Verarbeitungsverzeichnis
Das Verarbeitungsverzeichnis nach Art. 30 DSGVO ist eine interne Dokumentation, in der ein Verantwortlicher alle Verarbeitungstätigkeiten mit personenbezogenen Daten strukturiert festhält: Zwecke, Kategorien betroffener Personen, Kategorien der Daten, Empfänger und geplante Löschfristen.
Wer muss ein Verzeichnis führen?
| Kriterium | Pflicht? |
|---|---|
| Weniger als 250 Mitarbeiter und nur gelegentliche Verarbeitung ohne Risiko | Meist nicht verpflichtend |
| Verarbeitung, die ein Risiko für Betroffene birgt | Ja, unabhängig von der Größe |
| Regelmäßige Verarbeitung, z. B. laufender Onlineshop-Betrieb | In der Praxis fast immer ja |
| Verarbeitung besonderer Kategorien personenbezogener Daten | Ja |
Die Ausnahme für kleine Organisationen in Art. 30 Abs. 5 DSGVO greift in der Praxis selten, weil bereits ein Kontaktformular oder ein Newsletter meist als regelmäßige Verarbeitung gilt. Die meisten Webseitenbetreiber führen deshalb sicherheitshalber ein Verzeichnis.
Was typischerweise hineingehört
Für eine Webseite listet das Verzeichnis üblicherweise einzelne Einträge wie Kontaktformular, Newsletter-Versand, Bestellabwicklung und eingesetzte Analyse-Tools jeweils getrennt auf, inklusive der jeweiligen Rechtsgrundlage nach Art. 6 DSGVO und der verantwortlichen Stelle oder Person.
Verhältnis zur Datenschutzerklärung
Das Verarbeitungsverzeichnis ist ein internes Dokument für die eigene Organisation und für Aufsichtsbehörden, keine öffentliche Seite. Die Datenschutzerklärung richtet sich dagegen an Besucher und Kunden. Inhaltlich überschneiden sich beide Dokumente stark, weshalb sich ein gepflegtes Verzeichnis oft direkt als Grundlage für die öffentliche Erklärung nutzen lässt.
Praxisbeispiel für einen kleinen Onlineshop
Ein Onlineshop-Betreiber legt eine einfache Tabelle an mit Zeilen für Bestellabwicklung, Newsletter-Versand, Kundenservice-Anfragen und das eingesetzte Analyse-Tool. Für jede Zeile trägt er ein: Zweck, Rechtsgrundlage, Kategorien der betroffenen Personen, eingesetzte Dienstleister und geplante Löschfrist. Diese Tabelle wird bei jeder größeren Änderung, etwa einem neuen Tool, unmittelbar aktualisiert und dient zugleich als Grundlage für die eigene Datenschutzerklärung.
Format und Aufbewahrung
Die DSGVO schreibt kein bestimmtes Format vor, üblich sind einfache Tabellen oder spezialisierte Software für größere Organisationen. Wichtig ist, dass das Verzeichnis schriftlich vorliegt, was auch ein elektronisches Format einschließt, und auf Anfrage einer Aufsichtsbehörde zur Verfügung gestellt werden kann.
Regelmäßige Aktualisierung
Ein Verarbeitungsverzeichnis ist kein einmalig erstelltes Dokument, sondern muss bei jeder neuen oder geänderten Verarbeitung aktualisiert werden. Ein fester Rhythmus, etwa ein kurzer Check bei jeder neuen Tool-Einführung, hält das Verzeichnis zuverlässig aktuell, ähnlich wie der laufende Abgleich zwischen Cookie-Banner und Datenschutzerklärung.
Richtig in deine Datenschutzerklärung übernehmen
Unsere Muster-Datenschutzerklärungen enthalten diesen Begriff bereits korrekt formuliert, fertig zum Kopieren.