Leitfäden

Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO): Inhalt und wann eine DSFA nötig ist

Vom NexoDocs-Team · wie wir Inhalte erstellen und prüfen

Das Verzeichnis von Verarbeitungstätigkeiten (VVT) listet alles auf, was ein Unternehmen mit personenbezogenen Daten macht: zu welchem Zweck, von welchen Personen, welche Daten, wer sie erhält, ob sie in Drittländer gehen, wie lange sie gespeichert und wie sie geschützt werden. Die DSGVO verlangt es in Art. 30 sowohl vom Verantwortlichen als auch vom Auftragsverarbeiter; die Ausnahme für Organisationen mit weniger als 250 Beschäftigten ist eng. Das VVT ist außerdem die Grundlage für ISO/IEC 27701 und für die Datenschutz-Folgenabschätzung (DSFA), die Art. 35 bei voraussichtlich hohem Risiko verlangt. Dieser Leitfaden dient nur der Information und ist keine Rechtsberatung.

Welche Spalten das Verzeichnis des Verantwortlichen braucht

Art. 30 Abs. 1 DSGVO nennt den Mindestinhalt. Am praktischsten ist eine Tabelle mit einer Zeile pro Verarbeitungstätigkeit (zum Beispiel „Lohnabrechnung“, „Kunden des Onlineshops“, „Videoüberwachung“) und diesen Spalten:

Über das Minimum hinaus lohnt es sich, Rechtsgrundlage, System, internen Verantwortlichen und „DSFA nötig?“ zu ergänzen: Dann hilft dasselbe Verzeichnis bei Auskunftsanfragen und Audits.

Das Verzeichnis des Auftragsverarbeiters

Wer Daten im Auftrag von Kunden verarbeitet (zum Beispiel ein SaaS-Anbieter oder ein Lohnbüro), braucht nach Art. 30 Abs. 2 ein eigenes Verzeichnis: eigener Name und Kontakt sowie die jedes Auftraggebers, die Kategorien der Verarbeitungen für jeden Auftraggeber, Drittlandübermittlungen und eine allgemeine Beschreibung der TOM. Viele Unternehmen sind beides – Verantwortlicher für eigene Beschäftigte und Kunden, Auftragsverarbeiter für Kundendaten – und brauchen beide Verzeichnisse.

Die Vorlage, sofort einsetzbar

ISO 27701 Toolkit: Dokumentation für Ihr Datenschutz-Managementsystem

34 Word-Dokumente · 14 Excel-Werkzeuge · 78 Maßnahmen aus Anhang A

Das ISO-27701-Kit mit VVT- und DSFA-Vorlagen ansehen

Wer ist ausgenommen?

Art. 30 Abs. 5 nimmt Organisationen mit weniger als 250 Beschäftigten aus, aber nur, wenn die Verarbeitung kein Risiko für die Betroffenen birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien oder Daten über Straftaten umfasst. Lohnabrechnung und Kundendaten sind nicht gelegentlich – in der Praxis muss fast jedes aktive Unternehmen ein Verzeichnis führen, zumindest für diese Tätigkeiten.

Wann eine DSFA nötig ist

Art. 35 DSGVO verlangt eine Datenschutz-Folgenabschätzung vor Verarbeitungen, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen mit sich bringen. Drei Fälle nennt die Verordnung ausdrücklich:

• Systematische und umfassende Bewertung persönlicher Aspekte auf Grundlage automatisierter Verarbeitung einschließlich Profiling, die rechtliche oder ähnlich erhebliche Wirkung entfaltet.
• Umfangreiche Verarbeitung besonderer Kategorien von Daten oder von Daten über strafrechtliche Verurteilungen.
• Systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche (zum Beispiel ausgedehnte Videoüberwachung).

Die deutschen Aufsichtsbehörden veröffentlichen außerdem eine Liste von Verarbeitungen, für die immer eine DSFA nötig ist. Die DSFA beschreibt die Verarbeitung und ihre Zwecke, bewertet Notwendigkeit und Verhältnismäßigkeit, die Risiken für die Betroffenen und die Abhilfemaßnahmen (Art. 35 Abs. 7). Bleibt das Restrisiko hoch, ist vorher die Aufsichtsbehörde zu konsultieren (Art. 36). Die Spalte „DSFA nötig?“ im VVT zeigt diese Fälle.

Wie das Verzeichnis zu ISO 27701 passt

ISO/IEC 27701:2025 verlangt ein Datenschutz-Managementsystem, das Verarbeitungen personenbezogener Daten erfasst und dokumentiert, ihre Risiken bewertet und Maßnahmen für die Rolle als Verantwortlicher und als Auftragsverarbeiter umsetzt. Ein vollständiges VVT und eine DSFA-Methode sind der Kern dieses Nachweises und dienen zugleich der DSGVO.

• Ein einziges Verzeichnis führen und in jeder Zeile die Rolle (Verantwortlicher oder Auftragsverarbeiter) markieren.
• Das Verzeichnis bei jeder Änderung von System, Dienstleister oder Zweck und mindestens jährlich prüfen.
• Jede Zeile mit Risikobewertung oder DSFA, AV-Vertrag und Datenschutzhinweis verknüpfen.

Häufige Fehler

• Das Verzeichnis pro System („das ERP“, „das CRM“) statt pro Zweck führen: Ein System dient meist mehreren Tätigkeiten mit unterschiedlichen Löschfristen und Rechtsgrundlagen.
• Löschfristen als „unbegrenzt“ oder „solange erforderlich“ ohne Kriterium angeben.
• Cloud-Anbieter als Empfänger und ihre Drittlandübermittlungen vergessen.
• Das VVT einmal ausfüllen und nie aktualisieren: Es muss die aktuelle Verarbeitung abbilden.
• Besondere Datenkategorien nicht kennzeichnen, obwohl sie die möglichen Rechtsgrundlagen und die DSFA-Pflicht verändern.

Nächster Schritt

Kostenlos testen oder direkt zur vollständigen Lösung.

ISO 27701 Toolkit: Dokumentation für Ihr Datenschutz-Managementsystem

34 Word-Dokumente · 14 Excel-Werkzeuge · 78 Maßnahmen aus Anhang A

Das ISO-27701-Kit mit VVT- und DSFA-Vorlagen ansehen

Kostenloses Muster

Laden Sie kostenlos eine reduzierte Version der Risikomatrix aus dem Toolkit herunter (Excel, 10 Szenarien, Heatmap; Probe auf Englisch). Sehen Sie, wie Risikoniveau und Kategorie berechnet werden, bevor Sie sich entscheiden.

Kostenlose Probe herunterladen (Englisch)

Häufige Fragen

Verwandte Leitfäden

Aktualisiert: 2026-10-25