Verzeichnis von Verarbeitungstätigkeiten (VVT): Was Artikel 30 DSGVO wirklich verlangt
Wer das Verzeichnis führen muss, warum die vielzitierte 250-Mitarbeiter-Ausnahme fast nie greift, welche Angaben nach Absatz 1 und Absatz 2 hineingehören und wie ein Betrieb mit 20 bis 200 Beschäftigten damit anfängt.
Das Verzeichnis von Verarbeitungstätigkeiten, kurz VVT, ist die zentrale Dokumentationspflicht der Datenschutz-Grundverordnung. Es steht in Artikel 30 der Verordnung (EU) 2016/679 und verlangt eine strukturierte Übersicht darüber, welche personenbezogenen Daten ein Unternehmen zu welchen Zwecken verarbeitet. Um Absatz 5 hat sich ein hartnäckiges Missverständnis gebildet: Sehr viele Quellen verkürzen ihn zu „unter 250 Mitarbeiter, also kein Verzeichnis nötig“. Der Wortlaut sagt etwas anderes. Die Ausnahme greift nur, wenn keine von drei Rückausnahmen vorliegt, und eine davon ist bereits die nicht nur gelegentliche Verarbeitung. Diese Seite arbeitet den Artikel Absatz für Absatz am amtlichen Text durch.
Was ist ein Verzeichnis von Verarbeitungstätigkeiten?
Artikel 30 Absatz 1 der Datenschutz-Grundverordnung formuliert es knapp: Jeder Verantwortliche und gegebenenfalls sein Vertreter führen ein Verzeichnis aller Verarbeitungstätigkeiten, die ihrer Zuständigkeit unterliegen. Gemeint ist eine strukturierte Aufstellung, in der jede Tätigkeit, bei der personenbezogene Daten verarbeitet werden, einmal beschrieben ist: welche Daten, von wem, wozu, wer sie bekommt und wie lange sie bleiben.
Eine Verarbeitungstätigkeit ist dabei kein einzelner Klick und kein einzelnes IT-System, sondern ein zusammenhängender betrieblicher Vorgang. Die Lohnabrechnung ist eine Verarbeitungstätigkeit. Das Bewerbermanagement ist eine. Der Newsletter ist eine. Innerhalb einer solchen Tätigkeit können mehrere Systeme und mehrere Dienstleister zusammenspielen, das Verzeichnis beschreibt trotzdem den Vorgang als Ganzes.
Das VVT ist kein Selbstzweck. Es ist die Grundlage, auf der sich die anderen Datenschutzpflichten überhaupt erfüllen lassen. Ohne die Übersicht, welche Daten wo liegen, lässt sich eine Auskunft nach Artikel 15 nicht sauber beantworten, ein Löschkonzept nicht aufsetzen und eine Datenpanne nach Artikel 33 nicht innerhalb von 72 Stunden bewerten. Deshalb ist das Verzeichnis in der Praxis der erste Arbeitsschritt jeder Datenschutzorganisation.
Warum es das Verzeichnis überhaupt gibt
Vor der Datenschutz-Grundverordnung mussten Unternehmen ihre Verarbeitungen in bestimmten Fällen bei der Aufsichtsbehörde melden. Diese Meldepflicht ist entfallen. An ihre Stelle ist die Rechenschaftspflicht getreten: Das Unternehmen dokumentiert selbst und legt die Dokumentation auf Anfrage vor. Artikel 30 Absatz 4 setzt genau das um, indem der Verantwortliche der Aufsichtsbehörde das Verzeichnis auf Anfrage zur Verfügung stellt.
Das erklärt auch, warum das Verzeichnis so weit gefasst ist. Es soll der Behörde in einem Zug zeigen, was im Betrieb an personenbezogener Verarbeitung läuft, ohne dass sie jeden Vorgang einzeln erfragen muss.
Wer ein VVT führen muss: Verantwortlicher und Auftragsverarbeiter
Artikel 30 kennt zwei Verzeichnisse mit unterschiedlichem Inhalt. Absatz 1 richtet sich an den Verantwortlichen, also an das Unternehmen, das über Zwecke und Mittel der Verarbeitung entscheidet. Absatz 2 richtet sich an den Auftragsverarbeiter, also an denjenigen, der personenbezogene Daten im Auftrag eines anderen verarbeitet.
Die meisten mittelständischen Betriebe sind beides. Für die eigenen Beschäftigten, Kunden und Lieferanten sind sie Verantwortlicher. Sobald sie für einen Kunden Daten verarbeiten, etwa im Rahmen einer Wartung, eines Fernzugriffs oder einer beauftragten Auswertung, können sie in dieser Rolle Auftragsverarbeiter sein. Wer beide Rollen hat, führt zwei getrennte Teile, weil die Pflichtangaben unterschiedlich sind.
Der Unterschied im Umfang ist deutlich. Das Verzeichnis des Verantwortlichen listet nach Absatz 1 sieben Angaben je Tätigkeit auf und beschreibt jede Verarbeitungstätigkeit einzeln. Das Verzeichnis des Auftragsverarbeiters kennt nach Absatz 2 vier Angaben und beschreibt Kategorien von Verarbeitungen je Auftraggeber.
| Verantwortlicher (Abs. 1) | Auftragsverarbeiter (Abs. 2) | |
|---|---|---|
| Wer das ist | Wer über Zwecke und Mittel der Verarbeitung entscheidet, im Betrieb also der Regelfall für Personal-, Kunden- und Lieferantendaten | Wer personenbezogene Daten im Auftrag eines Verantwortlichen verarbeitet, etwa als IT-Dienstleister, Lohnbüro oder Wartungspartner |
| Gegenstand des Verzeichnisses | Alle Verarbeitungstätigkeiten, die der eigenen Zuständigkeit unterliegen | Alle Kategorien von im Auftrag eines Verantwortlichen durchgeführten Tätigkeiten der Verarbeitung |
| Zahl der Pflichtangaben | Sieben Angaben, Buchstaben a bis g | Vier Angaben, Buchstaben a bis d |
| Zwecke der Verarbeitung | Pflichtangabe nach Buchstabe b | Nicht verlangt, stattdessen die Kategorien von Verarbeitungen je Auftraggeber |
| Kategorien betroffener Personen und Daten | Pflichtangabe nach Buchstabe c | Nicht verlangt |
| Empfängerkategorien | Pflichtangabe nach Buchstabe d | Nicht verlangt |
| Löschfristen | Pflichtangabe nach Buchstabe f, wenn möglich | Nicht verlangt |
Ein Verzeichnis reicht nicht für die ganze Unternehmensgruppe
Artikel 30 knüpft an den Verantwortlichen an. Bei mehreren rechtlich selbstständigen Gesellschaften ist jede Gesellschaft ein eigener Verantwortlicher und führt ihr eigenes Verzeichnis. Ein gemeinsames Konzernverzeichnis kann als Arbeitsgrundlage dienen, es muss sich aber je Gesellschaft eindeutig auseinandernehmen lassen, weil Absatz 1 Buchstabe a den Namen und die Kontaktdaten des jeweiligen Verantwortlichen verlangt.
Das VVT und der Datenschutzbeauftragte sind zwei getrennte Fragen
Beide Themen laufen im Gespräch gern zusammen, sie haben aber verschiedene Schwellen. Die Pflicht zum Verzeichnis richtet sich nach Artikel 30 DSGVO. Die Pflicht zur Benennung eines Datenschutzbeauftragten richtet sich in Deutschland zusätzlich nach § 38 Absatz 1 BDSG, der greift, soweit in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Ein Betrieb kann also verzeichnispflichtig sein, ohne einen Datenschutzbeauftragten benennen zu müssen, und umgekehrt.
Ob ein Unternehmen im konkreten Fall Verantwortlicher oder Auftragsverarbeiter ist, richtet sich nach der tatsächlichen Entscheidungsmacht über Zwecke und Mittel und nach der Vertragsgestaltung. Die Einordnung ist eine Einzelfallfrage.
Die 250-Beschäftigten-Ausnahme in Absatz 5: der meistzitierte Irrtum
Die Aussage „unter 250 Mitarbeiter, also kein Verzeichnis nötig“ ist eine Verkürzung, die der Wortlaut nicht hergibt. Absatz 5 nimmt die Pflicht nur weg, wenn keine der drei dort genannten Rückausnahmen vorliegt. Bereits eine nicht nur gelegentliche Verarbeitung reicht aus, damit die Pflicht wieder gilt.
Der amtliche Wortlaut in der konsolidierten Fassung lautet: „Die in den Absätzen 1 und 2 genannten Pflichten gelten nicht für Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen, es sei denn, die von ihnen vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich oder es erfolgt eine Verarbeitung besonderer Datenkategorien gemäß Artikel 9 Absatz 1 bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10.“
Entscheidend sind die drei Wörter „es sei denn“ und das „oder“ zwischen den Bedingungen. Die Beschäftigtenzahl allein befreit niemanden. Sie eröffnet nur die Möglichkeit einer Befreiung, und diese Möglichkeit fällt weg, sobald eine einzige der drei Bedingungen erfüllt ist. Die Ausnahme ist damit eng, nicht weit.
Ein Teil des Missverständnisses hat eine nachweisbare Ursache. Die deutsche Fassung, die 2016 im Amtsblatt L 119 erschien, formulierte Absatz 5 mit „sofern … nicht“ und verteilte die Verneinungen so, dass der Satz sich beim Lesen umdreht. Diese Fassung wurde durch die Berichtigung im Amtsblatt L 314 vom 22. November 2016 ersetzt. Seitdem steht dort „es sei denn“, und die Bedingungen sind positiv formuliert. Wer heute noch auf eine ältere Textwiedergabe stößt, liest unter Umständen die überholte Formulierung.
| Rückausnahme | Wortlaut in Art. 30 Abs. 5 | Was das im Betrieb bedeutet |
|---|---|---|
| Risiko für Rechte und Freiheiten | „die von ihnen vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen“ | Der Wortlaut nennt hier ein Risiko, nicht erst ein hohes Risiko wie Artikel 35 bei der Datenschutz-Folgenabschätzung. Die Schwelle liegt also niedriger als bei der Folgenabschätzung. |
| Nicht nur gelegentliche Verarbeitung | „die Verarbeitung erfolgt nicht nur gelegentlich“ | Das ist der Punkt, an dem die Ausnahme in der Praxis fast immer scheitert. Lohnabrechnung, Personalakten, Kundenstammdaten und Zeiterfassung laufen dauerhaft und wiederkehrend, nicht anlassbezogen. |
| Besondere Kategorien oder Strafdaten | „es erfolgt eine Verarbeitung besonderer Datenkategorien gemäß Artikel 9 Absatz 1 bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10“ | Betrifft unter anderem Gesundheitsangaben, Angaben zu einer Schwerbehinderung, Gewerkschaftszugehörigkeit und biometrische Daten sowie Führungszeugnisse, soweit sie im Betrieb tatsächlich anfallen. |
Warum praktisch jeder Betrieb bei der zweiten Bedingung landet
Ein Unternehmen mit Beschäftigten führt Personalakten, rechnet Löhne ab und meldet an Sozialversicherung und Finanzamt. Ein Unternehmen mit Kunden pflegt Kontaktdaten, schreibt Rechnungen und hält Vorgänge nach. Beides passiert laufend und dauerhaft, nicht bei seltener Gelegenheit. Damit ist die zweite Bedingung erfüllt, und die Ausnahme greift nicht mehr, ganz unabhängig davon, ob der Betrieb fünf oder 240 Beschäftigte hat.
Der Anwendungsbereich, der für die Ausnahme übrig bleibt, ist entsprechend schmal. Er trifft eher den Fall einer einmaligen, klar abgegrenzten Verarbeitung ohne besondere Datenkategorien, etwa eine einmalige Adressverarbeitung für eine einzelne Veranstaltung, wenn sonst nichts Dauerhaftes läuft. Für einen laufenden Gewerbebetrieb ist das kein realistisches Bild.
Gilt die Ausnahme für den ganzen Betrieb oder je Verarbeitung?
Der Wortlaut knüpft an das Unternehmen an, nicht an die einzelne Tätigkeit. Ob eine einzige risikobehaftete oder dauerhafte Verarbeitung damit das gesamte Verzeichnis auslöst oder nur die betroffene Tätigkeit, wird unterschiedlich beurteilt. Für die Praxis ist die Frage meist ohne Bedeutung, weil in einem laufenden Betrieb ohnehin mehrere Tätigkeiten dauerhaft erfolgen. Wer sich auf die Ausnahme stützen will, sollte die Begründung schriftlich festhalten, denn die Rechenschaftspflicht nach Artikel 5 Absatz 2 liegt beim Unternehmen.
Was zur Beschäftigtenzahl in Absatz 5 zu beachten ist
Die Verordnung spricht von Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter beschäftigen. Sie definiert an dieser Stelle weder eine Zählweise nach Köpfen oder Vollzeitäquivalenten noch einen Stichtag. Erwägungsgrund 13 stellt den Zusammenhang zu Kleinstunternehmen sowie kleinen und mittleren Unternehmen her und verweist für deren Definition auf Artikel 2 des Anhangs zur Empfehlung 2003/361/EG. In der Praxis hat die Zahl ohnehin selten das letzte Wort, weil die Rückausnahmen zuerst greifen.
Ob eine konkrete Verarbeitung nur gelegentlich erfolgt oder ein Risiko für die Rechte und Freiheiten betroffener Personen birgt, ist eine Bewertung des Einzelfalls. Die hier dargestellten Beispiele dienen der Orientierung am Wortlaut und ersetzen keine Prüfung des konkreten Betriebs.
Pflichtinhalte: was nach Absatz 1 im Verzeichnis stehen muss
Artikel 30 Absatz 1 zählt sieben Angaben auf und leitet sie mit einem eindeutigen Satz ein: Dieses Verzeichnis enthält sämtliche folgenden Angaben. Zwei der sieben Angaben sind mit dem Zusatz „wenn möglich“ versehen, die übrigen fünf nicht. Diese Unterscheidung steht so im Text und ist beim Aufbau des Verzeichnisses hilfreich, weil sie zeigt, wo eine Annäherung vertretbar ist und wo nicht.
| Buchst. | Pflichtangabe nach Art. 30 Abs. 1 | Was konkret hineingehört |
|---|---|---|
| a | Name und Kontaktdaten des Verantwortlichen und gegebenenfalls des gemeinsam mit ihm Verantwortlichen, des Vertreters des Verantwortlichen sowie eines etwaigen Datenschutzbeauftragten | Firmierung, Anschrift, Ansprechpartner. Bei gemeinsamer Verantwortlichkeit nach Artikel 26 auch der andere Verantwortliche. Der Datenschutzbeauftragte nur, wenn einer benannt ist. |
| b | Die Zwecke der Verarbeitung | Wofür die Daten verarbeitet werden, benannt als betrieblicher Zweck, etwa Durchführung des Arbeitsverhältnisses, Entgeltabrechnung, Auftragsabwicklung, Bewerberauswahl. |
| c | Eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten | Personengruppen wie Beschäftigte, Bewerber, Kunden, Lieferantenkontakte, Besucher. Datenkategorien wie Stammdaten, Vertragsdaten, Abrechnungsdaten, Zeitdaten. |
| d | Die Kategorien von Empfängern, gegenüber denen die Daten offengelegt worden sind oder noch offengelegt werden, einschließlich Empfänger in Drittländern oder internationalen Organisationen | Kategorien genügen, etwa Steuerberatung, Sozialversicherungsträger, Finanzverwaltung, IT-Dienstleister. Eine namentliche Auflistung verlangt der Wortlaut nicht, sie ist in der Praxis aber oft die einfachere Pflege. |
| e | Gegebenenfalls Übermittlungen an ein Drittland oder eine internationale Organisation, einschließlich der Angabe des betreffenden Drittlands, sowie bei Übermittlungen nach Artikel 49 Absatz 1 Unterabsatz 2 die Dokumentierung geeigneter Garantien | Relevant, sobald ein Dienstleister außerhalb der EU und des EWR verarbeitet, etwa bei Cloud-Diensten. Anzugeben ist das Land, dazu die Grundlage der Übermittlung. |
| f | Wenn möglich, die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien | Löschfristen je Datenkategorie, nicht pauschal je Tätigkeit. Wo eine gesetzliche Aufbewahrungsfrist gilt, ist sie der naheliegende Anker. |
| g | Wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen gemäß Artikel 32 Absatz 1 | Der Wortlaut verlangt eine allgemeine Beschreibung, kein vollständiges Sicherheitskonzept. Ein Verweis auf ein zentrales TOM-Dokument ist üblich, solange dieses Dokument tatsächlich existiert und gepflegt wird. |
Die vier Angaben im Verzeichnis des Auftragsverarbeiters
Wer im Auftrag eines anderen verarbeitet, führt nach Absatz 2 ein deutlich kürzeres Verzeichnis. Buchstabe a verlangt den Namen und die Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag er tätig ist, sowie gegebenenfalls der Vertreter und eines etwaigen Datenschutzbeauftragten. Buchstabe b verlangt die Kategorien von Verarbeitungen, die im Auftrag jedes Verantwortlichen durchgeführt werden. Buchstabe c betrifft Drittlandübermittlungen mit denselben Angaben wie in Absatz 1. Buchstabe d verlangt, wenn möglich, eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Artikel 32 Absatz 1.
Der Zuschnitt ergibt sich aus der Rolle. Der Auftragsverarbeiter entscheidet nicht über die Zwecke, deshalb verlangt Absatz 2 sie auch nicht von ihm. Er muss aber je Auftraggeber sauber trennen können, was er für wen tut.
Was „wenn möglich“ bei den Buchstaben f und g bedeutet
Der Zusatz steht nur bei den Löschfristen und bei der Beschreibung der technischen und organisatorischen Maßnahmen. Er ist keine allgemeine Erleichterung für den Rest des Verzeichnisses. Und er ist kein Freibrief, die Felder leer zu lassen, weil sie unbequem sind. Wo sich eine Löschfrist bestimmen lässt, sollte sie im Verzeichnis stehen. Wo sie sich noch nicht bestimmen lässt, hilft es, den Grund kurz festzuhalten und die Klärung als offenen Punkt zu führen.
Löschfristen ergeben sich aus einer Verbindung von steuer-, handels- und sozialrechtlichen Aufbewahrungspflichten mit dem Grundsatz der Speicherbegrenzung nach Artikel 5 Absatz 1 Buchstabe e DSGVO. Die konkrete Frist je Datenkategorie sollte fachlich abgesichert werden.
Form, Aktualität und Vorlage bei der Aufsichtsbehörde
Zur Form ist Artikel 30 Absatz 3 kurz und eindeutig: Das in den Absätzen 1 und 2 genannte Verzeichnis ist schriftlich zu führen, was auch in einem elektronischen Format erfolgen kann. Eine Unterschrift verlangt der Wortlaut nicht, ein bestimmtes Dateiformat ebenfalls nicht. Eine gepflegte Tabelle erfüllt die Formanforderung genauso wie ein Fachsystem. Was zählt, ist die Nachvollziehbarkeit.
Absatz 4 regelt die Vorlage: Der Verantwortliche oder der Auftragsverarbeiter sowie gegebenenfalls deren Vertreter stellen der Aufsichtsbehörde das Verzeichnis auf Anfrage zur Verfügung. Das Verzeichnis muss also nicht eingereicht oder veröffentlicht werden, es muss aber vorzeigbar sein, wenn die Behörde danach fragt. Der Zeitpunkt einer solchen Anfrage lässt sich nicht planen, deshalb ist die laufende Pflege der eigentliche Aufwandstreiber, nicht die Ersterstellung.
Eine feste Frist für die Aktualisierung nennt Artikel 30 nicht. Aus der Rechenschaftspflicht nach Artikel 5 Absatz 2 folgt jedoch, dass das Verzeichnis den tatsächlichen Zustand abbilden muss. Ein Verzeichnis, das den vor zwei Jahren abgelösten Dienstleister noch als Empfänger führt und das seit einem Jahr eingesetzte neue Bewerberportal gar nicht kennt, erfüllt seinen Zweck nicht.
Zwei Anlässe, an denen ein Verzeichnis erfahrungsgemäß auffliegt
Der erste Anlass ist eine Datenpanne. Artikel 33 verlangt die Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden. Wer in diesem Zeitfenster erst herausfinden muss, welche Datenkategorien betroffen sind und wer sie sonst noch bekommen hat, verliert genau die Zeit, die er nicht hat. Das Verzeichnis liefert diese Antworten in wenigen Minuten, wenn es gepflegt ist.
Der zweite Anlass ist ein Auskunftsersuchen nach Artikel 15, typischerweise von einem ausgeschiedenen Beschäftigten. Auch dort ist die Frage identisch: In welchen Verarbeitungstätigkeiten kommt diese Person vor, welche Daten liegen dazu, wer hat sie erhalten. Wer das Verzeichnis nur einmal für die Akte gebaut hat, merkt an dieser Stelle, dass es nicht mehr stimmt.
Was bei einem fehlenden oder unvollständigen Verzeichnis droht
Die in Artikel 83 genannten Beträge sind Obergrenzen, keine Regelbeträge. Artikel 83 Absatz 2 verlangt, dass bei der Entscheidung über eine Geldbuße und über deren Betrag unter anderem Art, Schwere und Dauer des Verstoßes, Vorsätzlichkeit oder Fahrlässigkeit sowie der Umfang der Zusammenarbeit mit der Aufsichtsbehörde gebührend berücksichtigt werden.
Für Verstöße gegen Artikel 30 gilt der niedrigere der beiden Bußgeldrahmen der Verordnung. Artikel 83 Absatz 4 nennt Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist. Buchstabe a bezieht sich dabei auf die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43. Artikel 30 liegt in dieser Spanne.
Die häufig zitierten 20 Mio. EUR beziehungsweise 4 % stehen in Artikel 83 Absatz 5 und betreffen andere Vorschriften, unter anderem die Verarbeitungsgrundsätze nach den Artikeln 5, 6, 7 und 9 sowie die Betroffenenrechte nach den Artikeln 12 bis 22. Wer für ein fehlendes Verzeichnis pauschal mit 20 Mio. EUR argumentiert, greift zum falschen Absatz.
Praktisch relevant ist außerdem eine zweite Ebene neben dem Bußgeld. Die Aufsichtsbehörde kann nach Artikel 58 Absatz 2 Abhilfemaßnahmen anordnen. Und ein fehlendes Verzeichnis bleibt in aller Regel nicht der einzige Befund, weil sich ohne die Übersicht auch Auskunfts-, Lösch- und Meldepflichten schwer erfüllen lassen. Artikel 83 Absatz 3 begrenzt den Gesamtbetrag bei mehreren Verstößen im Rahmen gleicher oder verbundener Verarbeitungsvorgänge auf den Betrag für den schwerwiegendsten Verstoß.
| Betroffene Vorschriften | Rahmen | Fundstelle |
|---|---|---|
| Pflichten der Verantwortlichen und Auftragsverarbeiter nach den Artikeln 8, 11, 25 bis 39, 42 und 43, darunter das Verzeichnis nach Artikel 30 | bis 10 000 000 EUR oder bis 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher der Beträge höher ist | Art. 83 Abs. 4 Buchst. a |
| Verarbeitungsgrundsätze nach den Artikeln 5, 6, 7 und 9, Betroffenenrechte nach den Artikeln 12 bis 22, Drittlandübermittlungen nach den Artikeln 44 bis 49 | bis 20 000 000 EUR oder bis 4 % des weltweiten Jahresumsatzes, je nachdem, welcher der Beträge höher ist | Art. 83 Abs. 5 |
| Nichtbefolgung einer Anweisung der Aufsichtsbehörde nach Artikel 58 Absatz 2 | bis 20 000 000 EUR oder bis 4 % des weltweiten Jahresumsatzes, je nachdem, welcher der Beträge höher ist | Art. 83 Abs. 6 |
| Mehrere Verstöße bei gleichen oder verbundenen Verarbeitungsvorgängen | Der Gesamtbetrag übersteigt nicht den Betrag für den schwerwiegendsten Verstoß | Art. 83 Abs. 3 |
Ob und in welcher Höhe eine Geldbuße verhängt wird, entscheidet die zuständige Aufsichtsbehörde im Einzelfall nach den Kriterien des Artikels 83 Absatz 2. Die Angaben auf dieser Seite geben die in der Verordnung festgelegten Obergrenzen wieder.
Typische Verarbeitungstätigkeiten in einem Betrieb mit 20 bis 200 Beschäftigten
Die folgende Übersicht ist keine Vorlage zum Abhaken, sondern ein Startraster. Sie zeigt die Tätigkeiten, die in einem gewerblichen Betrieb dieser Größe fast immer vorkommen, und sie macht sichtbar, an welcher der drei Rückausnahmen aus Absatz 5 sie jeweils hängen. Welche Tätigkeiten im eigenen Haus tatsächlich anfallen, ergibt sich erst aus der Bestandsaufnahme.
| Verarbeitungstätigkeit | Betroffene Personen | Typische Datenkategorien | Warum die Ausnahme meist nicht greift |
|---|---|---|---|
| Personalverwaltung und Entgeltabrechnung | Beschäftigte, Auszubildende, Aushilfen | Stammdaten, Vertragsdaten, Bankverbindung, Steuer- und Sozialversicherungsdaten, Fehlzeiten | Läuft dauerhaft und monatlich wiederkehrend, damit nicht nur gelegentlich |
| Bewerbermanagement | Bewerber, auch Initiativbewerbungen | Kontaktdaten, Lebenslauf, Zeugnisse, Bewertungsnotizen | Läuft laufend, dazu kommt die Frage der Aufbewahrung abgelehnter Bewerbungen |
| Kunden- und Auftragsverwaltung | Ansprechpartner bei Kunden, Privatkunden | Kontaktdaten, Auftrags- und Rechnungsdaten, Korrespondenz | Dauerhafter Kernprozess, damit nicht nur gelegentlich |
| Lieferanten- und Dienstleisterkontakte | Ansprechpartner bei Lieferanten und Dienstleistern | Kontaktdaten, Vertrags- und Abrechnungsdaten | Dauerhaft geführt, oft mit Zugriff externer IT-Dienstleister |
| Newsletter und Website | Empfänger, Websitebesucher, Kontaktformularnutzer | E-Mail-Adresse, Einwilligungsnachweis, Nutzungsdaten | Laufender Betrieb, dazu Nachweispflichten zur Einwilligung nach Artikel 7 Absatz 1 |
| Zeiterfassung und Zutrittskontrolle | Beschäftigte, teils Fremdfirmen und Besucher | Kommen- und Gehenzeiten, Zutrittsereignisse, bei bestimmten Systemen biometrische Daten | Dauerhaft, bei biometrischen Merkmalen zusätzlich besondere Kategorien nach Artikel 9 Absatz 1 |
| Videoüberwachung | Beschäftigte, Besucher, Passanten | Bildaufnahmen, Aufnahmezeitpunkt | Dauerhafter Betrieb und regelmäßig ein Risiko für die Rechte und Freiheiten der Betroffenen |
| Betriebliche Gesundheitsthemen | Beschäftigte | Angaben aus dem betrieblichen Eingliederungsmanagement, Vorsorgebescheinigungen, Angaben zur Schwerbehinderung | Besondere Kategorien nach Artikel 9 Absatz 1, soweit solche Daten im Betrieb tatsächlich anfallen |
Wo im Mittelstand am häufigsten etwas fehlt
Erfahrungsgemäß fehlen weniger die großen Prozesse als die kleinen, die niemandem gehören. Der Aushang mit Geburtstagen im Pausenraum, die Fahrtenbücher der Dienstwagen, die private Handynummer des Schichtleiters in einer Gruppen-Chatliste, die Excel-Liste mit Besucheranmeldungen am Empfang, die alte Kundenliste auf dem Notebook eines ausgeschiedenen Vertrieblers. Solche Verarbeitungen entstehen ohne Projektauftrag und tauchen deshalb in keiner IT-Übersicht auf.
Ein zweiter blinder Fleck sind Daten, die über Dienstleister laufen. Lohnbüro, Steuerberatung, IT-Wartung mit Fernzugriff, ein externer Newsletterversand, ein Cloud-Speicher. Diese Empfänger gehören nach Buchstabe d ins Verzeichnis, und in vielen Fällen braucht es zusätzlich einen Vertrag zur Auftragsverarbeitung nach Artikel 28.
Die Tabelle ist ein Startraster für die eigene Bestandsaufnahme. Welche Tätigkeiten im konkreten Betrieb anfallen, welche Datenkategorien dabei verarbeitet werden und wie sie einzuordnen sind, muss das Unternehmen selbst erheben und bewerten.
So bauen Sie das Verzeichnis auf und halten es aktuell
Der Aufbau scheitert selten an der Vorlage. Er scheitert daran, dass niemand weiß, welche Verarbeitungen es im Haus überhaupt gibt. Deshalb steht die Erhebung am Anfang, nicht das Formular. Wer die Erhebung abteilungsweise führt, bekommt in wenigen Gesprächen ein realistisches Bild, weil die Personalabteilung, der Vertrieb und die Produktion jeweils andere Vorgänge nennen.
Zur Frage nach der Vorlage
Eine Vorlage ist nützlich, sie nimmt aber nur den formalen Teil ab. Die Spalten sind in Artikel 30 Absatz 1 vorgegeben, jede brauchbare Vorlage bildet dieselben sieben Angaben ab. Der Aufwand liegt in den Inhalten: welche Tätigkeiten es gibt, wer die Daten bekommt, wie lange sie bleiben. Diese Antworten kann keine Vorlage liefern, sie kommen aus dem Betrieb.
Sinnvoll ist eine Vorlage trotzdem, weil sie die Struktur vorgibt und verhindert, dass Angaben vergessen werden. Wichtig ist nur die Reihenfolge: erst erheben, dann eintragen. Wer mit dem Ausfüllen anfängt, füllt am Ende nur die Tätigkeiten aus, die ihm ohnehin eingefallen sind.
- Abteilungsweise erheben: In Personal, Vertrieb, Einkauf, Produktion, IT und Verwaltung je ein kurzes Gespräch führen und fragen, welche Listen, Systeme und Formulare mit Personenbezug tatsächlich verwendet werden.
- Nach Tätigkeit gliedern, nicht nach IT-System: Eine Verarbeitungstätigkeit ist ein betrieblicher Vorgang. Mehrere Systeme können zu einer Tätigkeit gehören, ein System kann zu mehreren Tätigkeiten gehören.
- Je Tätigkeit die sieben Angaben aus Absatz 1 durchgehen: Verantwortlicher, Zwecke, Kategorien betroffener Personen und Daten, Empfängerkategorien, Drittlandübermittlungen, Löschfristen, allgemeine Beschreibung der Maßnahmen nach Artikel 32 Absatz 1.
- Auftragsverarbeitung getrennt führen: Wo das Unternehmen selbst im Auftrag verarbeitet, entsteht ein zweiter Teil nach Absatz 2 mit anderen Pflichtangaben.
- Empfänger vollständig aufnehmen: Auch Steuerberatung, Lohnbüro, IT-Wartung mit Fernzugriff und Cloud-Anbieter sind Empfänger im Sinne von Buchstabe d. Parallel prüfen, ob ein Vertrag zur Auftragsverarbeitung nach Artikel 28 vorliegt.
- Drittlandbezug früh klären: Bei jedem Dienstleister prüfen, wo tatsächlich verarbeitet und gespeichert wird. Die Angabe nach Buchstabe e hängt daran.
- Löschfristen je Datenkategorie festlegen: Handels- und steuerrechtliche Aufbewahrungspflichten als Anker nehmen und dort, wo keine Pflicht besteht, eine eigene Frist begründen.
- Eine Person benennen, bei der das Verzeichnis zusammenläuft: Ohne feste Zuständigkeit veraltet das Verzeichnis innerhalb weniger Monate, weil Änderungen nirgends gemeldet werden.
- Änderungsanlässe festlegen: neues IT-System, neuer Dienstleister, neuer Standort, neues Produkt mit Kundendaten, neue gesetzliche Meldepflicht. Wer diese Anlässe schriftlich als Auslöser definiert, muss nicht auf ein Jahresprojekt warten.
- Einmal jährlich vollständig durchgehen und den Durchgang mit Datum festhalten, damit sich der Stand später nachvollziehen lässt.
Verwandte Themen
Das Verzeichnis von Verarbeitungstätigkeiten strukturiert führen
Mit dem Datenschutz-Modul von Sicherio erfassen Sie Ihre Verarbeitungstätigkeiten mit den Angaben aus Artikel 30 Absatz 1, halten Änderungen an Zwecken, Empfängern und Löschfristen nachvollziehbar fest und geben den aktuellen Stand als PDF für die Aufsichtsbehörde aus. Die fachliche Bewertung bleibt bei Ihnen, Sicherio gibt ihr die Struktur.
Häufige Fragen
Zum Inhalt dieser Seite
Die hier dargestellten Informationen beruhen auf einer sorgfältigen Auswertung öffentlich zugänglicher Rechts- und Fachquellen zum Stand vom 30. Juli 2026. Sie sollen einen ersten Überblick über die jeweilige Fachthematik geben und die eigenverantwortliche Orientierung erleichtern.
Die Inhalte stellen keine Rechts- oder Fachberatung im Einzelfall dar und ersetzen nicht die Prüfung durch eine qualifizierte Fachkraft — etwa einen Datenschutzbeauftragten oder eine qualifizierte Fachberatung. Für die konkrete Anwendung auf Ihren Betrieb ist eine individuelle fachliche Bewertung erforderlich.
Trotz sorgfältiger Recherche können sich Gesetzeslagen, Normen und behördliche Auslegungen ändern. Wir übernehmen keine Gewähr für die Vollständigkeit, Richtigkeit und Aktualität der dargestellten Informationen.
Hinweise auf Fehler oder veraltete Angaben nehmen wir gerne unter kontakt@sicherio.de entgegen.
Mehr zu unserem Vorgehen: Redaktionelle Grundsätze