Verzeichnis, Folgenabschätzung, AV-Vertrag: womit Sie anfangen
12. September 2026 · 7 Min. Lesezeit · BetroffenenRecht24 RedaktionVerzeichnis, Folgenabschätzung und Auftragsverarbeitungsvertrag haben drei verschiedene Auslöser. Das Verzeichnis nach Art. 30 DSGVO knüpft an jede Verarbeitung an, die Folgenabschätzung nach Art. 35 DSGVO an ein voraussichtlich hohes Risiko, der Vertrag nach Art. 28 DSGVO an die weisungsgebundene Verarbeitung durch eine externe Stelle.
Wer den Datenschutz im Betrieb zum ersten Mal ordnet, steht vor drei Dokumenten und einer Frage: Reicht eines davon? Die Antwort ist nein, und zwar aus einem sachlichen Grund. Verzeichnis, Folgenabschätzung und Auftragsverarbeitungsvertrag haben drei verschiedene Auslöser und beantworten drei verschiedene Fragen. Dieser Beitrag ordnet sie nach dem, was sie voraussetzen, und nicht nach dem, was am schnellsten fertig ist.
Drei Dokumente, drei Auslöser
Der entscheidende Unterschied liegt nicht im Umfang, sondern in der Frage, die jedes Dokument beantwortet. Das Verzeichnis beantwortet „Was tun wir überhaupt mit personenbezogenen Daten?“. Die Folgenabschätzung beantwortet „Ist eine bestimmte Verarbeitung so riskant, dass wir sie vorab prüfen müssen?“. Der Auftragsverarbeitungsvertrag beantwortet „Wer außerhalb des Hauses verarbeitet für uns, und unter welchen Bedingungen?“.
| Dokument | Auslöser | Form |
|---|---|---|
| Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) | jede Verarbeitung; die Ausnahme des Abs. 5 entfällt schon bei einer von drei Bedingungen | schriftlich, elektronisches Format genügt (Abs. 3); Vorlage auf Anfrage der Aufsichtsbehörde (Abs. 4) |
| Datenschutz-Folgenabschätzung (Art. 35 DSGVO) | voraussichtlich hohes Risiko für Rechte und Freiheiten (Abs. 1) | vorab durchzuführen, mit vier Mindestinhalten nach Abs. 7 |
| Auftragsverarbeitungsvertrag (Art. 28 DSGVO) | eine externe Stelle verarbeitet weisungsgebunden für Sie | schriftlich, elektronisches Format genügt (Abs. 9) |
Alle drei sind unabhängig voneinander zu prüfen. Ein vollständiges Verzeichnis ersetzt keine Folgenabschätzung, und ein sauberer Auftragsverarbeitungsvertrag sagt nichts darüber, ob die Verarbeitung selbst zulässig ist.
Das Verzeichnis kommt zuerst, weil alles andere daraus folgt
Art. 30 Abs. 1 DSGVO verlangt je Verarbeitung sieben Angaben: Name und Kontaktdaten der Verantwortlichen, die Zwecke, eine Beschreibung der Kategorien betroffener Personen und der Datenkategorien, die Kategorien von Empfängern, Übermittlungen in Drittländer samt Dokumentation der Garantien, sowie zwei Angaben unter Vorbehalt.
Die vorgesehenen Löschfristen der verschiedenen Datenkategorien (Buchstabe f) und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1 (Buchstabe g) stehen im Verordnungstext jeweils unter dem Vorbehalt „wenn möglich“.
Das ist der Unterschied zwischen einer Pflichtangabe und einer Sollangabe. Wer ihn einebnet, verschärft den Text in die eine oder entwarnt in die andere Richtung.
Die Ausnahme des Art. 30 Abs. 5 DSGVO für Organisationen unter 250 Beschäftigten wird häufig als Freibrief gelesen. Sie entfällt aber bereits, wenn eine von drei Bedingungen zutrifft: Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, sie erfolgt nicht nur gelegentlich, oder sie umfasst besondere Kategorien nach Art. 9 oder Daten über strafrechtliche Verurteilungen nach Art. 10. Schon eine laufende Lohnabrechnung ist nicht nur gelegentlich. Warum die Ausnahme damit fast nie trägt, steht in unserem Beitrag zur 250-Beschäftigten-Ausnahme; wie ein schlankes Verzeichnis aussieht, zeigt der Beitrag Verarbeitungsverzeichnis für KMU.
Das Verzeichnis steht am Anfang, weil es die Liste liefert, gegen die die beiden anderen Fragen geprüft werden. Ohne diese Liste lässt sich weder sagen, welche Verarbeitung riskant ist, noch, welcher Dienstleister für Sie verarbeitet.
Die Folgenabschätzung hängt am Risiko, nicht an einer Liste
Art. 35 Abs. 1 DSGVO knüpft die Pflicht an eine Prognose: Eine Folgenabschätzung ist vorab durchzuführen, wenn eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.
Absatz 3 nennt drei Fälle, in denen sie insbesondere erforderlich ist: eine systematische und umfassende Bewertung persönlicher Aspekte auf automatisierter Grundlage einschließlich Profiling, die als Grundlage für Entscheidungen dient; die umfangreiche Verarbeitung besonderer Kategorien nach Art. 9 Abs. 1 oder von Daten über strafrechtliche Verurteilungen; und die systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche.
- Ein Regelbeispiel aus Absatz 3 trifft zu. Die Folgenabschätzung ist vor Beginn der Verarbeitung durchzuführen, mit den vier Mindestinhalten des Absatzes 7.
- Kein Regelbeispiel, aber hohes Risiko denkbar. Absatz 1 gilt eigenständig weiter. Dazu kommen die Positivlisten der Aufsichtsbehörden nach Absatz 4, die je Bundesland gesondert zu prüfen sind.
- Kein hohes Risiko erkennbar. Die Einschätzung gehört mit ihrer Begründung dokumentiert. Absatz 11 verlangt eine Überprüfung, wenn sich das Risiko ändert.
Das Wort „insbesondere“ in Absatz 3 ist der Grund, warum das mittlere Feld existiert: Die Liste ist nicht abschließend. Ein Ergebnis „keiner der drei Fälle“ ist deshalb keine Entwarnung, sondern nur die Aussage, dass der Katalog der Regelbeispiele nicht greift. Die vier Mindestinhalte des Absatzes 7 und der vollständige Ablauf stehen in unserem Beitrag zur Datenschutz-Folgenabschätzung nach Art. 35.
Der AV-Vertrag ist das einzige Dokument mit einem Gegenüber
Art. 28 Abs. 3 Satz 1 DSGVO verlangt sechs Rahmenangaben: Gegenstand und Dauer der Verarbeitung, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten, die Kategorien betroffener Personen sowie die Pflichten und Rechte des Verantwortlichen. Satz 2 fügt acht Pflichten des Auftragsverarbeiters hinzu, von der Verarbeitung nur auf dokumentierte Weisung bis zur Pflicht, Nachweise zur Verfügung zu stellen und Überprüfungen zu ermöglichen.
Praktisch heißt das: Dieses Dokument entsteht nicht am Schreibtisch, sondern in der Abstimmung mit dem Dienstleister. Es ist damit das Dokument mit der längsten Vorlaufzeit und gehört deshalb früh angestoßen, auch wenn es in der Reihenfolge der Auslöser zuletzt kommt. Welche vierzehn Angaben im Einzelnen zu belegen sind, führt unser Beitrag zu den Pflichtangaben des Art. 28 DSGVO auf.
- Verarbeitungen sammeln Jede Tätigkeit, bei der personenbezogene Daten anfallen: Bewerbung, Lohn, Kundenkonto, Newsletter, Videoüberwachung. Das ist die Grundlage für alles Weitere.
- Verzeichnis nach Art. 30 aufsetzen Die sieben Angaben je Verarbeitung. Die beiden Angaben unter „wenn möglich“ als solche kennzeichnen, statt sie wegzulassen oder zur Pflicht zu erklären.
- Externe Stellen markieren und AV-Verträge anstoßen Jeder Empfänger im Verzeichnis, der weisungsgebunden für Sie verarbeitet, braucht einen Vertrag nach Art. 28. Die Abstimmung dauert, also früh beginnen.
- Risikoprüfung je Verarbeitung Erst wenn die Liste steht, lässt sich Art. 35 Abs. 1 sinnvoll prüfen. Das Ergebnis gehört mit seiner Begründung ins Verzeichnis, auch wenn es „keine Folgenabschätzung erforderlich“ lautet.
BetroffenenRecht24 führt das Verzeichnis der Auftragsverarbeiter und hält je Vertrag fest, welche der vierzehn Pflichtangaben belegt sind. Es erzeugt keinen Vertragstext und prüft keinen fremden Vertrag rechtlich; das wäre Rechtsberatung. Und die Positivlisten der Aufsichtsbehörden nach Art. 35 Abs. 4 sind nicht hinterlegt, sie müssen zusätzlich geprüft werden.
Häufige Fragen
Welches Datenschutz-Dokument brauche ich zuerst?
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Es liefert die Liste, gegen die sich beide anderen Fragen überhaupt erst beantworten lassen: welche Verarbeitung riskant genug für eine Folgenabschätzung ist und welcher Dienstleister weisungsgebunden für Sie verarbeitet.
Gilt die 250-Mitarbeiter-Ausnahme bei Art. 30 DSGVO für mein Unternehmen?
In der Praxis fast nie. Die Ausnahme des Art. 30 Abs. 5 DSGVO entfällt schon, wenn eine von drei Bedingungen zutrifft: Risiko für die Rechte und Freiheiten, Verarbeitung nicht nur gelegentlich, oder besondere Kategorien nach Art. 9 beziehungsweise Daten nach Art. 10. Eine laufende Lohnabrechnung erfüllt bereits die zweite.
Reicht es, wenn ich keine der drei Fallgruppen aus Art. 35 Abs. 3 erfülle?
Nein. Absatz 3 sagt „insbesondere“ und ist damit keine abschließende Liste. Art. 35 Abs. 1 DSGVO gilt eigenständig weiter, und die Aufsichtsbehörden führen nach Absatz 4 eigene Listen von Verarbeitungen, für die eine Folgenabschätzung verpflichtend ist.
Muss ein AV-Vertrag auf Papier unterschrieben sein?
Nein. Art. 28 Abs. 9 DSGVO verlangt Schriftform und stellt ausdrücklich klar, dass ein elektronisches Format genügt. Dasselbe gilt nach Art. 30 Abs. 3 DSGVO für das Verarbeitungsverzeichnis.
Das Wichtigste in Kürze
Verzeichnis, Folgenabschätzung und Auftragsverarbeitungsvertrag haben drei verschiedene Auslöser. Das Verzeichnis nach Art. 30 DSGVO knüpft an jede Verarbeitung an, die Folgenabschätzung nach Art. 35 DSGVO an ein voraussichtlich hohes Risiko, der Vertrag nach Art. 28 DSGVO an die weisungsgebundene Verarbeitung durch eine externe Stelle.
Deshalb beginnt die Arbeit beim Verzeichnis: Es liefert die Liste, gegen die sich die beiden anderen Fragen beantworten lassen. Und zwei Ergebnisse sind ausdrücklich keine Entwarnung: Die 250-Ausnahme des Art. 30 Abs. 5 entfällt schon bei einer von drei Bedingungen, und „keines der Regelbeispiele des Art. 35 Abs. 3“ lässt Absatz 1 unberührt.
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung. Die Bewertung im Einzelfall bleibt Aufgabe des Verantwortlichen – wenden Sie sich dafür an fachkundige Beratung.