ARLing

Verzeichnis von Verarbeitungstätigkeiten Muster für Unternehmen

ARLing s. r. o. · 10. September 2026

Wer ein Unternehmen führt und personenbezogene Daten verarbeitet, stößt früher oder später auf eine Pflicht, die viele nur vom Hörensagen kennen: das Verzeichnis von Verarbeitungstätigkeiten. Dahinter steckt eine schriftliche oder elektronische Übersicht, die der Verantwortliche für sich selbst führt und dem Aufsichtsorgan erst auf Anfrage vorlegt, nicht vorab irgendwo einreicht. Artikel 30 Absatz 1 DSGVO verpflichtet dazu jeden Verantwortlichen, unabhängig von der Größe des Unternehmens. Viele kleine Unternehmen gehen davon aus, dass sie wegen der Ausnahme für Organisationen mit weniger als 250 Beschäftigten ohnehin nichts führen müssen, doch diese Ausnahme greift nur unter engen Voraussetzungen, die im laufenden Geschäftsbetrieb oft nicht alle zugleich erfüllt sind. Dieser Beitrag zeigt, wem die Pflicht wirklich zufällt, was ins Verzeichnis gehört, welche zusätzliche Pflicht in Deutschland an eine andere Grenze geknüpft ist und wo Sie ein ausgefülltes Muster für Ihr eigenes Unternehmen finden.

Die Pflicht nach Artikel 30: für wen sie gilt

Artikel 30 Absatz 1 DSGVO verpflichtet jeden Verantwortlichen, ein Verzeichnis seiner Verarbeitungstätigkeiten zu führen, unabhängig von der Größe des Unternehmens. Das Verzeichnis ist dabei kein Dokument, das vorab bei einer Behörde eingereicht wird: Es bleibt ein internes Arbeitsmittel, das der Verantwortliche selbst pflegt und erst auf Anfrage dem Aufsichtsorgan vorlegt. Für den Alltag eines kleinen Unternehmens bedeutet das, dass das Verzeichnis zum Zeitpunkt einer möglichen Anfrage bereits fertig sein muss und nicht erst danach in Eile zusammengestellt werden kann.

Die Ausnahme für kleine Unternehmen, und warum sie kaum greift

Artikel 30 Absatz 5 DSGVO nimmt Organisationen mit weniger als 250 Beschäftigten von der Pflicht aus, allerdings nur, wenn die Verarbeitung gelegentlich erfolgt, keine besonderen Kategorien personenbezogener Daten oder Angaben zu strafrechtlichen Verurteilungen umfasst und voraussichtlich kein Risiko für die Rechte der betroffenen Personen mit sich bringt. Die gewöhnliche Auftragsabwicklung, die Lohnbuchhaltung oder der Versand eines Newsletters sind keine gelegentlichen Tätigkeiten, sodass die Ausnahme darauf nicht zutrifft.

Für die meisten kleinen und mittleren Unternehmen bleibt die Pflicht aus Artikel 30 Absatz 1 deshalb bestehen: Sobald Kunden regelmäßig bestellen, Mitarbeiter Gehalt beziehen oder ein Newsletter dauerhaft läuft, ist die Verarbeitung nicht mehr gelegentlich, und das Führen des Verzeichnisses gehört zu den laufenden Aufgaben des Unternehmens.

Was ins Verzeichnis gehört

Das Verzeichnis nach Artikel 30 Absatz 1 DSGVO muss den Namen und die Kontaktdaten des Verantwortlichen enthalten, bei gemeinsamer Verantwortlichkeit auch die des gemeinsamen Verantwortlichen, eines Vertreters und des Datenschutzbeauftragten, falls einer bestellt ist. Dazu kommen die Zwecke der Verarbeitung sowie die Kategorien der betroffenen Personen und der personenbezogenen Daten. Ebenso gehören die Kategorien der Empfänger einschließlich Empfängern in Drittländern hinein, dazu Angaben zu einer Übermittlung in ein Drittland und den dabei eingesetzten Schutzmaßnahmen, die vorgesehenen Löschfristen für die einzelnen Datenkategorien und eine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen nach Artikel 32 DSGVO.

Deutsche Besonderheit: Datenschutzbeauftragter ab 20 Personen

Neben dem Verzeichnis kennt das deutsche Recht eine weitere Pflicht: die Bestellung eines Datenschutzbeauftragten. Sie betrifft ein Unternehmen, sobald dort in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; das legt Paragraf 38 Absatz 1 BDSG zusätzlich zu den Regeln aus Artikel 37 DSGVO fest. Ein Unternehmen mit weniger Beschäftigten braucht deshalb keinen Datenschutzbeauftragten, muss aber in aller Regel trotzdem das Verzeichnis nach Artikel 30 führen, denn die beiden Pflichten hängen nicht von derselben Grenze ab.

Häufig gestellte Fragen

Muss auch ein kleines Unternehmen ohne viele Mitarbeiter ein Verzeichnis führen?

Ja. Die Pflicht aus Artikel 30 Absatz 1 DSGVO gilt für jeden Verantwortlichen. Ob die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten für Sie infrage kommt, lässt sich mit drei Fragen prüfen: Ist die betreffende Verarbeitung wirklich nur gelegentlich und kein Teil des laufenden Geschäftsbetriebs, enthält sie keine besonderen Kategorien personenbezogener Daten oder Angaben zu strafrechtlichen Verurteilungen, und besteht kein wahrscheinliches Risiko für die Rechte der betroffenen Personen? Nur wenn alle drei Antworten dafürsprechen, entfällt die Pflicht.

Brauche ich für das Verzeichnis automatisch auch einen Datenschutzbeauftragten?

Nein, das sind zwei getrennte Pflichten. Ein Datenschutzbeauftragter ist in Deutschland erst nötig, wenn in der Regel mindestens 20 Personen ständig mit automatisierter Datenverarbeitung beschäftigt sind, während die Pflicht zum Verzeichnis unabhängig davon in aller Regel jeden Verantwortlichen trifft, mit Ausnahme der engen Voraussetzungen aus Artikel 30 Absatz 5 DSGVO.

Was gehört unbedingt in jedes Verzeichnis hinein?

Als Mindestgerüst reicht es, sich an sechs Punkten zu orientieren: Wer ist verantwortlich und wie ist er erreichbar, wofür wird verarbeitet, wer ist betroffen und mit welchen Daten, wer bekommt diese Daten, wie lange werden sie aufbewahrt, und wie werden sie technisch und organisatorisch geschützt.

Fazit

Ein eigenes Verzeichnis von Verarbeitungstätigkeiten müssen Sie nicht von Grund auf selbst schreiben. Der ARLing DSGVO-Generator stellt Dokumente direkt im Browser aus einem Formular zu Ihrem Unternehmen zusammen; nichts aus dem Formular wird an einen Server gesendet, es wird kein Konto angelegt, und ARLing speichert die Angaben nicht, nur Ihr eigener Browser tut das. Die Datenschutzerklärung entsteht dabei kostenlos, während das vollständige Paket von bis zu zehn Dokumenten, darunter das Verzeichnis von Verarbeitungstätigkeiten und ein Vertrag zur Auftragsverarbeitung, einmalig 39 Euro inklusive Steuer kostet. Die erzeugten Dokumente sind allgemeine, mit Ihren Unternehmensdaten ausgefüllte Muster und keine Rechtsberatung; lesen und passen Sie sie deshalb vor der Nutzung so an, dass sie wirklich zu dem passen, was Ihr Unternehmen tatsächlich tut.

Quellen. Die Fakten in diesem Text sind nach unserer internen Faktenliste nummeriert und zum Veröffentlichungsdatum geprüft. ARLing ist keine Bank; ein sauberes Prüfergebnis ist keine Garantie, dass die Bank die Zahlung annimmt. Sollte sich eine Quelle inzwischen geändert haben, schreiben Sie an andrej@arling.sk, wir korrigieren diese Seite.