30. März 2026
Verzeichnis von Verarbeitungstätigkeiten
Kurz gesagt: Das Verzeichnis von Verarbeitungstätigkeiten (VVT) ist eine nach Artikel 30 DSGVO vorgeschriebene, schriftliche oder elektronische Übersicht aller Vorgänge, bei denen ein Unternehmen personenbezogene Daten verarbeitet. Es hat das frühere "Verfahrensverzeichnis" aus dem alten BDSG abgelöst, muss nicht mehr öffentlich einsehbar sein, ist aber der Aufsichtsbehörde auf Anfrage vorzulegen. Auch Auftragsverarbeiter müssen ein – etwas schlankeres – Verzeichnis führen.
Was ist ein Verzeichnis von Verarbeitungstätigkeiten?
Das Verzeichnis von Verarbeitungstätigkeiten ist die zentrale Dokumentation, mit der Unternehmen nachweisen, wie sie personenbezogene Daten verarbeiten. Es hat das "Verfahrensverzeichnis" aus dem alten BDSG abgelöst und ist im neuen Recht breiter gefasst: Während das BDSG nur "Verfahren automatisierter Verarbeitung" erfasste, beschreibt "Verarbeitung" heute alle Vorgänge mit und ohne automatisierte Unterstützung.
In der Praxis bedeutet das konkret: Sie führen eine schriftlich oder elektronisch geführte Übersicht aller Verarbeitungskategorien, die sich an Ihren zentralen Geschäftsprozessen orientiert (ohne diese im Detail abzubilden) und die Datenverarbeitungsaktivitäten mit Bezug zu personenbezogenen Daten sinnvoll bündelt.
Das Verzeichnis liegt in der Verantwortung des Verantwortlichen, ist aber vor allem ein zentrales Arbeitsmittel für den Datenschutzbeauftragten – etwa für Vorabkontrollen, Folgenabschätzungen oder um Aufsichtsbehörden und Betroffenen Auskunft zu erteilen. Es enthält übrigens nicht nur bestehende, sondern auch geplante Verarbeitungsvorgänge, die vor ihrer Aktivierung noch datenschutzrechtlich geprüft werden müssen.
Zwei wichtige Neuerungen gegenüber dem alten Recht: Das Verzeichnis muss nun auch von Auftragsverarbeitern geführt werden, und es gibt kein öffentliches "Jedermann"-Verzeichnis mehr – vorzulegen ist es nur noch auf Anfrage des Bundesbeauftragten für den Datenschutz.
Ist ein Verzeichnis von Verarbeitungstätigkeiten auch für kleine Unternehmen Pflicht?
Ja, in den allermeisten Fällen. Eine Ausnahme gilt nur für Unternehmen mit weniger als 250 Mitarbeitenden – und auch das nur, wenn die Datenverarbeitung kein Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt, keine sensiblen Daten verarbeitet werden und die Verarbeitung nicht regelmäßig erfolgt. Diese Ausnahme wird von Aufsichtsbehörden eng ausgelegt, sodass in der Praxis auch die meisten kleineren Unternehmen ein Verzeichnis führen müssen, sobald sie beispielsweise regelmäßig Kunden- oder Mitarbeiterdaten verarbeiten.
Was gehört in ein Verzeichnis von Verarbeitungstätigkeiten eines Auftragsverarbeiters?
Das Verzeichnis eines Auftragsverarbeiters ähnelt dem des Verantwortlichen, ist aber schlanker: Neben Namen und Kontaktdaten des Auftragsverarbeiters, jedes beauftragenden Verantwortlichen bzw. dessen Vertreters sowie des Datenschutzbeauftragten und den Verarbeitungskategorien sind nur noch geplante Übermittlungen an Drittstaaten und Organisationen sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOMs) zu erfassen.
Was beinhaltet das Verzeichnis von Verarbeitungstätigkeiten des Verantwortlichen?
Nach Art. 30 DSGVO und § 70 BDSG(neu) muss das Verzeichnis eines Verantwortlichen unter anderem enthalten: Angaben zum Verantwortlichen, seinem Vertreter und einem etwaigen Datenschutzbeauftragten (Namen, Kontaktdaten), die Zweckbestimmung der Verarbeitung, die Kategorien betroffener Personen und personenbezogener Daten, die etwaige Verwendung von Profiling, die Kategorien von Empfängern der Daten, vorgesehene Löschfristen und geplante Drittstaatenübermittlungen. Zusätzlich gehört eine allgemeine Beschreibung der TOMs dazu, da diese eine wichtige Basis für die Wirksamkeit der Absicherungsmaßnahmen darstellen.
Optimieren Sie im Handumdrehen Ihren Datenschutz!
DSM-Online jetzt 14 Tage kostenlos & unverbindlich testen.
Welche Vorteile bietet ein Verzeichnis von Verarbeitungstätigkeiten?
Ein strukturiertes und aktuelles Verzeichnis erfüllt nicht nur die gesetzlichen Informations- und Transparenzpflichten, sondern erleichtert dem Datenschutzbeauftragten auch die Beurteilung datenschutzrelevanter Vorgänge sowie eine effizientere Vorabkontrolle bzw. Folgenabschätzung bei meldepflichtigen Verfahren. Im Ergebnis spart ein gepflegtes Verzeichnis im Anwendungsfall – etwa bei einer Behördenanfrage oder einem Kundenaudit – erhebliche Zeit.
Wie unterstützt DSM-Online bei der Erstellung des Verzeichnisses?
Häufige Fragen zum Verzeichnis von Verarbeitungstätigkeiten
Ist ein Verzeichnis von Verarbeitungstätigkeiten für kleine Unternehmen Pflicht? In den meisten Fällen ja. Die Ausnahme für Unternehmen unter 250 Mitarbeitenden wird von Aufsichtsbehörden eng ausgelegt und greift nur, wenn die Verarbeitung risikoarm, nicht regelmäßig und ohne sensible Daten erfolgt.
Muss auch ein Auftragsverarbeiter ein Verzeichnis führen? Ja. Seit der DSGVO müssen auch Auftragsverarbeiter ein eigenes, schlankeres Verzeichnis führen – mit weniger Pflichtangaben als das Verzeichnis des Verantwortlichen.
Ist das Verzeichnis von Verarbeitungstätigkeiten öffentlich einsehbar? Nein. Anders als teilweise unter dem alten BDSG gibt es kein öffentliches "Jedermann"-Verzeichnis mehr. Vorzulegen ist es nur auf Anfrage der zuständigen Datenschutzaufsichtsbehörde.
Was passiert, wenn kein Verzeichnis von Verarbeitungstätigkeiten geführt wird? Verstöße gegen die Pflicht zur Führung eines Verzeichnisses fallen unter Art. 83 Abs. 4 DSGVO und können mit Bußgeldern von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden. In der Praxis ist das Verzeichnis zudem oft eines der ersten Dokumente, das eine Aufsichtsbehörde bei einer Prüfung anfragt.
Haben Sie weitere Fragen oder benötigen Unterstützung?
DSM-Online hilft Ihnen nicht nur bei der Organisation Ihres Datenschutzes, der Definition Ihrer technischen und organisatorischen Maßnahmen, der Datenschutz-Folgenabschätzung, sondern auch bei der Verwaltung von Betroffenenrechten und Verletzungen, dem Erstellen von Hinweispflichten, Verträgen zur Auftragsverarbeitung, Geheimhaltungsvereinbarungen und vielem mehr.
Ähnliche Artikel im Ratgeber
Datenschutzvergehen
Ratgeber Datenschutzvergehen Datendiebstahl, Datenklau, Datenmanipulation. Was Sie tun müssen! DSM-Online kostenlos testen Was ist eine Datenschutzverletzung und…
Datenschutz-Audit: Ablauf, Checkliste
Was prüft ein Datenschutz-Audit, wie läuft es ab und wie bereiten Sie sich vor? Ablauf, Checkliste und...
Datenschutz für Immobilienmakler
Die EU-DSGVO betrifft auch die Immobilienwirtschaft. Das hat sich geändert ...