationale Organisationen. Soweit möglich, gehören auch vorgesehene Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 DSGVO dazu.

Das Verzeichnis wird schriftlich geführt, wobei ein elektronisches Format genügt. Es muss der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt werden. Die Dokumentation ist daher kein Werbetext und keine allgemeine Datenschutzrichtlinie, sondern eine nachvollziehbare Übersicht über die tatsächlichen Verarbeitungsvorgänge.

Verantwortliche führen ein Verzeichnis über die Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen. Auftragsverarbeiter führen dagegen ein Verzeichnis der Kategorien von Verarbeitungen, die sie im Auftrag ihrer Kunden durchführen. Diese beiden Verzeichnisse haben unterschiedliche Perspektiven und dürfen nicht durch eine pauschale Rollenbezeichnung ersetzt werden.

Für die Einordnung ist entscheidend, wer über Zweck und wesentliche Mittel entscheidet. Ein Unternehmen kann bei einem Vorgang Verantwortlicher und bei einem anderen Vorgang Auftragsverarbeiter sein. Bei einer Agentur oder Plattform können zusätzlich eigene Zwecke oder eine gemeinsame Entscheidung nach Art. 26 DSGVO vorliegen. Der Rollen-Check unterstützt eine erste Strukturierung, ersetzt aber nicht die Prüfung des konkreten Datenflusses.

Die Angaben im Verzeichnis sollten mit Verträgen und der tatsächlichen Nutzung zusammenpassen. Ein Vertrag, der eine Auftragsverarbeitung bezeichnet, beantwortet allein noch nicht, welche Verarbeitung tatsächlich stattfindet. Für eine vertiefte Abgrenzung finden Sie die Einordnung gemeinsamer Verantwortlichkeit bei Agenturen und Plattformen.

Beginnen Sie mit einer verständlichen Bezeichnung des Verarbeitungsvorgangs und dem konkreten Zweck. Beschreiben Sie danach, welche Personen betroffen sind, etwa Kunden, Beschäftigte, Bewerber oder Veranstaltungsteilnehmer und welche Datenkategorien tatsächlich verwendet werden. Sammelbegriffe wie „alle Kundendaten“ erschweren die Prüfung.

Empfänger müssen nach Verarbeitungsvorgang und Datenfluss erfasst werden. Dazu können interne Stellen, Auftragsverarbeiter, konzernverbundene Unternehmen, Behörden oder sonstige Empfänger gehören. Erfolgen Übermittlungen in Drittländer, sollte der Eintrag das betreffende Land, den Empfänger und die maßgebliche Transferdokumentation erkennen lassen. Die Dokumentation von Drittlandtransfers mit SCC und TIA behandelt den ergänzenden Prüfpfad.

Bei Löschfristen verlangt Art. 30 DSGVO Angaben, soweit möglich. Eine starre Frist für sämtliche Daten ist selten sachgerecht. Ordnen Sie den Fristauslöser, die Datenkategorie und die einschlägige Aufbewahrungsregel zu. Für technische und organisatorische Maßnahmen genügt im VVT eine allgemeine Beschreibung, wenn die Detailnachweise an anderer Stelle geführt und eindeutig verknüpft werden.

Ein Verzeichnis veraltet meist nicht durch einen einzelnen Stichtag, sondern durch Veränderungen im Unternehmen. Ein neues CRM, ein weiterer Cloud-Anbieter, eine zusätzliche Schnittstelle, eine geänderte Zielgruppe oder ein neuer Empfänger kann einen bestehenden Eintrag verändern. Legen Sie deshalb fest, welche Ereignisse eine Aktualisierung auslösen.

Die Verantwortung für die Pflege darf nicht allein bei einer Datenschutzstelle liegen, wenn Fachbereiche, IT und Einkauf die Änderungen auslösen. Sinnvoll sind Freigabepunkte bei Beschaffung, Produktentwicklung, Personalprozessen und Marketingkampagnen. Die Dokumentation sollte Version, Prüfdatum, offene Fragen und zuständige Personen enthalten.

Vergleichen Sie das VVT regelmäßig mit Datenschutzerklärungen, Auftragsverarbeitungsverträgen, Löschregeln und Sicherheitsunterlagen. Die Datenschutz-Governance für Unternehmen hilft, diese Zuständigkeiten organisatorisch zu verankern. Für die Maßnahmen nach Art. 32 DSGVO ist der Beitrag zur nachvollziehbaren TOM-Dokumentation die passende Ergänzung, nicht aber ein Ersatz für das VVT.

Art. 30 Abs. 5 DSGVO sieht eine Ausnahme für Unternehmen oder Einrichtungen mit weniger als 250 Mitarbeitern vor. Sie greift jedoch nicht, wenn die Verarbeitung voraussichtlich ein Risiko für die Rechte und Freiheiten betroffener Personen birgt, nicht nur gelegentlich erfolgt oder besondere Kategorien personenbezogener Daten nach Art. 9 beziehungsweise Daten nach Art. 10 DSGVO betrifft.

Die Mitarbeiterzahl allein entscheidet daher nicht, ob ein Verzeichnis entfallen kann. Regelmäßige Kundenverwaltung, laufende Personalverarbeitung, wiederkehrende Kommunikation oder der Einsatz von Systemen mit erhöhtem Risiko können gegen eine pauschale Ausnahme sprechen. Prüfen Sie außerdem, ob mehrere Verarbeitungsvorgänge zusammengehören und wie das Unternehmen die Ausnahme begründen würde.

In der Praxis ist ein schlankes, aktuelles Verzeichnis häufig das bessere Organisationsinstrument, selbst wenn eine Ausnahme im Einzelfall erwogen wird. Es macht Datenflüsse sichtbar und erleichtert die Abstimmung mit Informationspflichten, Verträgen und Sicherheitsmaßnahmen. Eine solche Entscheidung sollte mit Tatsachen, Umfang und Risiko dokumentiert werden.

Eine Liste der Software: Produktnamen zeigen nicht, welche Zwecke, Datenkategorien und Empfänger mit einer Verarbeitung verbunden sind.

Ein Eintrag für das gesamte Unternehmen: Unterschiedliche Zwecke, betroffene Personengruppen und Datenflüsse werden zusammengezogen und dadurch unprüfbar.

Die Ausnahme pauschal anwenden: Weniger als 250 Mitarbeiter befreien nicht automatisch von der Pflicht nach Art. 30 DSGVO.

Nur den Vertrag lesen: Die tatsächliche Nutzung kann von einer Rollenbezeichnung oder einer Leistungsbeschreibung abweichen.

Das VVT nicht nachführen: Neue Dienstleister, Empfänger, Systeme und Zwecke bleiben außen vor, obwohl sie den Datenfluss verändern.

VVT und Detailnachweise verwechseln: Das Verzeichnis kann auf Löschkonzept, Sicherheitsnachweis oder Transferdokumentation verweisen, ersetzt diese aber nicht.

Wir prüfen mit Ihnen die tatsächlichen Verarbeitungsvorgänge, ordnen die Angaben nach Art. 30 DSGVO und gleichen sie mit Verträgen, Datenschutzerklärungen, Löschregeln und Sicherheitsunterlagen ab. Kontaktieren Sie uns mit Ihrem bestehenden Verzeichnis oder einem konkreten neuen Verfahren, damit offene Angaben, Zuständigkeiten und der nächste sinnvolle Prüfschritt klar festgelegt werden können.