Müssen Sie ein Verarbeitungsverzeichnis führen?
Prüfen Sie die Verzeichnispflicht für eine konkrete Verarbeitung. Unter 250 Beschäftigten kommt die Erleichterung des Art. 30 Abs. 5 DSGVO in Betracht; eine von drei Bedingungen kann sie für diese Verarbeitung ausschließen. Die Arbeitsunterlage hält Ihre Angaben, offene Fragen, Quellen und nächste Schritte fest. Andere Verarbeitungstätigkeiten sind gesondert zu prüfen.
Inhalt aktualisiert:
Betrachten Sie eine konkrete Verarbeitung. Die Beschäftigtenzahl gilt für die Einrichtung, die drei Bedingungen für diese Verarbeitung. Ihre Auswahl wird zur Berechnung an unseren Server gesendet und nicht gespeichert.
Art. 30 Abs. 5 DSGVO, erste Bedingung.
Art. 30 Abs. 5 DSGVO, zweite Bedingung. Eine laufende Lohnabrechnung, eine gepflegte Kundendatei oder ein dauerhaft betriebener Newsletter sind „nicht nur gelegentlich“. In der Praxis trifft diese Bedingung fast jeden Betrieb.
Art. 30 Abs. 5 DSGVO, dritte Bedingung. Gesundheitsdaten von Beschäftigten – etwa Arbeitsunfähigkeitsbescheinigungen – fallen unter Art. 9.
Ihre Einordnung mit offenen Punkten und Arbeitsunterlage erscheint hier.
So geht es
- Beschäftigtenzahl eintragenAb 250 Beschäftigten ist die Frage entschieden, denn die Erleichterung des Abs. 5 greift erst darunter. Die Angabe ist freiwillig: Fehlt sie, fragt der Rechner die drei Bedingungen trotzdem ab.
- Die drei Bedingungen beantwortenRisiko für die Rechte und Freiheiten der betroffenen Personen, Verarbeitung nicht nur gelegentlich, besondere Kategorien nach Art. 9 Abs. 1 DSGVO oder Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO. Eine davon genügt.
- Pflichtlage und offene Angaben lesenEine auslösende Bedingung genügt auch bei fehlender Beschäftigtenzahl. Ohne auslösendes Merkmal bleiben fehlende Angaben offen. Für die Erleichterung müssen eine Zahl unter 250 und drei verneinte Bedingungen angegeben sein.
- Verzeichnis anlegenGeführt wird schriftlich, elektronisch genügt ausdrücklich (Art. 30 Abs. 3 DSGVO), und der Aufsichtsbehörde ist es auf Anfrage zur Verfügung zu stellen (Art. 30 Abs. 4 DSGVO).
Beispiel: Kundenanfragen bearbeiten
Das folgende fiktive Strukturbeispiel zeigt eine einzelne Verarbeitungstätigkeit eines kleinen Betriebs als Verantwortlicher: Anfragen annehmen und Angebote erstellen. Es ist kein vollständiges Verzeichnis und kein unverändert übernehmbares Rechtsmuster. Beschreiben Sie den Geschäftsablauf, nicht jede Software als eigene Tätigkeit; ein Programm kann mehrere Tätigkeiten unterstützen.
Zweck und Kategorien: Im Beispiel werden Interessenten und Ansprechpersonen von Kunden erfasst. Benötigt werden Name, geschäftliche Kontaktdaten, Anfrageinhalt und Angebotsdaten. Konkrete Kundennamen und einzelne Nachrichten gehören nicht als Beispieldatensätze in das Verzeichnis.
Verantwortlicher und Empfänger: Im eigenen Eintrag stehen die tatsächlichen Kontaktdaten des Verantwortlichen sowie gegebenenfalls weitere nach Art. 30 Abs. 1 lit. a DSGVO genannte Stellen. Empfängerkategorien werden am wirklichen Ablauf geprüft, etwa ein eingesetzter E-Mail- oder Hosting-Dienstleister. Das Beispiel behauptet nicht, dass jeder Betrieb dieselben Empfänger hat.
Drittlandübermittlungen: Prüfen Sie die tatsächlich genutzten Anbieter und Übermittlungen. Benennen Sie gegebenenfalls das Drittland oder die internationale Organisation. Die Dokumentation geeigneter Garantien verlangt Art. 30 Abs. 1 lit. e ausdrücklich im Fall des Art. 49 Abs. 1 Unterabsatz 2. Ein unbekannter Anbieterstand ist keine bestätigte Aussage, dass keine Drittlandübermittlung stattfindet.
Löschfristen und Schutzmaßnahmen: Legen Sie die vorgesehenen Fristen je Datenkategorie anhand Ihres Zwecks und einschlägiger Aufbewahrungspflichten fest. Eine pauschale Jahreszahl wäre hier ungeprüft. Beschreiben Sie tatsächlich vorhandene Maßnahmen, zum Beispiel auf zuständige Personen begrenzte Zugriffe. Art. 30 Abs. 1 lit. f und g stehen unter dem Vorbehalt „wenn möglich“; das Beispiel bescheinigt weder ein Löschkonzept noch ausreichende Sicherheit.
Vom Beispiel zum eigenen Verzeichnis: Die unten verlinkte Seite „Das Verzeichnis von Verarbeitungstätigkeiten erstellen“ führt zur bestehenden Erfassung im Konto. Dort legen Sie eine Tätigkeit an, füllen die sieben Felder für Verantwortliche, prüfen offene Angaben und laden das Verzeichnis herunter. Das Lesebeispiel wird nicht automatisch in Ihr Konto übernommen. Vorlagen einer Aufsichtsbehörde können beim Strukturieren helfen; ihre Angaben müssen zum eigenen Ablauf passen. Für Auftragsverarbeiter gilt der andere Katalog des Art. 30 Abs. 2.
Die Erleichterung ist eng, ihre Rückausnahme ist weit
Art. 30 Abs. 5 DSGVO nimmt Unternehmen und Einrichtungen mit weniger als 250 Mitarbeitern aus. Das Wort „weniger“ grenzt scharf ab: Bei genau 250 gilt die Pflicht ohne Umweg. Darunter hängt alles an drei Bedingungen, und es genügt eine einzige, damit die Erleichterung entfällt – Risiko für die Rechte und Freiheiten, Verarbeitung nicht nur gelegentlich, oder besondere Kategorien nach Art. 9 beziehungsweise Daten nach Art. 10.
Die vom Europäischen Datenschutzausschuss übernommene Position der Artikel-29-Gruppe ordnet eine regelmäßige Lohnabrechnung als nicht nur gelegentliche Verarbeitung ein. Dafür ist ein Verzeichniseintrag nötig. Andere Verarbeitungstätigkeiten desselben kleinen Betriebs können unter die Ausnahme fallen, wenn für sie keine der drei Bedingungen zutrifft. Die Pflicht ist deshalb je Verarbeitung zu prüfen; eine ausgelagerte Lohnabrechnung oder die Rechtsform allein belegt keine pauschale Befreiung.
Was Sie mit der Arbeitsunterlage weitergeben können
Die TXT-Datei und der Druck enthalten die Einordnung, jede Antwort einschließlich offener Angaben, Quellenstand und nächste Schritte. Die Ausgabe beruht auf Ihren Angaben und bescheinigt keine Befreiung. Eine fehlende Beschäftigtenzahl ist auch bei drei Nein keine bestätigte Zahl unter 250.
Ergänzen Sie die betrachtete Tätigkeit, Ihre Begründungen und Fundstellen erst in Ihrer eigenen geschützten Ablage. Die Website fragt keine konkreten Kundendaten ab und speichert diese Arbeitsunterlage nicht. Nach einer Korrektur wird das alte Ergebnis entfernt; erstellen Sie die Unterlage erneut.
Zwei Rollen, zwei Verzeichnisse
Wer im Auftrag eines anderen verarbeitet, führt ein eigenes Verzeichnis mit anderen Angaben (Art. 30 Abs. 2 DSGVO). Viele Betriebe sind beides zugleich: verantwortlich für die Daten der eigenen Beschäftigten und Kunden, Auftragsverarbeiter für die Daten ihrer Auftraggeber. Die Frage nach der Pflicht ist dann zweimal zu stellen.
Der Rechner beantwortet sie entlang der drei Bedingungen des Abs. 5. Welche Angaben danach in welches Verzeichnis gehören, unterscheidet sich je nach Rolle; der Katalog für Verantwortliche steht in Art. 30 Abs. 1 DSGVO und umfasst sieben Angaben, von denen zwei unter dem Vorbehalt „wenn möglich“ stehen.
Quellen und amtliche Anlaufstellen
- Art. 30 DSGVO: Verzeichnis von Verarbeitungstätigkeiten
- EDPB: übernommene WP29-Position zur Ausnahme nach Art. 30 Abs. 5
- Bayerisches Landesamt für Datenschutzaufsicht: anpassbare Muster
Häufige Fragen
Wir haben zwölf Beschäftigte – sind wir befreit?
Die Zahl allein entscheidet nichts. Sie öffnet nur die Tür zur Erleichterung des Art. 30 Abs. 5 DSGVO; ob diese greift, hängt an den drei Bedingungen. In vielen Kleinbetrieben trifft schon die laufende Lohnabrechnung eine davon.
Was gilt als „nicht nur gelegentlich“?
Die Verordnung definiert es nicht. Die Aufsichtsbehörden stellen auf die Regelmäßigkeit ab: Was zum laufenden Betrieb gehört, erfolgt nicht gelegentlich. Diese Einschätzung gehört dokumentiert und nicht geschätzt, denn sie entscheidet über die Pflicht.
Was passiert, wenn die Aufsichtsbehörde fragt und nichts vorliegt?
Art. 30 Abs. 4 DSGVO verlangt, das Verzeichnis auf Anfrage zur Verfügung zu stellen. Wer erst dann anfängt, schreibt es unter Zeitdruck und aus Angaben, die im Betrieb verstreut liegen. Die ehrlichere Frage ist deshalb nicht, ob es sein muss, sondern wie lange es dauert.
Muss die Prüfung wiederholt werden?
Sie gehört an jede Änderung: Die Beschäftigtenzahl kann steigen, und eine neue Verarbeitung kann eine der drei Bedingungen erfüllen. Ein fester Jahresrhythmus steht dazu nicht im Gesetz.
Alle Funktionen inklusive. Keine Kreditkarte.
Verzeichnis im Konto führenDrei Bedingungen einzeln abgefragt · Offene Frage gilt nicht als Nein · Rechnet ohne Anmeldung
Ob eine der drei Bedingungen des Art. 30 Abs. 5 DSGVO zutrifft, entscheidet der Verantwortliche. BetroffenenRecht24 dokumentiert Fristen und stellt Textbausteine bereit, es ist keine Rechtsberatung im Einzelfall; die Bewertung bleibt beim Verantwortlichen.