--- title: "Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)" description: "Wer ein Verzeichnis von Verarbeitungstätigkeiten führen muss, was hineingehört und warum die Ausnahme für kleine Unternehmen in der Praxis kaum greift." canonical: "https://www.dsb-datenschutz.de/datenschutz/beratung-verarbeitungsverzeichnis/" --- # Verzeichnis von Verarbeitungstätigkeiten Fragt die Aufsichtsbehörde nach Ihrer Datenverarbeitung, ist das **Verzeichnis von Verarbeitungstätigkeiten** das Erste, was sie sehen will. Wir erstellen es und halten es aktuell – als externer Datenschutzbeauftragter oder beratend. [Pauschalpakete ansehen](https://www.dsb-datenschutz.de/externer-datenschutzbeauftragter/kosten/) ## Wozu das Verzeichnis dient Es ist eine geordnete Übersicht aller Vorgänge, bei denen in Ihrem Unternehmen personenbezogene Daten verarbeitet werden. Für jeden davon halten Sie fest: welche Daten anfallen, wozu, auf welcher Rechtsgrundlage nach Art. 6 DSGVO, wer darauf zugreifen kann und wie lange sie bleiben. Damit erfüllt das Verzeichnis die **Rechenschaftspflicht** aus Art. 5 Abs. 2 DSGVO – die Pflicht, die Einhaltung der Verordnung nicht nur zu behaupten, sondern nachzuweisen. Praktisch wichtiger ist ein zweiter Punkt: Alle anderen Datenschutzdokumente bauen darauf auf. Ohne die Übersicht der Verarbeitungen lässt sich weder eine [Datenschutz-Folgenabschätzung](https://www.dsb-datenschutz.de/datenschutz/beratung-datenschutz-folgenabschaetzung/) noch ein [TOM-Konzept](https://www.dsb-datenschutz.de/datenschutz/beratung-technisch-organisatorische-massnahmen/) begründen, und auch die Datenschutzerklärung bleibt Stückwerk. Wer beim Datenschutz anfängt, fängt hier an. Zur Form: Art. 30 DSGVO verlangt Schriftform – elektronische Formate sind ausdrücklich zugelassen. Eine Tabellenkalkulation genügt den gesetzlichen Anforderungen; ein [Datenschutzmanagementsystem](https://www.dsb-datenschutz.de/datenschutz/dsms/) nimmt Ihnen die Pflege ab. ## Wer ein Verzeichnis von Verarbeitungstätigkeiten führen muss Im Grundsatz alle – Verantwortliche wie Auftragsverarbeiter, unabhängig von der Unternehmensgröße. Die vielzitierte Ausnahme in Art. 30 Abs. 5 DSGVO greift nur, wenn **alle drei** Bedingungen gleichzeitig vorliegen: 1. weniger als 250 Mitarbeitende, 2. ausschließlich gelegentliche, also nicht regelmäßige Verarbeitung, 3. kein Risiko für die Betroffenen und keine besonderen Datenkategorien. An Bedingung 2 scheitert es fast immer. Lohnabrechnung, Kundendatenbank, Webshop, Newsletter, Social-Media-Auftritt – all das ist regelmäßige Verarbeitung. Damit sind auch Selbstständige, Handwerksbetriebe, Arztpraxen und Vereine in aller Regel verpflichtet. Ein Ausblick: Derzeit wird eine Anhebung der Schwelle auf 750 Beschäftigte diskutiert. Solange keine Novellierung in Kraft ist, gilt unverändert die Grenze von 250 – und an der praktischen Lage änderte auch eine Anhebung wenig, weil die zweite Bedingung bestehen bliebe. ## Was hineingehört Die Verordnung kennt zwei Verzeichnisse: eines für **Verantwortliche** nach Art. 30 Abs. 1 DSGVO und eines für **Auftragsverarbeiter** nach Art. 30 Abs. 2 DSGVO. Wer beides ist – etwa ein Dienstleister, der zugleich eigene Kundendaten führt –, braucht beide. Für Verantwortliche sind anzugeben: - Name und Kontaktdaten des Verantwortlichen, gegebenenfalls auch des Datenschutzbeauftragten - Zweck jeder Verarbeitung - Kategorien der betroffenen Personen und der Daten - Kategorien von Empfängern - Rechtsgrundlage nach Art. 6 DSGVO - Übermittlungen in Drittländer samt der dafür vorgesehenen [Garantien](https://www.dsb-datenschutz.de/datenschutz/wissen-angemessenheitsbeschluss-usa/) Für jede dieser Verarbeitungen sollte zugleich feststehen, ob ein [Auftragsverarbeitungsvertrag](https://www.dsb-datenschutz.de/datenschutz/beratung-auftragsverarbeitungsvertrag/) nötig ist. In der Praxis fallen beide Erhebungen zusammen. ## Was bei Verstößen droht Ein fehlendes oder unvollständiges Verzeichnis fällt unter Art. 83 Abs. 4 DSGVO: bis zu **10 Millionen €** oder **2 % des weltweiten Jahresumsatzes**, je nachdem, welcher Betrag höher ist. Die tatsächlich verhängten Beträge liegen meist deutlich darunter – entscheidend ist ohnehin ein anderer Punkt: Wer das Verzeichnis bei einer Anfrage nicht vorlegen kann, gerät in eine Prüfung, die sich dann auf alles Weitere erstreckt. ## Kontakt Sie wissen nicht, wie viele Verarbeitungen Sie überhaupt haben? Das ist der Normalfall – die Erhebung ist der erste Schritt. - Telefon: [+49 6188 99 04 36](tel:+496188990436) - E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de) - Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns) - [Alle Beratungsthemen](https://www.dsb-datenschutz.de/datenschutz/beratung/)