Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) mit einer DSGVO-Plattform aufbauen

Wenn eine Aufsichtsbehörde nach Ihrem Verzeichnis von Verarbeitungstätigkeiten fragt, prüft sie nicht nur, ob es existiert, sondern ob es beschreibt, was in Ihrem Unternehmen tatsächlich passiert. Genau daran scheitern die meisten Verzeichnisse: einmal in Excel angelegt, von drei Personen weiterbearbeitet, seit 18 Monaten nicht angefasst. In der Zwischenzeit hat das Marketing ein Consent-Tool eingeführt und HR das Bewerbermanagement gewechselt.

Dieser Leitfaden zeigt, was Art. 30 DSGVO wirklich verlangt, ab welcher Größe die manuelle Pflege systematisch kippt und welche Arbeit eine DSGVO-Plattform übernimmt — beim Aufbau, bei der Standardisierung und beim Aktuellhalten.

Was ist ein Verzeichnis von Verarbeitungstätigkeiten (VVT)?

Das VVT ist die strukturierte Dokumentation aller Verarbeitungen personenbezogener Daten in Ihrem Unternehmen — international als Record of Processing Activities (RoPA) bezeichnet. Es erfüllt zwei Funktionen. Nach außen ist es der zentrale Nachweis Ihrer Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO. Nach innen ist es die Landkarte Ihrer Datenflüsse: Ohne sie können Sie weder Löschfristen zuverlässig umsetzen noch eine Betroffenenanfrage innerhalb der Monatsfrist des Art. 12 Abs. 3 DSGVO vollständig beantworten.

Art. 30 Abs. 3 DSGVO verlangt Schriftform, „was auch in einem elektronischen Format erfolgen kann“. Ein bestimmtes Werkzeug ist nicht vorgeschrieben — Excel ist rechtlich zulässig. Entscheidend ist Art. 30 Abs. 4: Sie müssen das Verzeichnis der Aufsichtsbehörde auf Anfrage vorlegen. Die Frage ist also nicht, ob Excel erlaubt ist, sondern ob Ihr Excel-Stand einer Prüfung standhält.

Wer muss ein VVT führen?

Die Grundregel: Jeder Verantwortliche (Art. 30 Abs. 1) und jeder Auftragsverarbeiter (Art. 30 Abs. 2) führt ein Verzeichnis — mit unterschiedlichen Inhalten. Der Verantwortliche dokumentiert seine eigenen Verarbeitungstätigkeiten, der Auftragsverarbeiter die Kategorien von Verarbeitungen, die er im Auftrag jedes einzelnen Verantwortlichen durchführt. Wer beide Rollen einnimmt — etwa ein SaaS-Anbieter mit eigenem Marketing — braucht beide Verzeichnisse.

Dann gibt es die Ausnahme des Art. 30 Abs. 5, die in der Praxis regelmäßig falsch gelesen wird. Der Wortlaut: Die Pflichten gelten nicht für Unternehmen mit weniger als 250 Mitarbeitenden, „es sei denn, die von ihnen vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich oder es erfolgt eine Verarbeitung besonderer Datenkategorien gemäß Artikel 9 Absatz 1 bzw. die Verarbeitung von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Artikels 10“.

Diese drei Rückausnahmen sind mit „oder“ verknüpft. Die Befreiung greift also nur, wenn keine von ihnen zutrifft:

• keine risikobehaftete Verarbeitung,
• keine über den Einzelfall hinausgehende, also regelmäßige Verarbeitung,
• keine besonderen Datenkategorien (Art. 9) und keine strafrechtlich relevanten Daten (Art. 10).

Der zweite Punkt erledigt die Ausnahme für fast jedes Unternehmen: Eine monatliche Lohnabrechnung ist keine gelegentliche Verarbeitung, eine laufend geführte Kundendatenbank auch nicht. Die Datenschutzkonferenz (DSK) geht in ihren Anwendungshinweisen zu Art. 30 DSGVO entsprechend davon aus, dass die Ausnahmen nur selten greifen.

Was bedeutet das konkret für mein Unternehmen? Nehmen Sie einen Handwerksbetrieb mit 40 Beschäftigten: Kundenverwaltung (regelmäßig), Lohnabrechnung (regelmäßig), Krankmeldungen der Mitarbeitenden (Gesundheitsdaten, Art. 9). Jede dieser drei Verarbeitungen allein hebt die Befreiung auf. Wer sich für „klein genug“ hält, sollte die drei Kriterien einmal schriftlich prüfen und das Ergebnis dokumentieren — diese Prüfung ist selbst Teil der Rechenschaftspflicht.

Ein Hinweis zur Rechtslage: Im EU-Digital-Omnibus werden Erleichterungen bei den Dokumentationspflichten diskutiert. Stand September 2026 ist keine davon in Kraft — Art. 30 DSGVO gilt unverändert.

Welche Angaben sind nach Art. 30 DSGVO Pflicht?

Art. 30 Abs. 1 zählt die Mindestinhalte für Verantwortliche auf. In der Praxis hat sich darüber hinaus ein Standardsatz an Feldern etabliert:

Zwei Präzisierungen, die in Audits einen Unterschied machen:

Die Rechtsgrundlage ist in Art. 30 Abs. 1 nicht ausdrücklich genannt. Sie ergibt sich mittelbar, weil das Verzeichnis die Rechtmäßigkeit nachweisen soll — und Aufsichtsbehörden erwarten die Angabe entsprechend. Besonders sensibel ist das berechtigte Interesse nach Art. 6 Abs. 1 lit. f: Hier genügt kein Feldeintrag „berechtigtes Interesse“, sondern es braucht eine dokumentierte Interessenabwägung — welches Interesse, welche Beeinträchtigung der Betroffenen, welches Ergebnis.

Bei Löschfristen genügt ein pauschaler Verweis nicht. „Gesetzliche Aufbewahrungspflichten“ ist keine Frist. Die DSK verlangt präzise Angaben je Datenkategorie — etwa „Bewerbungsunterlagen: 6 Monate nach Absageentscheidung“ statt „nach Zweckerreichung“.

Warum das VVT manuell zu erstellen schnell an Grenzen stößt?

Bis etwa 15 Verarbeitungstätigkeiten und einen Bearbeiter funktioniert eine Tabelle. Darüber entstehen fünf typische Probleme:

• Excel-Chaos: Mehrere Versionen kursieren parallel — eine im Sharepoint, eine im Mail-Anhang beim externen DSB, eine lokal bei HR. Niemand kann verlässlich sagen, welche der Stand ist, den man der Behörde vorlegen würde.
• Fehlende Versionierung: In einer geteilten Datei wird überschrieben, nicht historisiert. Damit fehlt der Nachweis, wann eine Verarbeitung geändert wurde und wer die Änderung freigegeben hat. Die DSK empfiehlt ausdrücklich eine Dokumentation der Änderungen — genau das, was ein Zellinhalt nicht leisten kann.
• Veraltete Einträge: Neue Tools werden im Tagesgeschäft eingeführt, oft von Fachabteilungen ohne Rückfrage. Der Eintrag ins VVT hängt daran, dass jemand daran denkt. Das Ergebnis ist ein Verzeichnis, das den Stand von vorletztem Jahr beschreibt.
• Keine Verknüpfung zu Auftragsverarbeitern und TOM: Die AVV-Liste liegt bei Legal, die TOM-Dokumentation bei IT, das VVT beim DSB. Drei Dokumente, drei Aktualisierungsrhythmen, garantierte Inkonsistenzen — etwa ein Dienstleister, der im VVT noch als Empfänger steht, obwohl der Vertrag gekündigt ist.
• Keine automatische Risikoerkennung: Ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist, fällt nur auf, wenn jemand aktiv prüft. Bei einer neu eingeführten Verarbeitung mit Profiling-Anteil ist das genau der Moment, in dem niemand daran denkt.

Wie eine DSGVO-Plattform beim Aufbau des VVT hilft?

Der Aufbau ist die Phase, in der die meisten Projekte einschlafen: Ein leeres Formular mit 30 Feldern ist für eine Fachabteilung keine beantwortbare Aufgabe.

Vorlagen und Musterverarbeitungen nutzen

Eine Plattform startet nicht bei Null, sondern mit vorkonfigurierten Standardverarbeitungen: Lohnabrechnung, Bewerbermanagement, Newsletter-Versand, Kundenverwaltung, Zeiterfassung, Videoüberwachung — jeweils mit Zweck, typischen Datenkategorien, Personengruppen und üblichen Löschfristen.

Der Zeiteffekt ist konkret: Statt einer Erstbeschreibung, die pro Verarbeitung mehrere Stunden Recherche und Rückfragen kostet, wählt der Bearbeiter eine Vorlage und passt sie an. Bei 40 Standardverarbeitungen ist das der Unterschied zwischen einem Quartalsprojekt und zwei Wochen.

Vorlagen sind allerdings ein Startpunkt, keine Antwort. Wer die Musterverarbeitung „Newsletter-Versand“ unverändert übernimmt, dokumentiert den Newsletter eines Musterunternehmens, nicht Ihren. Zu ergänzen sind immer die unternehmensspezifischen Punkte: das eingesetzte Tool, der Serverstandort, Ihre Segmentierungs- und Tracking-Zwecke, Ihre Löschlogik bei Abmeldung.

Geführte Erfassung durch Fachabteilungen

Das Wissen über eine Verarbeitung sitzt im Fachbereich, nicht beim Datenschutzbeauftragten. Nur das Marketing weiß, welche Felder das CRM aus dem Formular übernimmt; nur IT weiß, wohin das Backup läuft. Der klassische Ansatz — der DSB interviewt alle Abteilungen und tippt ab — skaliert nicht und veraltet ab dem Tag der Fertigstellung.

Plattformen drehen das um: Fachabteilungen erfassen ihre eigenen Verarbeitungen. Damit das ohne juristisches Vorwissen funktioniert, ersetzen geführte Fragebögen die freie Texteingabe. Statt eines leeren Feldes „Rechtsgrundlage“ fragt das System: „Auf welcher Basis verarbeiten Sie diese Daten? Vertragserfüllung — Einwilligung — gesetzliche Pflicht — eigenes Interesse.“ Die Antwort wird auf Art. 6 gemappt, nicht vom Marketing-Kollegen formuliert.

Darüber liegt ein Rollen- und Freigabekonzept: Der Fachbereich erfasst, der DSB prüft und gibt frei. Die fachliche Verantwortung bleibt, wo das Wissen sitzt, die rechtliche Bewertung, wo die Kompetenz sitzt.

Automatisches Scoping und Vollständigkeitsprüfung

Zwei Aufgaben nimmt eine Plattform technisch ab. Erstens die Vollständigkeitsprüfung: Solange Pflichtfelder aus der Tabelle oben leer sind, lässt sich eine Verarbeitung nicht auf „freigegeben“ setzen. Das verhindert die typische Excel-Situation, in der 60 Zeilen existieren, aber jede zweite Spalte „tbd“ enthält.

Zweitens hilft die Struktur bei der schwierigsten Frage überhaupt: Was zählt als eigene Verarbeitungstätigkeit? Die DSK stellt auf den Zweck ab — jeder neue Zweck begründet eine eigene Verarbeitungstätigkeit — und versteht darunter einen Geschäftsprozess auf angemessenem Abstraktionsniveau. Das VG Hannover hat 2025 ergänzt, dass eine Tätigkeit eine gewisse zeitliche Kontinuität braucht; eine einmalige Verarbeitung ist keine Verarbeitungstätigkeit im Sinne des Art. 30.

Praktisch heißt das: „Nutzung von Microsoft Outlook“ ist keine Verarbeitungstätigkeit, sondern ein Werkzeug — „Interne Kommunikation und Terminverwaltung“ ist eine. Wer nach Software gliedert, erhält ein Verzeichnis, das gleichzeitig zu lang und zu wenig aussagekräftig ist. Plattformen mit branchenspezifischen Vorlagen geben die Abstraktionsebene vor: Die Struktur ist nach Geschäftsprozessen geschnitten, nicht nach Tools.

Wie eine Plattform das VVT standardisiert?

Ein Verzeichnis ist nur so gut wie seine Vergleichbarkeit.

Einheitliche Vorlagen über alle Abteilungen hinweg

Ohne Standardisierung schwankt die Detailtiefe mit dem Bearbeiter. Der eine schreibt bei Datenkategorien „Kontaktdaten“, der andere listet zwölf Einzelfelder; der eine nennt Löschfristen in Monaten, der andere schreibt „nach Vertragsende“. Beides ist für sich nicht falsch, aber die Sammlung wirkt beliebig.

Eine zentrale Vorlage erzwingt dieselbe Struktur und denselben Detailgrad für Marketing und HR. Das ist weniger eine juristische als eine Nachweisfrage: Vergleichbare Einträge belegen ein funktionierendes Verfahren, ungleiche Einträge belegen Zufall.

Verknüpfung mit Auftragsverarbeitern und TOM

Statt getrennter Listen wird der Auftragsverarbeiter als eigenes Objekt geführt und mit jeder Verarbeitung verknüpft, in der er eine Rolle spielt. Das ändert die Pflegelogik grundlegend.

Ein Beispiel: Ihr E-Mail-Marketing-Dienstleister verlagert Infrastruktur in die USA und ergänzt einen Subunternehmer. In einer Dokumentenwelt müssten Sie wissen, in welchen VVT-Zeilen er vorkommt, und dort jeweils Drittlandtransfer und Garantien nach Art. 44 ff. nachziehen. In einer verknüpften Struktur ändern Sie den Datensatz einmal, und alle betroffenen Verarbeitungen werden als prüfbedürftig markiert.

Dasselbe gilt für ablaufende AVV nach Art. 28 und TOM nach Art. 32: Der Verweis zeigt auf die aktuelle Version des Sicherheitskonzepts, nicht auf einen Textblock von 2022.

Konsistente Zuordnung von Rechtsgrundlagen

Der häufigste inhaltliche Fehler in gewachsenen Verzeichnissen: Dieselbe Art von Verarbeitung wird in verschiedenen Abteilungen unterschiedlich begründet. Das Newsletter-Double-Opt-In läuft auf Einwilligung, die Bestandskunden-Mailings aus dem Vertrieb auf berechtigtes Interesse — ohne dass jemand geprüft hat, ob diese Abgrenzung trägt.

Solche Unterschiede sind nicht per se rechtswidrig — problematisch ist, wenn sie unbewusst entstanden sind. Eine Plattform kann beim Anlegen einer ähnlichen Verarbeitung auf bereits getroffene Entscheidungen hinweisen: „Für vergleichbare Marketing-Verarbeitungen haben Sie bisher Art. 6 Abs. 1 lit. a herangezogen.“ Der Bearbeiter folgt dann entweder oder begründet die Abweichung — und diese Begründung ist der Nachweis, den Sie im Zweifel brauchen.

Wie eine Plattform das VVT aktuell hält?

Der Aufbau ist ein Projekt, die Aktualität ein Prozess. Hier entscheidet sich, ob sich die Investition rechnet.

Automatische Erinnerungen bei Änderungen

Zwei Mechanismen greifen ineinander. Turnusmäßige Erinnerungen gehen an den fachlich Verantwortlichen — je nach Risiko halbjährlich oder jährlich — mit der Aufgabe, den Eintrag zu bestätigen oder zu korrigieren. Ein gesetzliches Intervall gibt Art. 30 nicht vor; verlangt ist Aktualität, und ein dokumentierter Review-Zyklus ist der praktikable Nachweis dafür.

Dazu kommen auslöserbasierte Erinnerungen: Wird ein neues Tool beschafft, ein Dienstleister gewechselt oder ein Prozess geändert, erzeugt das eine Aufgabe zur Prüfung des betroffenen VVT-Eintrags. Damit hängt die Aktualität nicht mehr am Gedächtnis Einzelner.

Versionierung und Änderungshistorie

Jede Änderung wird mit Zeitstempel, Bearbeiter und Inhalt festgehalten. Genau diesen Nachweis will eine Aufsichtsbehörde sehen — nicht nur den aktuellen Stand, sondern die Entwicklung dahin. Die DSK empfiehlt die Dokumentation von Änderungen mit einer Aufbewahrung von mindestens einem Jahr.

Frühere Versionen bleiben abrufbar statt überschrieben. Fragt ein Betroffener, wie seine Daten im Frühjahr 2025 verarbeitet wurden, belegen Sie den damaligen Stand statt ihn zu rekonstruieren.

Automatische Risikoerkennung als DSFA-Trigger

Art. 35 Abs. 3 DSGVO nennt drei Fallgruppen, die eine Datenschutz-Folgenabschätzung erfordern: umfangreiche automatisierte Bewertung persönlicher Aspekte einschließlich Profiling mit rechtlicher Wirkung, umfangreiche Verarbeitung besonderer Datenkategorien nach Art. 9 oder Art. 10, und systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Ergänzend führen die deutschen Aufsichtsbehörden eine Muss-Liste DSFA-pflichtiger Verarbeitungen.

Diese Kriterien lassen sich auf Felder abbilden, die im VVT ohnehin erfasst werden. Setzt eine Fachabteilung Häkchen bei „automatisierte Entscheidungen“, „Gesundheitsdaten“ oder „Standortdaten von Mitarbeitenden“, markiert die Plattform die Verarbeitung als DSFA-relevant und legt die Aufgabe beim DSB an.

Der Vorteil ist nicht die automatisierte Bewertung — die bleibt eine juristische Entscheidung. Der Vorteil ist, dass die Schwellenprüfung überhaupt stattfindet, bei jeder Verarbeitung, nicht nur bei den auffälligen.

VVT manuell vs. mit Software im Vergleich

Checkliste: Ihr VVT ist bereit für eine Plattform, wenn…

Eine Plattform lohnt sich nicht ab einer bestimmten Unternehmensgröße, sondern ab einer bestimmten Komplexität:

• Mehr als drei Fachbereiche pflegen oder liefern Einträge zum Verzeichnis.
• Mehr als etwa 30 Verarbeitungstätigkeiten sind dokumentiert oder zu dokumentieren.
• Mehr als 20 Auftragsverarbeiter sind im Einsatz, davon mehrere mit Drittlandbezug.
• Mehrere Standorte oder Konzerngesellschaften mit teils eigenen Prozessen und teils gemeinsamen Systemen.
• Häufige Systemwechsel: Sie führen mehrmals im Jahr neue Tools ein oder tauschen Dienstleister aus.
• Regelmäßige Prüfungen: Kundenaudits, ISO-27001- oder TISAX-Zertifizierungen oder Behördenanfragen verlangen kurzfristig belastbare Auszüge.
• Niemand kann in fünf Minuten sagen, wann welcher Eintrag zuletzt bestätigt wurde.

Treffen drei oder mehr Punkte zu, ist die manuelle Pflege nicht das günstigere Verfahren, sondern nur das mit den unsichtbareren Kosten.

Compliance schneller erreichen mit DataGuard

Ein belastbares Verzeichnis entsteht nicht durch ein besseres Formular, sondern durch ein Verfahren: klare Zuständigkeiten, einheitliche Struktur, nachvollziehbare Änderungen. Software macht dieses Verfahren durchsetzbar.

Sie möchten wissen, wo Ihr Verzeichnis gegenüber den Erwartungen der Aufsichtsbehörden steht? Die Datenschutzexperten von DataGuard analysieren Ihren Status quo und zeigen Ihnen die Plattform anhand Ihrer eigenen Verarbeitungstätigkeiten.