Ein Verzeichnis von Verarbeitungstätigkeiten (VVT) dokumentiert die personenbezogenen Verarbeitungen, die Ihrer Zuständigkeit unterliegen. Verantwortliche führen das Verzeichnis nach Art. 30 Abs. 1 DSGVO, Auftragsverarbeiter ein anders aufgebautes Verzeichnis nach Abs. 2. Für Organisationen unter 250 Beschäftigten gibt es nur eine tätigkeitsbezogene, eng begrenzte Ausnahme; regelmäßige Kunden- oder Beschäftigtenverarbeitung ist nicht „nur gelegentlich“. Das VVT muss schriftlich, auch elektronisch, geführt und der Aufsicht auf Anfrage bereitgestellt werden.
Kerntatsachen
- Zwei Verzeichnisse: Die Pflichtinhalte für Verantwortliche und Auftragsverarbeiter unterscheiden sich.
- Geschäftsprozess statt Einzeldatensatz: Ein sinnvoller VVT-Eintrag beschreibt eine Verarbeitungstätigkeit auf passendem Abstraktionsniveau.
- KMU-Ausnahme nicht pauschal: Unter 250 Beschäftigten können nur Tätigkeiten ausgenommen sein, die keines der Merkmale aus Art. 30 Abs. 5 erfüllen.
- Kein öffentliches Register: Das VVT ist eine interne Rechenschafts- und Aufsichtsunterlage.
- Formfrei, aber strukturiert: Tabelle, Fachanwendung oder GRC-System sind möglich; entscheidend sind Vollständigkeit, Aktualität und Nachvollziehbarkeit.
- Keine starre Jahresfrist: Aktualisierung folgt Änderungen; ein risikobasierter Regelreview verhindert veraltete Einträge.
Wer muss ein VVT führen?
Grundsätzlich erstellen und führen Verantwortliche und Auftragsverarbeiter ein Verzeichnis der Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen. Die Pflicht erfasst ganz oder teilweise automatisierte Verarbeitungen sowie nichtautomatisierte Verarbeitungen, wenn personenbezogene Daten in einem Dateisystem gespeichert sind oder gespeichert werden sollen.
In einer Unternehmensgruppe benötigt jede rechtlich verantwortliche Stelle eine zutreffende Dokumentation ihrer eigenen Rolle. Ein gemeinsames Werkzeug ist möglich, ersetzt aber nicht die klare Zuordnung zu Verantwortlichen, gemeinsam Verantwortlichen und Auftragsverarbeitern.
Die Ausnahme für weniger als 250 Beschäftigte
Art. 30 Abs. 5 nimmt Unternehmen oder Einrichtungen mit weniger als 250 Beschäftigten nur insoweit aus, wie eine konkrete Verarbeitung
- voraussichtlich kein Risiko für Rechte und Freiheiten betroffener Personen birgt,
- nur gelegentlich erfolgt und
- weder besondere Kategorien nach Art. 9 Abs. 1 noch Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 umfasst.
Sobald eines dieser Ausschlussmerkmale vorliegt, greift die Ausnahme für diese Verarbeitung nicht. Regelmäßige Lohnabrechnung, Personalverwaltung, Kundenmanagement oder laufender Onlinehandel sind typischerweise nicht nur gelegentlich.
Art. 30 Abs. 5 knüpft die Ausnahme an die konkrete Verarbeitung: Eine kleine Organisation kann verpflichtet sein, die nicht gelegentlichen oder sonst erfassten Tätigkeiten zu dokumentieren, ohne dass allein dadurch jede rein gelegentliche, risikolose Tätigkeit in das Verzeichnis fallen muss. Praktisch kann ein umfassenderes VVT trotzdem zweckmäßig sein, weil es Informationspflichten, Betroffenenrechte, Löschung und DSFA-Vorprüfung unterstützt.
Rechtsstand 2026
Rat und Europäisches Parlament erzielten am 9. Juni 2026 eine vorläufige Einigung zu einem Vereinfachungspaket für kleine Mid-Cap-Unternehmen. Am Prüfdatum war die formale Annahme laut Rat noch ausstehend. Für diesen Leitfaden gilt daher weiterhin der in der geltenden DSGVO enthaltene Schwellenwert von 250 Beschäftigten und der aktuelle Wortlaut des Art. 30 Abs. 5. Ein politischer Vorschlag oder eine vorläufige Einigung darf nicht vorzeitig als geltendes Recht umgesetzt werden.
Pflichtinhalte für Verantwortliche
Art. 30 Abs. 1 verlangt für jede erfasste Verarbeitungstätigkeit:
| Pflichtinhalt | Leitfrage |
|---|---|
| Name und Kontaktdaten | Wer ist Verantwortlicher, gegebenenfalls gemeinsam Verantwortlicher, Vertreter und DSB? |
| Zwecke | Wozu werden die Daten verarbeitet? |
| Kategorien betroffener Personen und Daten | Wessen welche personenbezogenen Daten sind betroffen? |
| Empfängerkategorien | An welche internen oder externen Kategorien, auch in Drittländern, werden Daten offengelegt? |
| Drittlandübermittlungen | In welches Drittland oder an welche internationale Organisation; auf welcher einschlägigen Dokumentation beruhen bestimmte Art.-49-Übermittlungen? |
| Löschfristen, soweit möglich | Wann endet die Erforderlichkeit je Datenkategorie beziehungsweise welches überprüfbare Löschkriterium gilt? |
| Allgemeine Beschreibung der TOMs, soweit möglich | Welche wesentlichen Sicherheitsmaßnahmen schützen die Tätigkeit? |
Die oft genannte Zahl von „acht Pflichtfeldern“ entsteht, wenn Kategorien betroffener Personen und Daten getrennt gezählt werden. Rechtlich maßgeblich ist der Inhalt des Art. 30, nicht die Zählweise einer Vorlage.
Pflichtinhalte für Auftragsverarbeiter
Das Verzeichnis nach Art. 30 Abs. 2 ist kein kopiertes Verantwortlichen-VVT. Es enthält:
- Name und Kontaktdaten des Auftragsverarbeiters beziehungsweise der Auftragsverarbeiter und jedes Verantwortlichen, für den verarbeitet wird, gegebenenfalls deren Vertreter sowie den DSB
- Kategorien der im Auftrag jedes Verantwortlichen durchgeführten Verarbeitungen
- gegebenenfalls Drittland- oder internationale Übermittlungen samt den gesetzlich verlangten Angaben
- soweit möglich eine allgemeine Beschreibung der TOMs nach Art. 32 Abs. 1
Ein Dienstleister, der für mehrere Kunden verarbeitet, muss die Tätigkeiten jedem Verantwortlichen zuordnen können. Die Vertragsüberschrift entscheidet nicht über die Rolle; tatsächliche Zwecke und Mittel sind vorab zu klären.
Sinnvolle Zusatzfelder
Diese Angaben sind nicht sämtlich ausdrückliche Pflichtfelder des Art. 30, verbessern aber Steuerung und Rechenschaft:
- Rechtsgrundlage nach Art. 6 und gegebenenfalls Art. 9
- Datenquellen
- konkrete Empfänger und Auftragsverarbeiter
- eingesetzte Systeme und Schnittstellen
- Verantwortliche im Fachbereich
- Betroffenenrechte-Prozess
- DSFA-Vorprüfung und Risikoeinstufung
- Vertrag oder Vereinbarung nach Art. 26 beziehungsweise 28
- Stand, nächste Prüfung und offene Maßnahmen
Kennzeichnen Sie Pflicht- und Zusatzfelder in der Vorlage. So bleibt erkennbar, welche Information aus Art. 30 folgt und welche das Datenschutzmanagement freiwillig ergänzt.
Was ist eine Verarbeitungstätigkeit?
Ein VVT ist weder bloß eine Systemliste noch eine Zeile pro Datensatz. Die DSK versteht eine Verarbeitungstätigkeit im Allgemeinen als Geschäftsprozess auf geeignetem Abstraktionsniveau. Ein neuer Zweck kann eine eigene Tätigkeit erfordern.
Beispiele können sein:
- Bewerbungsmanagement
- Personalverwaltung und Entgeltabrechnung
- Kunden- und Vertragsverwaltung
- Marketingkommunikation
- Betrieb eines Supportsystems
- Zutrittsverwaltung
- Webanalyse
- Lieferantenmanagement
„Microsoft 365“ oder „CRM“ allein beschreibt nur ein Mittel. „Alle Kundendaten“ ist dagegen meist zu grob, wenn unterschiedliche Zwecke, Empfänger oder Fristen bestehen.
VVT in sieben Schritten anlegen
1. Verantwortlichkeiten festlegen
Die Geschäftsleitung trägt die Verantwortung. Benennen Sie eine Prozessleitung und Ansprechpartner in Fachbereichen, IT, Einkauf, Informationssicherheit und gegebenenfalls beim DSB.
2. Prozesse und Systeme inventarisieren
Nutzen Sie Interviews, System- und Lieferantenlisten, Datenflussübersichten, Verträge und bestehende Datenschutzhinweise. Beginnen Sie nicht nur bei der IT: Zweck und fachliche Entscheidung liegen häufig im Fachbereich.
3. Rollen klären
Bestimmen Sie pro Tätigkeit, ob die Organisation Verantwortlicher, gemeinsam Verantwortlicher oder Auftragsverarbeiter ist. Dokumentieren Sie keine Auftragsverarbeitung, bevor die tatsächliche Rolle geprüft ist.
4. Tätigkeiten sinnvoll schneiden
Wählen Sie ein Niveau, auf dem Zweck, Daten, Empfänger, Frist und TOMs konsistent beschrieben werden können. Vermeiden Sie sowohl ein einziges Unternehmens-Gesamtverfahren als auch hunderte technisch identische Mikroeinträge.
5. Pflichtangaben erheben
Arbeiten Sie mit festen Definitionen, Auswahllisten und Verantwortlichen. Unbekannte Angaben werden als offene Maßnahme mit Frist erfasst, nicht durch Annahmen ersetzt.
6. Konsistenz prüfen
Vergleichen Sie VVT mit
- Datenschutzhinweisen nach Art. 13 und 14
- Auftragsverarbeitungsverträgen und Lieferantenbestand
- Löschregeln
- Berechtigungen und TOM-Dokumentation
- DSFA und Risikoentscheidungen
- Prozessen für Betroffenenrechte
Abweichungen sind Hinweise auf Dokumentations- oder Umsetzungsbedarf.
7. Pflegeprozess verankern
Verknüpfen Sie Änderungen an Systemen, Produkten, Zwecken, Empfängern, Drittlandtransfers oder Speicherfristen mit einer VVT-Prüfung. Ergänzen Sie einen regelmäßigen risikobasierten Review, ohne eine nicht existente gesetzliche Jahresfrist zu behaupten.
Beispiel für einen kompakten Eintrag
| Feld | Beispielhafte Beschreibung |
|---|---|
| Tätigkeit | Bewerbungsmanagement |
| Zweck | Auswahl und Kommunikation im Bewerbungsverfahren |
| Betroffene | Bewerbende |
| Datenkategorien | Kontakt-, Lebenslauf-, Qualifikations- und Kommunikationsdaten |
| Empfänger | zuständige HR- und Auswahlfunktionen; eingesetzter Plattformanbieter |
| Drittland | konkret prüfen und dokumentieren |
| Löschung | prüfbare Frist oder Ereignis je Ergebnis und Rechtsgrund |
| TOMs | rollenbasierter Zugriff, sichere Übertragung, Protokollierung, Löschworkflow |
Das Beispiel ist keine Rechtsgrundlage und keine fertige Vorlage. Fristen, Empfänger, Rolle des Plattformanbieters und Schutzmaßnahmen müssen zur tatsächlichen Ausgestaltung passen.
Excel, Datenschutztool oder GRC?
Die DSGVO schreibt kein Produkt vor.
Eine Tabelle kann genügen, wenn
- wenige Verantwortliche und Bearbeitende beteiligt sind;
- Versionierung und Zugriffssteuerung zuverlässig gelöst sind;
- Beziehungen zu Verträgen, Systemen und Maßnahmen überschaubar bleiben;
- Aktualisierungen nicht in parallelen Kopien verloren gehen.
Ein spezialisiertes System kann helfen, wenn
- viele Gesellschaften, Standorte oder Freigaben koordiniert werden;
- Workflows und Erinnerungen erforderlich sind;
- VVT, DSFA, Verträge, Löschung und Risiken verknüpft werden sollen;
- differenzierte Rollen, Historie und Reporting benötigt werden.
Software macht unklare Rollen oder erfundene Angaben nicht richtig. Datenmodell, Governance und Pflegeprozess kommen zuerst.
Vorlage an die Aufsicht
Art. 30 Abs. 4 verlangt, das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. Die DSGVO nennt dafür keine allgemeine Frist von ein, drei oder sieben Tagen. Maßgeblich sind Anfrage und gesetzte Frist.
Halten Sie deshalb eine exportierbare, verständliche Fassung bereit. Schützen Sie das VVT intern angemessen, da es sensible Informationen über Prozesse, Systeme, Empfänger und Sicherheitsorganisation enthalten kann.
Häufige Fehler
- Die KMU-Ausnahme nur an der Beschäftigtenzahl festmachen
- Verantwortlichen- und Auftragsverarbeiterverzeichnis vermischen
- Systeme statt Zwecke dokumentieren
- Rechtsgrundlage als Pflichtfeld behaupten, ohne zwischen Art. 30 und sinnvoller Zusatzangabe zu unterscheiden
- „Unbegrenzt“ oder „gesetzlich“ statt überprüfbarer Löschkriterien
- Drittlandtransfers und Unterauftragsverarbeiter nicht mit dem Lieferantenbestand abgleichen
- Pauschale TOMs ohne Bezug zur Tätigkeit
- Starre jährliche Aktualisierung statt Änderungsprozess
- Den DSB zum alleinigen Eigentümer des VVT machen
- Politische Reformvorschläge vor Inkrafttreten anwenden
FAQ
Muss jedes kleine Unternehmen ein VVT führen?
Nicht ausnahmslos für jede Tätigkeit. Die Ausnahme unter 250 Beschäftigten ist jedoch eng und tätigkeitsbezogen. Regelmäßige Beschäftigten- oder Kundenverarbeitung ist nicht nur gelegentlich und muss daher regelmäßig dokumentiert werden.
Ist die Rechtsgrundlage ein Pflichtfeld?
Art. 30 nennt sie nicht ausdrücklich. Für Rechenschaft, Datenschutzhinweise und fachliche Prüfung ist ihre Dokumentation dennoch sehr sinnvoll.
Muss das VVT veröffentlicht werden?
Nein. Es ist intern zu führen und der zuständigen Aufsichtsbehörde auf Anfrage bereitzustellen. Datenschutzhinweise für Betroffene sind davon getrennt.
Wie oft muss es aktualisiert werden?
Bei relevanten Änderungen. Ein zusätzlicher regelmäßiger Review ist gute Governance; eine einheitliche gesetzliche Jahresfrist enthält Art. 30 nicht.
Wer pflegt das VVT?
Der Verantwortliche beziehungsweise Auftragsverarbeiter trägt die Pflicht. Fachbereiche liefern und bestätigen ihre Prozessdaten; Datenschutzfunktion und DSB können organisieren, beraten und überwachen, übernehmen aber nicht automatisch die Geschäftsverantwortung.
Gilt 2026 bereits eine höhere Beschäftigtenschwelle?
Am Prüfdatum nein. Die im Juni 2026 gemeldete Einigung war vorläufig und musste laut Rat noch formal angenommen werden. Entscheidend bleibt der aktuelle EUR-Lex-Text.
Passende Unterstützung
Unsere Datenschutz-Beratung unterstützt bei Rollenklärung, VVT-Struktur, Workshops und Qualitätsprüfung. Im Rahmen der Leistung Externer Datenschutzbeauftragter beraten und überwachen wir den Pflegeprozess, ohne die Verantwortung der Fachbereiche zu übernehmen.
Quellen und Prüfung
Rechtsstand und Aussagen wurden am 8. August 2026 anhand dieser Primär- und Behördenquellen geprüft:
Robert Lozo, mag. iur., ist Partner bei Vision Compliance mit Schwerpunkt EU-Regulierung. Er berät Organisationen zu DSGVO, NIS2, EU AI Act und Finanzregulierung und liefert auditfähige Dokumentation und Compliance-Fahrpläne für regulierte Branchen.