Verarbeitungsverzeichnis erstellen: was nach Art. 30 DSGVO hineingehört

Was gehört in das Verarbeitungsverzeichnis?

Jeder Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen (Art. 30 Abs. 1 DSGVO). Verantwortlicher ist Ihr Unternehmen, denn es entscheidet über Zwecke und Mittel der Verarbeitung (Art. 4 Nr. 7).

Es nennt Name und Kontaktdaten Ihres Unternehmens und eines etwaigen Datenschutzbeauftragten. Für jede Tätigkeit nennt es die Zwecke, die Kategorien betroffener Personen und personenbezogener Daten und die Kategorien von Empfängern. Dazu kommen Übermittlungen in Drittländer mit dem jeweiligen Land und, wenn möglich, die Fristen für die Löschung und eine allgemeine Beschreibung der TOMs nach Art. 32 Abs. 1.

Das Verzeichnis wird schriftlich geführt, auch elektronisch (Art. 30 Abs. 3). Sie legen es der Aufsichtsbehörde auf Anfrage vor (Art. 30 Abs. 4), veröffentlichen müssen Sie es nicht. Arbeitet Ihr Unternehmen selbst im Auftrag anderer, führt es dafür ein zweites Verzeichnis nach Art. 30 Abs. 2.

Art. 4 Nr. 7 · Art. 30 Abs. 1 bis 4 DSGVO

Gilt die Pflicht auch unter 250 Mitarbeitern?

Art. 30 Abs. 5 nimmt Unternehmen mit weniger als 250 Mitarbeitern aus, „es sei denn, die von ihnen vorgenommene Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, die Verarbeitung erfolgt nicht nur gelegentlich oder es erfolgt eine Verarbeitung besonderer Datenkategorien“, etwa von Gesundheitsdaten, oder von Daten über strafrechtliche Verurteilungen und Straftaten.

Eine dieser Bedingungen genügt. Die Datenschutzkonferenz (DSK) ist die Konferenz der deutschen Datenschutzaufsichtsbehörden von Bund und Ländern. Sie nennt Lohnabrechnungen und Kundendatenverwaltung als Verarbeitungen, die nicht nur gelegentlich erfolgen, und geht davon aus, dass die Ausnahme nur selten greift.

Wer regelmäßig Löhne abrechnet oder Kundendaten pflegt, fällt nach dieser Lesart nicht unter die Ausnahme. Wir zitieren Abs. 5 in der deutschen Fassung, die 2016 berichtigt wurde (ABl. L 314 vom 22.11.2016); ältere Abdrucke formulieren die Ausnahme anders.

Art. 30 Abs. 5 DSGVO

Was ist eine Verarbeitungstätigkeit? Ein Beispiel

Die DSK versteht unter einer Verarbeitungstätigkeit in der Regel einen Geschäftsprozess auf geeignetem Abstraktionsniveau. Jeder neue Zweck ist eine eigene Tätigkeit. Den Namen leiten Sie aus dem Zweck ab, etwa „Lohn-, Gehalts- und Bezügeabrechnung“. Für das Programm hat das Muster der DSK ein freiwilliges Feld, „Name des eingesetzten Verfahrens“.

Ein erfundenes Beispiel: Die Muster Metall GmbH hat 80 Beschäftigte. Ihr Eintrag „Lohn- und Gehaltsabrechnung“ nennt als Zweck die Abrechnung der Vergütung, als Betroffene die Beschäftigten und als Daten Stammdaten, Bankverbindung und Steuermerkmale. Empfänger sind Finanzamt, Sozialversicherungsträger und Banken, dazu der Anbieter der Lohnsoftware, wenn er die Daten in seiner Cloud verarbeitet.

Bei Drittländern steht „keine“, denn die DSK rät, auch das ausdrücklich anzugeben. Die Löschfrist nennt die Vorschrift und den Beginn der Frist. Für die TOMs verweist der Eintrag auf das Kryptokonzept und das Konzept für Personal, Zugänge und IT aus dem NIS 2 Durchgang. Solche Verweise auf Unterlagen der Informationssicherheit sieht die DSK ausdrücklich vor.

Welche Fehler Sie beim Verzeichnis vermeiden sollten

Ein Verzeichnis, das nur Programme aufzählt, etwa „Microsoft 365“ oder „DATEV“, beschreibt Werkzeuge statt Zwecke. Ein Programm dient oft mehreren Tätigkeiten, und eine Tätigkeit nutzt oft mehrere Programme.

Ein Eintrag wie „gesetzliche Aufbewahrungsfristen“ ist ein allgemeiner Verweis, und der genügt nach der DSK nicht: Sie verlangt präzise Angaben. Der Europäische Datenschutzausschuss (EDSA) empfiehlt in seinem Bericht vom Februar 2026, im Verzeichnis anzugeben, ob eine gesetzliche Pflicht zur Aufbewahrung besteht.

Ein Verzeichnis veraltet mit jedem neuen Programm und jedem neuen Dienstleister. Die DSK empfiehlt, Änderungen zu dokumentieren und diese Dokumentation ein Jahr aufzubewahren.

Mit einem KI Assistenten: was er für das Verzeichnis vorbereiten kann

Ein KI Assistent wie Claude, ChatGPT oder Copilot kann aus Ihren Unterlagen Entwürfe anlegen: aus Listen der Abläufe, Programme, Lieferanten und Verträge. Über MCP (Model Context Protocol), einen offenen Standard, liest er auch den NIS 2 Durchgang, in den Bereichen der Person, die ihn verbunden hat, und alle Aufzeichnungen, wenn ein Admin es erlaubt und sie exportieren darf.

Was nicht in Ihren Unterlagen steht, etwa eine Rechtsgrundlage oder eine Löschfrist, ist im Entwurf ein Vorschlag. Ob ein Eintrag stimmt und welche Frist gilt, entscheidet Ihr Unternehmen als Verantwortlicher, mit Ihrem Datenschutzbeauftragten, wenn einer benannt ist.

Was Sie dem Assistenten geben, etwa Lohnlisten, verarbeitet sein Anbieter mit. Handelt er dabei als Auftragsverarbeiter, braucht es einen Vertrag nach Art. 28 Abs. 3 DSGVO. Ein DSGVO Durchgang auf nisd2.eu ist in Arbeit, mit demselben MCP Server wie der NIS 2 Durchgang.

Ein Auftrag an den Assistenten kann so lauten:

Lies mit get_walkthrough die Punkte 2.2 und 5.1. Lege für jeden angehakten Ablauf, der personenbezogene Daten betrifft, einen Entwurf für das Verzeichnis nach Art. 30 Abs. 1 DSGVO an, mit Zweck, betroffenen Personen, Datenkategorien, Empfängern, Drittland, Löschfrist und TOMs. Markiere jedes Feld, das nicht in den Unterlagen steht, und lass es leer. Trage nichts in den Durchgang ein.