Daten & Sicherheit

Verarbeitungsverzeichnis

Das Verzeichnis von Verarbeitungstätigkeiten listet auf, welche personenbezogenen Daten ein Unternehmen zu welchem Zweck verarbeitet, wie lange sie gespeichert werden und wer Zugriff hat. Es ist nach Artikel 30 DSGVO für die meisten Unternehmen Pflicht.

Redaktionell geprüft von Alexander SeidlertwentyonepixelsStand: 03.10.2026

Was hineingehört

Je Verarbeitung: Zweck, Kategorien von Betroffenen und Daten, Empfänger, Löschfristen und die getroffenen Schutzmaßnahmen. Für eine Website sind das typischerweise Kontaktformular, Server-Protokolle, Newsletter und Reichweitenmessung.

Die Ausnahme für kleine Unternehmen greift seltener, als viele annehmen: Sie entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt — und ein dauerhaft betriebenes Kontaktformular ist genau das.

Wie ein brauchbares Verzeichnis entsteht

Indem man die Dienste durchgeht, die tatsächlich laufen: Webhosting, Newsletter, Buchhaltung, Lohnabrechnung, Bewerbermanagement, Analysewerkzeuge. Für jeden Eintrag Zweck, Datenarten, Empfänger, Löschfrist. Das ist eine Tabelle, kein Projekt.

Der ergiebigste Nebeneffekt ist der Überblick: Fast jeder Betrieb findet dabei mindestens einen Dienst, den niemand mehr braucht — und dessen Kündigung Geld spart und Risiko senkt.

Warum ein veraltetes Verzeichnis schlechter ist als keines

Weil es im Prüffall die Sorgfalt widerlegt, die es belegen soll. Ein Verzeichnis, das Dienste führt, die seit zwei Jahren abgeschaltet sind, und die aktuellen nicht kennt, zeigt vor allem, dass niemand hinsieht.

Der praktikable Weg ist ein fester Termin einmal jährlich und die Regel, dass jeder neue Dienst vor der Beauftragung eingetragen wird. Ohne die zweite Hälfte hilft die erste nicht. Der Rahmen dahinter: Ein fehlendes oder falsches Verzeichnis fällt laut Artikel 83 DSGVO in die niedrigere Bußgeldstufe von bis zu 2 % des weltweiten Jahresumsatzes — niedriger heißt hier nicht klein.

Warum es sich auch praktisch lohnt

Weil man beim Ausfüllen merkt, welche Dienste eigentlich mitlaufen. In fast jedem Projekt, in dem wir das begleitet haben, kam mindestens ein eingebundener Dienst zutage, von dem niemand mehr wusste.

Das Verzeichnis ist außerdem die Grundlage für die Datenschutzerklärung. Wer beides getrennt pflegt, hat irgendwann zwei Fassungen der Wahrheit.

Rechtsgrundlagen

Verordnung (EU) 2016/679 (DSGVO)(öffnet in neuem Tab)Volltext im Amtsblatt der EU

Mehr zum Thema

6 Min. Lesezeit

KI-Schulungspflicht nach Artikel 4: Was wirklich gilt

Um Artikel 4 hat sich ein Markt gebildet, der mit Bußgeldern wirbt, die es für diese Vorschrift nicht gibt. Der Digital Omnibus hat die Pflicht zusätzlich abgeschwächt. Warum eine Schulung trotzdem sinnvoll bleibt — nur aus einem anderen Grund.

8 Min. Lesezeit

KI-Kennzeichnungspflicht: Was Sie ab August 2026 kennzeichnen müssen — und was nicht

Ab dem 2. August 2026 greift die Kennzeichnungspflicht für KI-generierte Inhalte. Sie ist deutlich enger, als die Diskussion vermuten lässt: Bei Texten fällt der größte Teil unter eine Ausnahme, bei Bildern und Video ist der Maßstab ein anderer.

Alle Fachbeiträge ansehen