Verzeichnis von Verarbeitungstätigkeiten richtig erstellen

Ein Verzeichnis von Verarbeitungstätigkeiten ist eine rollenbezogene, lebende Karte der tatsächlichen Datenverarbeitung; beginnen Sie nicht mit leeren Formularfeldern, sondern mit Systemen, Dateien, Schnittstellen, Datenaustausch und den Menschen, die den Vorgang kennen. Erst daraus entstehen kohärente Tätigkeiten und belastbare Einträge.

Die Ausnahme für Unternehmen oder Organisationen mit weniger als 250 Beschäftigten ist eng. Sie gilt nur auf Tätigkeitsebene und nur, wenn mehrere Voraussetzungen gemeinsam erfüllt sind ^{1 3}. Gewöhnliche laufende Personal- oder Entgeltabrechnung ist nicht gelegentlich.

Kurzantwort: Ein Verzeichnis von Verarbeitungstätigkeiten erstellen Sie aus realen Datenflüssen. Inventarisieren Sie die Verarbeitung, trennen Sie Verantwortlichen- und Auftragsverarbeiterrolle und füllen Sie den passenden Feldsatz aus Artikel 30. Pflegen Sie Nachweise, Eigentümer und Änderungsauslöser. Verlassen Sie sich bei weniger als 250 Beschäftigten nicht auf die Kopfzahl allein.

Zuletzt aktualisiert: 26. August 2026

Starten Sie bei Tätigkeiten statt bei einer leeren Vorlage

Eine Vorlage kennt Ihre Wirklichkeit nicht. Beginnen Sie mit einer Bestandsaufnahme: eingesetzte Anwendungen und Datenbanken, gemeinsam genutzte Laufwerke, Papierakten, Postfächer, Integrationen, Exporte, Importe und regelmäßige Übermittlungen. Befragen Sie die fachlichen Eigentümer dazu, warum Daten anfallen, wessen Daten betroffen sind, wer sie nutzt und wann sie gelöscht werden sollen; Verträge und Datenschutzhinweise liefern Hinweise, dürfen aber nicht ungeprüft als Betriebswirklichkeit übernommen werden.

Grenzen Sie danach kohärente Verarbeitungstätigkeiten ab. „Personal“ oder „Kunden“ ist meist zu breit; „Bewerbungen auswählen und beantworten“ oder „Bestellungen abwickeln und zustellen“ beschreibt Zweck, Auslöser und Lebenszyklus besser, während nicht jede technische Tabelle eine eigene Tätigkeit erzeugt. Mehrere Systeme können denselben fachlichen Zweck unterstützen und gehören dann in einen zusammenhängenden Eintrag.

Zeichnen Sie für jede Tätigkeit den Weg vom Eingang bis zur Löschung: Quellen, Felder, betroffene Personengruppen, interne Nutzer, externe Empfänger, Drittlandbezug, Aufbewahrungslogik und Kontrollen; ordnen Sie eine fachlich verantwortliche Person zu. Wenn diese Karte und die Verzeichniszeile voneinander abweichen, ist die Zeile noch nicht fertig.

Die Inventur ist zugleich ein Gegencheck. Ein System ohne Eigentümer, eine Datei ohne Löschweg oder eine Schnittstelle ohne benannten Empfänger bleibt als offene Lücke sichtbar; das Verzeichnis soll keine beruhigende Vollständigkeit behaupten, sondern eine überprüfbare Grundlage schaffen. Unbekannte Angaben erhalten Eigentümer und Termin statt einer erfundenen Standardantwort.

Gleichen Sie mehrere Quellen miteinander ab. Die Systemliste zeigt technische Komponenten, das Vertragsregister externe Parteien, die Buchhaltung bezahlte Dienste und Fachgespräche manuelle Nebenwege. Widersprüche werden nicht still durch die vermeintlich beste Liste entschieden. Sie werden als konkrete Prüffrage einer Person zugewiesen und erst nach einem nachvollziehbaren Beleg geschlossen.

Definieren Sie außerdem eine einheitliche Benennungslogik: Tätigkeit als Verb plus Gegenstand und Ergebnis, rechtliche Einheit und verantwortlicher Bereich. So lassen sich doppelte Zeilen erkennen, ohne unterschiedliche Vorgänge vorschnell zusammenzulegen. Ein kurzer Scope-Satz hält fest, was ausdrücklich nicht zur Tätigkeit gehört.

Wenn Systeminventar, Einkaufsdaten und Fachgespräch unterschiedliche Bilder liefern, entscheidet nicht die bequemste Quelle; das Team verfolgt vielmehr jeden Widerspruch bis zu einem überprüfbaren Datenfluss, dokumentiert den Befund und aktualisiert anschließend alle veralteten Ausgangslisten.

Die Vorlage folgt später.

Trennen Sie Verzeichnisse nach Verantwortlicher und Auftragsverarbeiter

Artikel 30 enthält zwei verschiedene Feldsätze. Der Verantwortliche dokumentiert Tätigkeiten unter seiner Verantwortung ¹. Der Auftragsverarbeiter dokumentiert dagegen Kategorien von Tätigkeiten, die er für jeden Verantwortlichen ausführt. Eine Organisation kann beide Rollen innehaben, aber nicht denselben Sammelsatz für beide verwenden.

Die Unterschiede sind keine Einladung zu Informationsverlust. Ein Auftragsverarbeiter braucht für die Ausführung oft Zwecke, Löschvorgaben und Empfängerwege des Kunden; solche Angaben dürfen als operative Zusatzfelder geführt werden, müssen aber vom gesetzlichen Verzeichnis nach Absatz 2 unterscheidbar bleiben. Umgekehrt kann der Verantwortliche seine gesetzlichen Angaben nicht durch einen Verweis auf die Lieferantenliste ersetzen.

Bestimmen Sie die Rolle je Tätigkeit. Derselbe Cloud-Anbieter kann Kundendaten im Auftrag verarbeiten und für eigene Abrechnung als Verantwortlicher handeln. Diese Vorgänge erhalten getrennte Einträge oder eindeutig getrennte Sichten. Eine Vertragsüberschrift ersetzt die Tatsachenprüfung nicht.

Eine gruppenweite Plattform kann daher mehrere Verantwortliche, Auftragsverarbeiterrollen und eigene Zwecke gleichzeitig abbilden, solange jede Sicht eine rechtliche Einheit, den betroffenen fachlichen Vorgang, den passenden gesetzlichen Feldsatz und die Verbindung zu gemeinsam genutzten technischen Nachweisen eindeutig erkennen lässt.

Rollen bleiben getrennt.

Ordnen Sie die Felder des Verantwortlichen vollständig zu

Das Verzeichnis des Verantwortlichen beginnt mit Namen und Kontaktdaten: Verantwortlicher, gegebenenfalls gemeinsam Verantwortliche, Vertreter sowie Datenschutzbeauftragte oder Datenschutzbeauftragter ¹. Verwenden Sie eine funktionsfähige Kontaktmöglichkeit und ordnen Sie die rechtliche Einheit eindeutig zu; eine bloße Markenbezeichnung kann mehrere Einheiten verdecken.

Danach folgen Zwecke, Kategorien betroffener Personen und personenbezogener Daten sowie Empfängerkategorien ¹. Zwecke sollten das beabsichtigte Ergebnis erkennen lassen, nicht nur „Geschäftsbetrieb“. Trennen Sie etwa Vertragsabwicklung, Support, gesetzliche Aufbewahrung und Werbung, wenn sie andere Daten, Empfänger oder Löschwege haben. Kategorien werden konkret genug benannt, um Risiko und Verwendung zu verstehen.

Bei Übermittlungen in Drittländer oder an internationale Organisationen stehen das konkrete Drittland oder die Organisation im Eintrag; für Übermittlungen nach Artikel 49 Absatz 1 Unterabsatz 2 verlangt Artikel 30 zusätzlich die Dokumentation geeigneter Garantien ¹. Halten Sie den tatsächlichen Transferweg fest, einschließlich Fernzugriff oder Unterauftragsverarbeitung, statt nur den Sitz des Hauptanbieters zu nennen.

Soweit möglich werden vorgesehene Löschfristen für die verschiedenen Datenkategorien angegeben ¹. „Nach Bedarf“ ist keine steuerbare Frist. Verbinden Sie Frist oder Ereignis mit der zugrunde liegenden Vorgabe, dem technischen Löschweg und dem Eigentümer. Unterschiedliche Zwecke können unterschiedliche Fristen erfordern und daher eine Aufteilung der Tätigkeit rechtfertigen.

Schließlich enthält das Verzeichnis soweit möglich eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen nach Artikel 32 Absatz 1 ¹; eine kontrollierte Referenz auf ein gepflegtes Sicherheitsdokument kann praktikabel sein, wenn der Bezug eindeutig, verfügbar und versioniert bleibt. Das Feld darf weder geheime technische Details offenlegen noch mit einem bedeutungslosen Wort wie „verschlüsselt“ enden.

Prüfen Sie die sieben Bereiche als zusammenhängendes Bild. Ein Empfänger ohne passenden Zweck, ein Löschziel ohne erfasste Sicherungskopie oder eine Sicherheitsreferenz mit anderem Geltungsbereich zeigt eine Inkonsistenz. Die Qualitätskontrolle fragt daher nicht nur, ob ein Feld gefüllt ist, sondern ob Personengruppen, Daten, Systeme, Empfänger und Löschpfade dieselbe Tätigkeit beschreiben.

Für gemeinsam Verantwortliche werden die Kontakte eindeutig zugeordnet; ihre Vereinbarung und die tatsächliche Zuständigkeitsverteilung können als Belege verknüpft werden, doch das Verzeichnis muss weiterhin die Tätigkeit unter der Verantwortung der Organisation verständlich abbilden. Eine bloße Referenz auf Artikel 26 lässt die Zwecke und Datenkategorien nicht entfallen.

Wer einen Eintrag freigibt, sollte deshalb den vollständigen Weg von der ersten Erhebung über interne Nutzung und Offenlegung bis zu Archiv, Sicherungskopie und endgültiger Löschung nachvollziehen können, ohne widersprüchliche Angaben aus mehreren Zeilen zusammensetzen zu müssen.

Bauen Sie die Sicht des Auftragsverarbeiters auf

Das Verzeichnis nach Artikel 30 Absatz 2 beginnt mit den Kontakten des Auftragsverarbeiters und seines Vertreters sowie jedes Verantwortlichen, für den Tätigkeiten ausgeführt werden. Gegebenenfalls gehören auch deren Vertreter und die Datenschutzbeauftragten dazu ¹. Der Kundenbezug ist wesentlich: Eine undifferenzierte Liste „Hosting und Support“ zeigt nicht, für wen welche Kategorien verarbeitet werden.

Dokumentieren Sie je Verantwortlichem die Kategorien der ausgeführten Verarbeitung. Beschreiben Sie etwa Speichern, Übermitteln, Wiederherstellen, Supportzugriff oder Löschen in Verbindung mit der abgegrenzten Leistung. Vermeiden Sie jedoch erfundene Zwecke des Kunden. Wo der Verantwortliche die nötige Tätigkeitsbeschreibung noch nicht bestätigt hat, bleibt dieser Punkt als Klärungsbedarf sichtbar.

Drittlandübermittlungen werden mit Zielland oder internationaler Organisation und gegebenenfalls der besonderen Dokumentation geeigneter Garantien erfasst ¹. Unterauftragsverarbeiter, Fernwartung und Ausweichstandorte müssen zum realen Datenfluss passen. Die allgemeine Sicherheitsbeschreibung wird wie beim Verantwortlichen soweit möglich gepflegt und an die tatsächliche Leistung gekoppelt.

Trennen Sie Kunden auch dann, wenn sie denselben Dienst nutzen. Weisungen, konfigurierte Funktionen, Datenarten, Standorte und Unterauftragsketten können abweichen. Eine gemeinsame technische Baseline darf als referenziertes Dokument wiederverwendet werden, doch kundenspezifische Unterschiede bleiben im jeweiligen Eintrag sichtbar.

Zusatzfelder sind zulässig und oft nützlich: Vertrag, Weisungsweg, Löschvorgabe, Unterauftragsfreigabe, Ansprechpartner oder Beleg. Kennzeichnen Sie sie als betriebliche Steuerung. Sie ergänzen den gesetzlichen Feldsatz, ohne Pflichten des Verantwortlichen stillschweigend auf den Auftragsverarbeiter zu verschieben.

Gleichen Sie das Verzeichnis mit Kundenverträgen und der aktuellen technischen Bereitstellung ab. Ein Standardvertrag kann mehrere Leistungsvarianten abdecken, während ein Kunde nur eine davon nutzt; der Eintrag folgt der tatsächlich aktivierten Kategorie und dem realen Standort, nicht dem größten theoretisch möglichen Leistungsumfang. Änderungen an Konfiguration oder Unterauftragskette lösen eine Prüfung der betroffenen Kundensichten aus.

Bilden Sie eine kohärente Tätigkeit pro Zeile

Eine gute Zeile erzählt einen fachlichen Lebenszyklus. Sie ist breit genug, zusammengehörige Systeme zu verbinden, und eng genug, unterschiedliche Zwecke oder Löschregeln nicht zu verschlucken. Verwenden Sie die folgenden fünf Arbeitsschritte:

1. Zweck und Auslöser festlegen: Benennen Sie, welches Ergebnis erreicht werden soll und welches Ereignis die Verarbeitung startet; eine allgemeine Abteilungsbezeichnung genügt nicht.
2. Lebenszyklus nachzeichnen: Erfassen Sie Quellen, Erhebung, Systeme, Dateien, Integrationen, interne Nutzung, Empfänger, Drittlandzugriffe, Archivierung und endgültige Löschung.
3. Unterschiede trennen: Teilen Sie Vorgänge auf, wenn Zwecke, Personengruppen, Empfänger, Risiken oder Löschpfade wesentlich voneinander abweichen; vermeiden Sie zugleich eine Zeile je technischer Tabelle.
4. Belege verbinden: Referenzieren Sie Prozessbeschreibung, Systemkonfiguration, Vertrag, Löschregel, Transferprüfung und Sicherheitsdokument mit Version oder Datum, damit Aussagen überprüfbar bleiben.
5. Eigentümer und Auslöser zuweisen: Benennen Sie eine fachlich verantwortliche Person und Ereignisse, die eine Aktualisierung verlangen, etwa neue Daten, Funktionen, Empfänger, Standorte oder Aufbewahrungsregeln.

Lesen Sie die fertige Zeile gegen den realen Ablauf: Können Fachverantwortliche einen Datenweg nennen, der fehlt, oder nennt das Verzeichnis einen Empfänger, der nicht mehr genutzt wird, folgt eine Korrektur. Eine kohärente Tätigkeit ist kein literarisches Ideal, sondern die kleinste sinnvolle Einheit, in der Zweck, Datenfluss und Löschung gemeinsam gesteuert werden können.

Bewahren Sie offene Punkte sichtbar. „Löschfrist unbekannt“ mit Eigentümer und Termin ist ehrlicher als „gesetzlich erforderlich“ ohne Fundstelle. Erst wenn wesentliche Lücken geklärt sind, kann die Zeile als vollständig gelten. Der Arbeitsstatus sollte verhindern, dass ein Entwurf versehentlich als belastbarer Nachweis ausgegeben wird.

Offen heißt offen.

Vergeben Sie eine stabile Kennung für die Tätigkeit, nicht für die aktuelle Zeilennummer. Dann können Belege, Versionen und Folgeprüfungen verbunden bleiben, auch wenn die Sortierung wechselt. Beim Aufteilen oder Zusammenführen dokumentieren Sie die Beziehung zur Vorgängerversion. So ist erkennbar, ob eine Tätigkeit wirklich beendet oder nur unter neuem Namen weitergeführt wurde.

Prüfen Sie die Ausnahme unter 250 ohne Abkürzung

Weniger als 250 Beschäftigte ist nur die Eingangsvoraussetzung für Artikel 30 Absatz 5. Zusätzlich muss die konkrete Verarbeitung gelegentlich sein, voraussichtlich kein Risiko für Rechte und Freiheiten betroffener Personen verursachen und weder besondere Kategorien nach Artikel 9 Absatz 1 noch Daten zu strafrechtlichen Verurteilungen und Straftaten nach Artikel 10 enthalten ¹. Das EDPB behandelt die Ausnahmen eng und tätigkeitsbezogen ³.

Die Bedingungen wirken zusammen. Ein einziges Gegenmerkmal reicht aus, damit die Ausnahme für die betroffene Tätigkeit nicht trägt ³. Das bedeutet nicht zwingend, dass jede andere, unabhängig abgegrenzte Tätigkeit ebenfalls aufzeichnungspflichtig wird. Führen Sie die Prüfung deshalb zeilenweise und bewahren Sie ihre Tatsachen neben dem Ergebnis auf.

Routineprozesse sind nicht gelegentlich. Personalverwaltung, Entgeltabrechnung, laufende Kundenverwaltung oder regelmäßig betriebener Support gehören typischerweise zum dauerhaften Betrieb. Erfinden Sie keine Frequenz wie „seltener als monatlich“. Artikel 30 nennt keinen solchen Zahlenwert. Beschreiben Sie stattdessen Auslöser, Wiederholung und Einbindung in den normalen Ablauf.

Auch „wahrscheinlich kein Risiko“ braucht eine Begründung. Betrachten Sie Personengruppen, Datenarten, Umfang, Folgen, Empfänger und Schutzbedarf. Eine Verarbeitung besonderer Kategorien oder strafrechtlicher Daten scheitert unabhängig von einer niedrigen Risikoeinschätzung am eigenen Ausschlussmerkmal ¹. Dokumentieren Sie die Ausnahme nur, wenn jedes Merkmal positiv belegt ist.

Halten Sie das Verzeichnis schriftlich und verfügbar

Das Verzeichnis muss schriftlich geführt werden; eine elektronische Form ist ausdrücklich möglich ¹. Eine Tabellenkalkulation, Datenbank oder Governance-Anwendung kann geeignet sein, wenn der gesetzliche Feldsatz lesbar bleibt, Rollen und Tätigkeiten getrennt werden und Änderungen kontrolliert nachvollzogen werden können. Das Werkzeug ist Mittel, nicht Nachweis seiner eigenen Vollständigkeit.

Der Verantwortliche oder Auftragsverarbeiter sowie gegebenenfalls deren Vertreter müssen das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung stellen ¹; planen Sie deshalb Export, Lesbarkeit, Zuständigkeit und Reaktionsweg vor einer Anfrage. Ein proprietäres System ohne verfügbaren Export oder ein veralteter PDF-Schnappschuss außerhalb des Pflegeprozesses kann die Bereitstellung erschweren.

Benennen Sie fachliche Eigentümer für einzelne Tätigkeiten und eine koordinierende Stelle für Qualität und Zusammenführung. Eigentümer bestätigen Zweck, Datenfluss und Änderungen; die Koordination prüft Feldvollständigkeit, Rollenabgrenzung und Belege. Die Verantwortung darf nicht vollständig an ein Datenschutzteam delegiert werden, das die Betriebswirklichkeit nicht allein kennen kann.

Eine belastbare Änderungsspur enthält Version, Datum, Anlass, bearbeitete Felder und verantwortliche Person. Bewahren Sie frühere Stände entsprechend einer begründeten Governance-Regel auf. Erwägungsgrund 82 verbindet das Verzeichnis mit dem Nachweis der Einhaltung und der Zusammenarbeit mit der Aufsichtsbehörde ². Genau deshalb sollte eine Änderung erklärbar sein.

Führen Sie vorab einen Bereitstellungstest mit einer kontrollierten Kopie durch: Prüfen Sie, ob Auswahl, Export und Zeichensatz funktionieren, interne Arbeitsnotizen nicht versehentlich als bestätigte Tatsachen erscheinen und verknüpfte Nachweise für die zuständige Prüfung auffindbar sind. Der Test darf keine echte Behördenanfrage simulieren, soll aber technische und organisatorische Lücken im internen Ablauf sichtbar machen.

Arbeiten Sie eine Tätigkeit vollständig aus

Das folgende Beispiel ist illustrativ, kein universeller Sollwert. Eine Organisation wickelt Bewerbungen über ein Portal ab. Tatsächliche Verträge, Systeme, nationale Aufbewahrungsvorgaben und Sicherheitsmaßnahmen müssen den Eintrag ersetzen oder bestätigen.

Jede Aussage verweist auf einen Nachweis: Prozesskarte, Portalvertrag, Unterauftragsliste, Zugriffsmatrix, Löschkonzept oder Sicherheitsbeschreibung. Das Beispiel erfindet weder eine universelle Löschfrist noch ein bestimmtes Transferinstrument. Solche Werte folgen aus dem realen Recht, Vertrag und Datenfluss der Organisation.

Prüfen Sie die Konsistenz zu Datenschutzhinweis, Auftragsverarbeitungsvertrag, Zugriffen und Löschkonfiguration: Wenn der Hinweis einen Talentpool nennt, der Eintrag aber nur die Stellenbesetzung beschreibt, ist entweder die Verarbeitung oder die Dokumentation unvollständig. Ein guter Eintrag macht solche Unterschiede früh sichtbar.

Kennzeichnen Sie angenommene Beispielwerte klar und übernehmen Sie sie nicht in den produktiven Eintrag. Vor der Freigabe bestätigt die fachliche Eigentümerin oder der fachliche Eigentümer jeden Empfänger, Datenweg und Löschmechanismus. Datenschutz- oder Rechtsexpertise prüft die rechtliche Einordnung, kann aber die technische und fachliche Bestätigung nicht ersetzen.

Unterscheiden Sie Pflichtfelder von nützlichen Ergänzungen

Zusatzfelder können das Verzeichnis zu einem wirksamen Steuerungsinstrument machen. Sie dürfen jedoch Pflichtangaben weder verdrängen noch so vermischen, dass unklar wird, was Artikel 30 verlangt. Markieren Sie Herkunft und Zweck jedes Felds.

Nutzen Sie Referenzen statt unkontrollierter Kopien. Eine aktuelle Sicherheitsbeschreibung kann aus mehreren Tätigkeiten eindeutig verlinkt werden; eine lokale Kopie in jeder Zeile würde schnell auseinanderlaufen. Der Verweis braucht dennoch Version, Zugänglichkeit und einen klaren Geltungsbereich.

Vermeiden Sie eine überladene Universaltabelle. Wenn hundert Zusatzspalten die Pflichtfelder verdecken, trennen Sie die gesetzliche Ansicht von operativen Sichten, ohne die Verknüpfung zu verlieren. Die Aufsichtsbehörde muss den relevanten Inhalt lesbar erhalten können ¹. Intern dürfen Teams tiefer in Systeme, Verträge und Risiken navigieren.

Für einen Vergleich mit einem englischsprachigen Länderbeispiel steht die Präsentation zu Verzeichnissen im Vereinigten Königreich^EN(Artikel auf Englisch) bereit. Sie ersetzt weder Artikel 30 noch die Prüfung des für Ihre Organisation anwendbaren Rechts.

Pflegen Sie das Verzeichnis als lebenden Nachweis

Aktualisierung folgt zuerst Ereignissen. Neue oder geänderte Zwecke, Datenkategorien, Personengruppen, Empfänger, Unterauftragsverarbeiter, Länder, Systeme, Integrationen, Löschregeln oder Sicherheitsmaßnahmen öffnen den betroffenen Eintrag; Beschaffung, Produktänderung, Personalprozesse und Lieferantenmanagement sollten diese Auslöser an den Verzeichnisprozess melden.

Eine proportionale periodische Kontrolle dient als Auffangnetz. Sie ist kein erfundener EU-Pflichtintervall und darf dringende Änderungen nicht bis zum nächsten Termin verschieben. Häufigkeit und Tiefe richten sich nach Veränderungstempo, Umfang, Risiko, offenen Punkten und Qualität der operativen Meldungen. Halten Sie die organisationsbezogene Begründung fest.

Versionieren Sie Änderungen so, dass der Weg erkennbar bleibt: vorheriger Zustand, neuer Zustand, Anlass, Datum, Bearbeiter, fachliche Bestätigung und betroffene Nachweise; ein bloßes Änderungsdatum sagt nicht, ob ein Zweck ergänzt oder nur ein Tippfehler behoben wurde. Wesentliche Änderungen sollten eine erneute Rollen-, Transfer-, Lösch-, Sicherheits- oder DSFA-Prüfung auslösen, soweit einschlägig.

Führen Sie Qualitätskontrollen gegen reale Quellen durch. Systeminventar zeigt neue Anwendungen, Vertragsregister zeigt Lieferanten, Berechtigungen zeigen Nutzergruppen und Löschberichte zeigen tatsächliche Umsetzung. Abweichungen sind Arbeitsaufträge mit Eigentümer und Termin. Das Verzeichnis ist nicht „grün“, nur weil alle Zellen Text enthalten.

Ein Eigentümerwechsel ist selbst ein Pflegeereignis. Übergeben Sie offene Annahmen, Belege und Änderungsauslöser, statt nur Bearbeitungsrechte zu übertragen; so bleibt das Wissen auch bei Personalwechseln verfügbar und das Verzeichnis erfüllt seine Funktion als nachvollziehbare Compliance-Karte ².

Messen Sie Pflegequalität an überprüfbaren Signalen: überfällige offene Punkte, Einträge ohne bestätigten Eigentümer, Abweichungen zum System- oder Vertragsinventar und Änderungen ohne Beleg. Eine niedrige Zahl von Zeilen oder vollständig gefüllte Pflichtfelder allein beweisen keine Qualität. Berichten Sie wesentliche Lücken an die Stelle, die ihre Schließung tatsächlich veranlassen kann.

Wenn eine Tätigkeit endet, wird sie nicht kommentarlos gelöscht. Dokumentieren Sie Enddatum, letzten Lösch- oder Aufbewahrungsweg, verbleibende gesetzliche Speicherung und die Beziehung zur Nachfolgetätigkeit. Dadurch bleibt erklärbar, warum ein früherer Datenfluss nicht mehr im aktiven Bestand steht und welche Restverarbeitung noch fortbesteht.

Ein verlässlicher Pflegeprozess verbindet Änderungsmeldung, fachliche Bestätigung und kontrollierte Veröffentlichung, sodass eine neue Integration weder unbemerkt in Betrieb geht noch ein ungeprüfter Entwurf automatisch die bisherige bestätigte Verzeichnisversion überschreibt.

Änderung braucht Nachweis.

Beginnen Sie am Montag mit sieben konkreten Schritten

Ein kleines Team braucht kein Großprojekt, aber eine klare Reihenfolge. Diese sieben Schritte erzeugen in einer Arbeitswoche einen überprüfbaren Startpunkt:

1. Verantwortung festlegen: Benennen Sie eine koordinierende Person, fachliche Eigentümer und einen Freigabeweg für offene oder widersprüchliche Angaben.
2. Inventarquellen sammeln: Exportieren Sie System-, Lieferanten-, Vertrags-, Datei- und Schnittstellenlisten und markieren Sie Herkunft, Datum und zuständige Person.
3. Fachliche Gespräche führen: Fragen Sie Teams nach Zweck, Auslöser, Personen, Daten, Empfängern, Übermittlungen, Löschung, Sicherheit und tatsächlich genutzten Nebenwegen.
4. Tätigkeiten abgrenzen: Bündeln Sie zusammengehörige Systeme nach Zweck und Lebenszyklus; teilen Sie Vorgänge mit wesentlich anderen Zwecken, Empfängern oder Löschwegen.
5. Rollen und Feldsatz wählen: Entscheiden Sie je Tätigkeit, ob die Organisation Verantwortlicher oder Auftragsverarbeiter ist, und verwenden Sie den zugehörigen Artikel-30-Feldsatz.
6. Belege und Lücken verbinden: Verknüpfen Sie Verträge, Datenkarten, Lösch- und Sicherheitsdokumente; geben Sie jeder unbekannten Angabe Eigentümer, Termin und sichtbaren Entwurfsstatus.
7. Pflege auslösen: Verankern Sie Meldungen aus Beschaffung, Produkt, Personal und Lieferantenmanagement, definieren Sie Versionierung und setzen Sie einen proportionalen Kontrollpunkt als Auffangnetz.

Am Ende sollte nicht jede Tätigkeit perfekt sein. Entscheidend ist, dass reale Quellen erfasst, wichtige Tätigkeiten abgegrenzt, Rollen sichtbar und Lücken verantwortet sind. Beginnen Sie mit Prozessen, die viele Personen, sensible Daten, zentrale Dienstleistungen oder komplexe Empfängerwege betreffen, ohne einfache Routinevorgänge dauerhaft zu vergessen.

Testen Sie einen fertigen Eintrag mit einer fachfremden Person. Kann sie Zweck, Personengruppen, Datenweg, Empfänger, Löschung, Sicherheit, Eigentümer und Beleg finden? Kann sie erkennen, was unklar ist? Wenn nicht, verbessert das Team Struktur und Sprache, statt bloß weitere Spalten hinzuzufügen.

Häufige Fragen zum Verarbeitungsverzeichnis

Was ist ein Verzeichnis von Verarbeitungstätigkeiten?

Es ist die schriftliche Übersicht konkreter Verarbeitungstätigkeiten eines Verantwortlichen oder Auftragsverarbeiters ¹. Sie ordnet den passenden gesetzlichen Feldsatz einem realen Datenfluss zu und hält Kontakte, Zwecke beziehungsweise Kategorien, Personen und Daten, Empfänger, Übermittlungen, Löschung und Sicherheit nachvollziehbar fest. Als lebender Nachweis wird sie bei Veränderungen aktualisiert ².

Welche Angaben braucht das Verzeichnis eines Verantwortlichen?

Kontakte, Zwecke, Kategorien betroffener Personen und Daten, Empfängerkategorien, gegebenenfalls Drittlandübermittlungen, soweit möglich Löschfristen und soweit möglich eine allgemeine Beschreibung der Sicherheitsmaßnahmen ¹. Jeder Eintrag sollte eine kohärente Tätigkeit beschreiben. Belege, Eigentümer und Zusatzfelder erhöhen die Nutzbarkeit, ersetzen aber keinen Pflichtbestandteil.

Welche Angaben braucht das Verzeichnis eines Auftragsverarbeiters?

Es nennt Kontakte des Auftragsverarbeiters und jedes Verantwortlichen, Kategorien der für jeden Verantwortlichen ausgeführten Verarbeitungen, gegebenenfalls Drittlandübermittlungen sowie soweit möglich eine allgemeine Sicherheitsbeschreibung ¹. Kunden werden unterscheidbar gehalten. Zwecke oder Löschvorgaben können operativ hilfreich sein, dürfen aber den eigenen Absatz-2-Feldsatz nicht verfälschen.

Gibt es für Organisationen mit weniger als 250 Beschäftigten eine Ausnahme?

Nur eng und je Tätigkeit. Zusätzlich zur Beschäftigtenzahl muss die Verarbeitung gelegentlich sein, voraussichtlich kein Risiko verursachen und weder Artikel-9- noch Artikel-10-Daten enthalten ¹. Die Voraussetzungen gelten gemeinsam. Laufende Personalverwaltung oder Entgeltabrechnung ist nach der engen tätigkeitsbezogenen Auslegung nicht gelegentlich; eine erfundene Frequenzschwelle gibt es nicht ³.

Reicht eine Tabellenkalkulation als Verarbeitungsverzeichnis?

Ja, wenn sie vollständig, lesbar, versioniert, beherrschbar und auf Anfrage verfügbar ist ¹. Sie muss Rollen und Tätigkeiten trennen sowie Belege und Eigentümer auffindbar machen. Eine Tabelle repariert jedoch keine fehlende Inventur. Bei komplexen Datenflüssen kann ein anderes Werkzeug praktikabler sein, ohne die gesetzlichen Inhalte zu ändern.

Wie oft muss das Verzeichnis aktualisiert werden?

Aktualisieren Sie bei relevanten Änderungen an Zweck, Daten, Personen, Empfängern, Übermittlungen, Systemen, Löschung oder Sicherheit. Die DSGVO nennt keinen allgemeinen festen Kontrollabstand. Ein proportionaler periodischer Kontrollpunkt kann verdeckte Änderungen auffangen; er ersetzt keine sofortige ereignisbezogene Pflege. Version, Anlass und verantwortliche Person bleiben nachvollziehbar.