Informationsseite · Art. 30 DSGVO · Kein Rechtsrat

Verarbeitungsverzeichnis: Muster und ausgefülltes Beispiel

Art. 30 Abs. 1 DSGVO verlangt zu jeder Verarbeitungstätigkeit sieben Angaben – von den Datenkategorien bis zu den Löschfristen. Ein Muster zeigt, wie eine ausgefüllte Zeile aussieht. Sie finden hier ein vollständig ausgefülltes Beispiel für einen Handwerksbetrieb, die Pflichtangaben als Checkliste und die Fehler, die in selbstgebauten Tabellen am häufigsten auftreten. Ein Muster ersetzt dabei nicht die Prüfung, ob die Angaben zu Ihrem Betrieb passen.

Lieber direkt Ihr eigenes

Statt abschreiben: im Tool aus Ihren Angaben erzeugen.

Geführter Wizard durch alle sieben Pflichtangaben
Über 50 Branchenvorlagen mit Rechtsgrundlage und Löschfrist
PDF-Export – Verzeichnis, TOM und Hinweise aus denselben Angaben

Jetzt kostenlos starten

Kostenlos · ohne Zahlungsmittel · monatlich kündbar

Vorher einordnen

Was ein Muster leisten kann – und was nicht

Als Gliederung: brauchbar

Ein Muster legt fest, welche Zeilen und Spalten ein Verzeichnis braucht. Wer die Pflichtangaben aus Art. 30 Abs. 1 einmal in einer Tabelle hat, übersieht beim Ausfüllen deutlich weniger.

Als Nachweis: nicht ausreichend

Eine unveränderte Vorlage sagt einer Prüfung nur, dass es die Vorlage gibt. Nachweisbar wird sie erst, wenn die Angaben den tatsächlichen Verarbeitungen Ihres Betriebs entsprechen und gepflegt werden.

Der Umfang folgt dem Betrieb

Art. 30 Abs. 5 nimmt Betriebe unter 250 Mitarbeitern nur aus, wenn die Verarbeitung gelegentlich ist, kein Risiko wahrscheinlich ist und keine besonderen Datenkategorien nach Art. 9 verarbeitet werden. Für Lohn, Kundenliste und Website-Formular greift die Ausnahme selten.

Gepflegt schlägt vollständig

Ein Verzeichnis ist ein lebendes Dokument: neue Software, neue Dienstleister, geänderte Löschfristen. Wer es einmal baut und dann liegen lässt, dokumentiert den Stand vom Tag der Erstellung – nicht den Betrieb.

Ausgefülltes Beispiel

Handwerksbetrieb mit zwölf Mitarbeitern

So sieht ein Verzeichnis von Verarbeitungstätigkeiten in der Praxis aus. Die Zeilen sind typische Verarbeitungen eines Handwerksbetriebs; die Rechtsgrundlagen und Aufbewahrungsfristen sind die in der Praxis üblichen. Ob eine Frist in Ihrem Fall genauso gilt, hängt von Ihren Verträgen und Ihrer Branche ab – das Beispiel ist eine Vorlage, keine Rechtsberatung.

Beispiel: Auszug aus dem Verzeichnis von Verarbeitungstätigkeiten
Verarbeitung	Betroffene	Datenkategorien	Zweck und Rechtsgrundlage	Empfänger	Löschfrist
Lohn- und Gehaltsabrechnung	Beschäftigte	Stammdaten, Bankverbindung, Sozialversicherungsnummer, Arbeitszeiten, Fehlzeiten	Erfüllung des Arbeitsvertrags – Art. 6 Abs. 1 lit. b, § 26 BDSG	Steuerbüro (AVV), Bank, Sozialversicherungsträger	10 Jahre (§ 147 AO, § 257 HGB)
Kunden- und Auftragsdaten	Kunden und Ansprechpartner	Name, Anschrift, Kontaktdaten, Objekt- und Leistungsdaten	Vertragserfüllung – Art. 6 Abs. 1 lit. b	Steuerbüro (AVV), beauftragte Nachunternehmer (AVV)	Auftragsende, dann handelsrechtliche Aufbewahrungsfrist
Kontaktanfragen über die Website	Interessenten	Name, E-Mail-Adresse, Nachricht, Zeitpunkt	Anfragebearbeitung – Art. 6 Abs. 1 lit. b, hilfsweise lit. f	Hosting-Dienstleister (AVV)	Nach Bearbeitung, längstens 6 Monate
Bewerbungsunterlagen	Bewerberinnen und Bewerber	Bewerbungsdaten, Zeugnisse, Notizen aus dem Gespräch	Bewerberauswahl – § 26 Abs. 1 BDSG	Keine	6 Monate nach Absage (§ 15 Abs. 4 AGG)

In der vollständigen Fassung kommt zu jeder Zeile noch die Nummer der Verarbeitung, sobald sie wiederkehrend ist, sowie der Verweis auf die technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 (lit. g) – im Beispiel in einer eigenen Spalte oder als Verweis auf die TOM-Dokumentation.

Checkliste

Die sieben Pflichtangaben nach Art. 30 Abs. 1

Jede Zeile Ihres Verzeichnisses muss diese Angaben enthalten. Fehlt eine, ist die Dokumentation unvollständig – nicht falsch, aber angreifbar.

Name und Kontaktdaten des Verantwortlichen — sowie, falls vorhanden, des Vertreters und des Datenschutzbeauftragten (lit. a).
Zwecke der Verarbeitung — wozu die Daten verarbeitet werden (lit. b).
Kategorien betroffener Personen und Kategorien personenbezogener Daten — wer ist betroffen, welche Datenarten (lit. c).
Kategorien von Empfängern — wer bekommt die Daten, auch intern und bei Dienstleistern (lit. d).
Übermittlungen an Drittländer — falls ja, mit Angabe des Drittlands und der Garantien (lit. e).
Löschfristen — „wenn möglich“ die vorgesehenen Fristen je Datenkategorie (lit. f).
Technische und organisatorische Maßnahmen — „wenn möglich“ eine allgemeine Beschreibung nach Art. 32 Abs. 1 (lit. g).

Häufige Fehler in selbstgebauten Mustern

Die Spalte „Rechtsgrundlage“ fehlt. Ohne sie lässt sich nicht begründen, warum eine Verarbeitung zulässig ist – die erste Rückfrage jeder Prüfung.
Löschfristen stehen leer oder als „unbegrenzt“. Art. 30 Abs. 1 lit. f verlangt die Frist, sofern möglich. „Unbegrenzt“ ist bei personenbezogenen Daten praktisch nie die richtige Antwort.
Dienstleister stehen als Empfänger, aber ohne Auftragsverarbeitungsvertrag. Wer Daten in Ihrem Auftrag verarbeitet, gehört ins Verzeichnis – und braucht einen AVV nach Art. 28.
Die TOM werden nur erwähnt. Nach lit. g gehören die Maßnahmen ins Verzeichnis oder müssen wenigstens eindeutig mit der TOM-Dokumentation verknüpft sein.
Das Verzeichnis wird nach dem ersten Ausfüllen nicht mehr angefasst. Neue Tools, neue Dienstleister und geänderte Verträge sind genau die Änderungen, die eine Aufsichtsbehörde als Erstes prüft.

So einfach geht's

In drei Schritten zum eigenen Verzeichnis

Abschreiben ist mühsam – selbst anlegen dauert mit dem Tool wenige Minuten.

Kostenlos registrieren

In 2 Minuten ein Konto anlegen – ohne Kreditkarte, sofort einsatzbereit.

Branchenvorlage wählen

Vorlage für Ihre Branche auswählen und die vorgeschlagenen Verarbeitungen an Ihren Betrieb anpassen.

Als PDF sichern

Verzeichnis, TOM und Hinweise entstehen aus denselben Angaben – jederzeit als PDF exportierbar.

Lieber begleitet? Der Workshop-Tag

Ein Tag, ein Experte – Ihr Datenschutz gemeinsam erledigt
Gemeinsam im Team durch alle Pflichten – ohne Fachchinesisch
Inklusive 1 Jahr vollem dsgvoeasy.de-Tool-Zugang
Ideal, wenn Sie es lieber persönlich begleitet abschließen

390 €

pro Teilnehmer

✓ Inklusive 1 Jahr
kostenfreier Tool-Zugang

Workshop ansehen

Häufige Fragen

Das fragen sich viele

Muss ich als kleiner Betrieb überhaupt ein Verzeichnis führen?+

Art. 30 Abs. 1 DSGVO verpflichtet jeden Verantwortlichen zu einem Verzeichnis von Verarbeitungstätigkeiten. Die Ausnahme in Abs. 5 gilt nur für Unternehmen unter 250 Mitarbeitern – und auch dann nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko für die Rechte Betroffener wahrscheinlich ist oder besondere Datenkategorien nach Art. 9 verarbeitet werden. Für Kundenlisten, Lohnabrechnung oder Handwerkerdaten greift sie in der Praxis selten.

Wo bekomme ich ein kostenloses Muster?+

Öffentliche Muster gibt es bei mehreren Aufsichtsbehörden und Branchenverbänden. Sie taugen als Gliederung. Für den Nachweis müssen die Angaben aber zu Ihren tatsächlichen Verarbeitungen passen: welche Software, welche Dienstleister, welche Löschfristen. Genau das erzeugt dsgvoeasy.de aus Ihren Eingaben, statt ein fremdes Beispiel zu übernehmen.

Wie viele Verarbeitungen muss ich dokumentieren?+

Alle, die nicht nur gelegentlich stattfinden. Bei einem Handwerksbetrieb sind das typischerweise Lohn, Kunden- und Auftragsdaten, Anfragen über die Website, Bewerbungen und – falls vorhanden – Fahrzeug- oder Zeiterfassung. Eine feste Zahl gibt es nicht; geprüft wird, ob nichts Wesentliches fehlt.

Wie lange dauert es, das Verzeichnis anzulegen?+

Mit einer Branchenvorlage dauert die erste Fassung in der Regel wenige Minuten. Ohne Vorlage, in einer selbstgebauten Tabelle, braucht dasselbe erfahrungsgemäß deutlich länger – vor allem, weil die Löschfristen und Rechtsgrundlagen einzeln recherchiert werden müssen.

Was kostet das?+

Der Start ist kostenlos und ohne Kreditkarte. Für die unbegrenzte Nutzung gibt es später optional ein Abo für 7,99 € pro Monat (netto).