Art. 30 DSGVO im Mittelstand: Wann das Verzeichnis von Verarbeitungstätigkeiten zur Pflicht wird

Art. 30 DSGVO verpflichtet seit dem 25. Mai 2018 jeden Verantwortlichen und jeden Auftragsverarbeiter, ein Verzeichnis aller Verarbeitungstätigkeiten zu führen. Die in Art. 30 Abs. 5 DSGVO genannte Ausnahme für Unternehmen unter 250 Beschäftigten wird im Mittelstand häufig als Generalbefreiung gelesen. Sie ist es nicht. Drei Rückausnahmen, die nach Auslegung der Datenschutzkonferenz und der Aufsichtsbehörden bereits einzeln greifen, hebeln die Schwelle in der Praxis fast immer aus, sobald regelmäßig Beschäftigtendaten, Kunden- oder Lieferantendaten verarbeitet werden. Wer Personal hat, ist verzeichnispflichtig. So einfach lässt sich die Rechtslage in einem Satz zusammenfassen.

Aufsichtsbehörden wie der LfDI Baden-Württemberg, der LfD Bayern und die DSK halten in ihren Kurzpapieren ausdrücklich fest, dass die meisten KMU verzeichnispflichtig sind. Wer bei einer anlassbezogenen Prüfung kein vollständiges Verzeichnis vorlegt, riskiert ein Bußgeld nach Art. 83 Abs. 4 DSGVO bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Konzernumsatzes. Dieser Beitrag erklärt die Pflicht im Detail, die Inhalte nach Art. 30 Abs. 1 und 2 DSGVO sowie die Struktur, mit der das Verzeichnis bei einer Prüfung tragfähig bleibt. Er zeigt zudem die zweite Pflichtebene für Auftragsverarbeiter, die in der Praxis oft übersehen wird, und die zwölf typischen Verarbeitungstätigkeiten, mit denen jedes KMU starten sollte.

Art. 30 Abs. 1 DSGVO verpflichtet den Verantwortlichen, ein Verzeichnis aller Verarbeitungstätigkeiten zu führen, die seiner Zuständigkeit unterliegen. Das Verzeichnis muss schriftlich, auch elektronisch, geführt werden und enthält neun Mindestangaben: Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des gemeinsam Verantwortlichen und des Datenschutzbeauftragten, die Zwecke der Verarbeitung, eine Beschreibung der Kategorien betroffener Personen und personenbezogener Daten, Kategorien von Empfängern, Übermittlungen in Drittländer mit Schutzgarantien, vorgesehene Löschfristen sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

Art. 30 Abs. 2 DSGVO regelt das Verzeichnis des Auftragsverarbeiters separat. Es ist schlanker, verlangt aber zwingend die Kategorien der im Auftrag durchgeführten Verarbeitungen je Verantwortlichem. Beide Verzeichnisse sind auf Anforderung der Aufsichtsbehörde nach Art. 30 Abs. 4 DSGVO unverzüglich vorzulegen. Die Frist ist nicht starr geregelt, in Bayern und Nordrhein-Westfalen verlangen die Aufsichtsbehörden in Auskunftsersuchen regelmäßig eine Reaktion binnen 14 Tagen. Eine spätere Nachreichung wird als Pflichtverletzung gewertet und kann den Bußgeldrahmen nach Art. 83 Abs. 4 DSGVO öffnen.

Wer einen externen Datenschutzbeauftragten bestellt hat, dokumentiert dessen Daten unter den Verantwortlichen-Angaben. Die Bestellung muss durch eine Bestellurkunde belegt sein, die Bestellung muss an die Aufsichtsbehörde gemeldet sein, und die Berichtslinie an die Geschäftsführung muss in der Organisationsdokumentation sichtbar sein. Bestellurkunde, unterschrieben, abgelegt, belegbar. Der Verantwortliche bleibt verantwortlich auch wenn die operative Führung des Verzeichnisses an den DSB oder eine externe Stelle delegiert ist. Eine reine Outsourcing-Klausel ohne dokumentierte Berichtswege gilt aufsichtsrechtlich als Scheindelegation und schützt die Geschäftsführung nicht vor persönlicher Haftung. Wer die Aufgabe an eine Wirtschaftsprüfungsgesellschaft oder einen externen Dienstleister übergibt, muss die Berichtslinie, die Eskalationsregeln und die Reaktionsfristen vertraglich fixieren und auditierbar halten.

Art. 30 Abs. 5 DSGVO nimmt Unternehmen und Einrichtungen mit weniger als 250 Beschäftigten von der Verzeichnispflicht aus, allerdings nur unter drei Bedingungen, die einzeln eine Rückausnahme auslösen. Die Ausnahme entfällt erstens, sobald die Verarbeitung ein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt. Sie entfällt zweitens, wenn die Verarbeitung nicht nur gelegentlich erfolgt. Sie entfällt drittens, sobald besondere Kategorien personenbezogener Daten gemäß Art. 9 Abs. 1 DSGVO oder Daten zu strafrechtlichen Verurteilungen nach Art. 10 DSGVO verarbeitet werden. Sobald eine dieser drei Rückausnahmen greift, besteht die volle Verzeichnispflicht für sämtliche Tätigkeiten, nicht nur für die rückausnahmebegründende.

In der Beratungspraxis bedeutet das: Lohnabrechnung, Bewerbungsmanagement, Kundendatenbanken im CRM, Newsletter und Videoüberwachung sind dauerhafte und nicht nur gelegentliche Verarbeitungen. Sobald Gesundheitsdaten in der Personalabteilung verarbeitet werden, also Krankschreibungen, Schwerbehindertenakten oder BEM-Verfahren nach § 167 SGB IX, ist Art. 9 DSGVO einschlägig. Auch eine Compliance-Hotline mit möglichen Hinweisen auf strafrechtlich relevantes Verhalten triggert Art. 10 DSGVO. Religionszugehörigkeit für die Kirchensteuerberechnung in der Lohnabrechnung ist eine besondere Kategorie nach Art. 9 Abs. 1 DSGVO.

Die DSK hat im Kurzpapier Nr. 1 klargestellt, dass die Ausnahme in der Regel nicht greift. Aufsichtsbehörden gehen seit 2019 standardmäßig davon aus, dass jedes KMU mit Personal verzeichnispflichtig ist. Die Beweislast für eine Ausnahme liegt nach Art. 5 Abs. 2 DSGVO beim Verantwortlichen, nicht bei der Aufsichtsbehörde. Wer sich auf die Ausnahme berufen will, muss dokumentieren, dass alle drei Bedingungen kumulativ erfüllt sind, dass also kein Risiko vorliegt, keine dauerhafte Verarbeitung stattfindet und keine besonderen Kategorien betroffen sind. In der Praxis gelingt diese Dokumentation Mikrobetrieben ohne Angestellte und ohne Kundendatenbank, sonst nicht.

Ein verwertbares Verzeichnis listet je Verarbeitungstätigkeit mindestens elf Felder. Erstens: laufende Nummer und sprechender Titel, etwa Personalakte, Bewerbungsmanagement, Lohnabrechnung, Videoüberwachung Werkstor. Zweitens: Fachbereich und Prozessverantwortlicher mit Namen, weil bei Prüfungen schnell ein Ansprechpartner benannt sein muss. Drittens: Zweck der Verarbeitung, präzise formuliert nach den eigentlichen Geschäftszielen, nicht in Generalformeln wie Personalverwaltung. Viertens: Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO, bei besonderen Kategorien zusätzlich Art. 9 Abs. 2 mit der konkreten Tatbestandsalternative. Fünftens: Kategorien betroffener Personen, etwa Beschäftigte, Bewerber, Kunden, Lieferanten, Besucher. Sechstens: Kategorien personenbezogener Daten, gegliedert nach Stammdaten, Vertragsdaten, Kommunikationsdaten, gegebenenfalls Gesundheitsdaten oder Bankdaten.

Siebtens: Empfänger oder Kategorien von Empfängern, inklusive Auftragsverarbeiter mit AVV-Verweis und Vertragsdatum. Achtens: Drittlandübermittlungen mit Schutzgarantien nach Kapitel V DSGVO, etwa Standardvertragsklauseln 2021/914, Angemessenheitsbeschluss oder verbindliche interne Datenschutzvorschriften. Neuntens: Löschfristen oder Aufbewahrungsfristen mit Rechtsgrundlage, etwa § 257 HGB für Geschäftsbriefe, § 147 AO für steuerlich relevante Unterlagen, § 199 BGB für vertragsbezogene Daten. Zehntens: Verweis auf das TOM-Dokument nach Art. 32 DSGVO mit Versionsstand. Elftens: Verknüpfung zur Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, sofern eine durchgeführt wurde oder eine Schwellwertanalyse erforderlich ist.

Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Wer diese elf Felder konsequent ausfüllt, hat ein Verzeichnis, das nicht nur Art. 30 DSGVO genügt, sondern als Steuerungsdokument für die gesamte Datenschutz-Organisation taugt. Aufsichtsbehörden bewerten die Tiefe der Angaben auch als Indikator für die Reife der Compliance-Organisation, was bei Bußgeldbemessungen nach Art. 83 Abs. 2 DSGVO eingepreist wird. In jüngeren Bußgeldbescheiden der niederländischen und der baden-württembergischen Behörde finden sich explizite Hinweise darauf, dass ein detailliertes und konsistentes Verzeichnis mildernd, ein lückenhaftes oder widersprüchliches Verzeichnis erschwerend gewertet wurde.

Wer ein VVT aus dem Stand aufbaut, beginnt sinnvollerweise mit den 15 bis 25 Verarbeitungstätigkeiten, die in nahezu jedem mittelständischen Unternehmen vorkommen. Im Personalbereich sind das Bewerbungsmanagement, Personalaktenführung, Lohn- und Gehaltsabrechnung, Zeiterfassung, betriebliches Eingliederungsmanagement nach § 167 SGB IX, betriebliche Altersversorgung, Mitarbeiterbeurteilungen, Onboarding und Offboarding. Bereits in dieser Gruppe liegen regelmäßig besondere Kategorien nach Art. 9 DSGVO vor, etwa Religionszugehörigkeit für die Kirchensteuer, Schwerbehindertenstatus, Gesundheitsdaten im BEM oder Gewerkschaftszugehörigkeit über die Lohnabrechnung. Das allein hebt die Ausnahme nach Art. 30 Abs. 5 DSGVO auf.

Im operativen Bereich gehören Kundenstammdaten, CRM-Vertriebsdaten, Bestell- und Rechnungswesen, Reklamationsbearbeitung, Forderungsmanagement und Inkasso, Newsletter- und Marketingversand sowie Webseiten-Tracking dazu. Hinzu kommen Videoüberwachung mit eigener Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO, Zutrittskontrolle, Telefonanlage mit Verbindungsdaten und gegebenenfalls eine Compliance- oder Hinweisgeber-Hotline nach HinSchG. Letztere ist als eigene Tätigkeit zu führen, weil sie nach Art. 10 DSGVO besonders sensibel ist und eine eigene Berichtslinie zur internen Meldestelle braucht.

Ergänzende Tätigkeiten je nach Branche sind Patientenakten in der Gesundheitswirtschaft, Schülerdaten in Bildungseinrichtungen, Mandatsdaten in Kanzleien, Versicherungsnehmerdaten bei Maklern, Bonitätsdaten im Handel, Bewerberscoring im Recruiting, Telematikdaten in der Logistik, Standortdaten in der Außendienststeuerung oder biometrische Zutrittssysteme in Produktion und Forschung. Wer diese Liste systematisch durchgeht, deckt erfahrungsgemäß 80 Prozent der prüfungsrelevanten Verarbeitungen ab und kann den Rest, etwa Forschungsprojekte oder branchenspezifische Verarbeitungen, gezielt ergänzen. Die 490 einsatzbereiten Audit-Vorlagen der CIVAC-Plattform decken diese Standardtätigkeiten als Templates ab, was die Erstanlage von Wochen auf Tage verkürzt. Die Templates enthalten bereits die typischen Rechtsgrundlagen, die üblichen Empfängerkategorien und die im KMU üblichen Löschfristen mit Rechtsgrundlage, sodass das ausfüllende Fachgespräch in einem Workshop von zwei bis drei Stunden je Fachbereich abgeschlossen werden kann.

Auftragsverarbeiter unterliegen einer eigenständigen Pflicht. Art. 30 Abs. 2 DSGVO verlangt von ihnen ein separates Verzeichnis, das pro auftraggebendem Verantwortlichen die Kategorien der durchgeführten Verarbeitungen ausweist. Pflichtangaben sind Name und Kontaktdaten des Auftragsverarbeiters, der Vertreter nach Art. 27 DSGVO sofern einschlägig, gegebenenfalls des Datenschutzbeauftragten, die Kategorien der im Auftrag durchgeführten Verarbeitungen, Drittlandübermittlungen mit Schutzgarantien sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen. Die Angaben sind deutlich knapper als beim Verantwortlichen-Verzeichnis, aber strukturell genauso strikt geführt und genauso vorlagepflichtig nach Art. 30 Abs. 4 DSGVO.

In der Praxis betrifft das jedes KMU, das IT-Hosting, Cloud-Dienste, Lohnabrechnung im Outsourcing, Marketing-Agenturleistungen oder Wartung mit Datenzugriff für andere erbringt. Wer als IT-Dienstleister, Steuerberater, Personaldienstleister, Lettershop, Callcenter oder Wartungsbetrieb tätig ist, ist regelmäßig Auftragsverarbeiter und muss das eigene Verzeichnis zusätzlich zum Verantwortlichen-VVT führen. Die 250-Schwelle gilt formal auch hier, in der Praxis wird sie ebenso durch die Rückausnahmen ausgehebelt. Ein Hosting-Anbieter, der für Mandanten Personaldaten oder Patientendaten verarbeitet, bewegt sich automatisch in Art. 9-Territorium.

Doppelrollen sind häufig: Ein Unternehmen kann für die eigene Lohnabrechnung Verantwortlicher und gleichzeitig für Kundenaufträge Auftragsverarbeiter sein. Dann sind zwei Verzeichnisse zu führen, sauber getrennt, mit klar dokumentierter Rolle pro Tätigkeit. Frist läuft ab Kenntnis: Wer eine Anfrage einer Aufsichtsbehörde erhält und kein Verzeichnis vorlegen kann, hat keinen Spielraum für Nachbesserung. Die Aufsichtsbehörde wertet das fehlende Verzeichnis als eigenständigen Verstoß und prüft regelmäßig parallel, ob auch die AVV nach Art. 28 DSGVO und die TOM nach Art. 32 DSGVO vorhanden sind.

Art. 30 Abs. 3 DSGVO lässt offen, ob das Verzeichnis als Excel, Datenbank oder spezialisiertes Tool geführt wird. Die DSK verlangt aber Aktualität, Vollständigkeit und Vorlagefähigkeit. In der Praxis scheitern Verzeichnisse aus drei Gründen: Sie sind älter als zwölf Monate und bilden den aktuellen Verarbeitungsstand nicht ab, sie listen Tätigkeiten ohne Verknüpfung zu AVV, TOM und DSFA, oder sie sind in unterschiedlichen Systemen gepflegt und widersprechen sich. Aufsichtsbehörden achten zunehmend auf interne Konsistenz: Wer im VVT eine Datenübermittlung in die USA dokumentiert, muss den passenden AVV mit Standardvertragsklauseln und eine Transfer Impact Assessment vorhalten, die zum Datum der Verarbeitung passt.

Belegtiefe heißt: Jede Aussage im Verzeichnis muss aus einem hinterlegten Dokument abgeleitet sein. Der AVV liegt versioniert vor, die TOM ist als eigenes Dokument nach Art. 32 DSGVO mit ISO/IEC 27001:2022-Bezug strukturiert, die Löschkonzepte sind in einem eigenen Löschklassen-Dokument hinterlegt, die Bestellurkunde des DSB ist verlinkt, die Meldung an die Aufsichtsbehörde nach Art. 37 Abs. 7 DSGVO ist dokumentiert. Wer in einer Prüfung eine Lücke zwischen VVT-Angabe und Belegdokument zeigt, signalisiert systemische Organisationsmängel und öffnet den Bußgeldrahmen.

Die CIVAC-Plattform verknüpft das Verzeichnis automatisch mit der DSB-Bestellurkunde, den 490 einsatzbereiten Audit-Vorlagen, dem AVV-Register und dem DSFA-Modul, in einer EU-Datenresidenz nach ISO/IEC 27001:2022 mit 93 Controls. Bestellurkunde, unterschrieben, abgelegt, belegbar. Der Prüfer ruft an, der Nachweis liegt bereit. Versionierung mit Änderungshistorie ist Standard, weil sie bei Prüfungen den Nachweis ermöglicht, dass das VVT lebendig geführt wird und nicht nur einmalig als Pflichtübung erstellt wurde.

Die DSGVO nennt keine starre Aktualisierungsfrequenz, fordert aber, dass das Verzeichnis jederzeit den tatsächlichen Verarbeitungsstand abbildet. In der Beratungspraxis hat sich ein zweistufiger Rhythmus etabliert. Anlassbezogen wird jede neue Verarbeitungstätigkeit unmittelbar bei Aufnahme erfasst, also vor dem ersten Verarbeitungsvorgang. Das betrifft typischerweise die Einführung neuer Software, neue Marketingkampagnen, neue Auftragsverarbeiter, geänderte Empfänger oder veränderte Rechtsgrundlagen. Spätestens jährlich erfolgt ein vollständiger Review aller Tätigkeiten gegen die Realität der Prozesse, üblicherweise als VVT-Audit mit den Fachbereichen, dokumentiert mit Datum, Teilnehmern und Änderungsprotokoll.

Trigger für eine Aktualisierung sind neben Prozessänderungen auch Wechsel von Auftragsverarbeitern, neue Drittlandübermittlungen, neue Schutzgarantien nach Kapitel V DSGVO, Bußgeldverfahren oder Anpassungen der Aufbewahrungsfristen durch Gesetzgeber oder Rechtsprechung. Wer Lohnabrechnung von intern auf einen externen Dienstleister auslagert, muss die Tätigkeit im VVT aktualisieren, den AVV abschließen, die Empfängerkategorien ergänzen und gegebenenfalls die Betroffenen über die geänderte Verarbeitung nach Art. 13 oder 14 DSGVO informieren. Audit-fest, dokumentiert, § 30-fest.

Eine Versionierung mit Änderungshistorie ist sinnvoll, weil sie bei Prüfungen den Nachweis ermöglicht, dass das VVT lebendig geführt wird und nicht nur einmalig als Pflichtübung erstellt wurde. Die CIVAC-Plattform legt jede Änderung mit Zeitstempel, Bearbeiter und Vorher-Nachher-Vergleich ab. Bei einem Aufsichtsersuchen lässt sich auf einen Knopfdruck der historische Stand zu einem beliebigen Stichtag rekonstruieren, was bei Bußgeldverfahren mit Bezug auf einen vergangenen Vorfall entscheidend sein kann. Wer ohne Versionierung arbeitet, muss bei Bedarf aus Backups rekonstruieren und liefert damit selbst Indizien für ein unzureichendes Compliance-System. Die Beweiserleichterung zugunsten des Verantwortlichen, die ein lückenlos versionierter Stand bietet, schlägt sich auch in Schadensersatzverfahren nach Art. 82 DSGVO nieder, wo der Nachweis ordnungsgemäßer Organisation der Anspruchsabwehr dient.

Verstöße gegen Art. 30 DSGVO fallen unter den Bußgeldrahmen des Art. 83 Abs. 4 DSGVO: bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Konzernumsatzes des vorangegangenen Geschäftsjahres, je nachdem, welcher Betrag höher ist. In der Sanktionspraxis europäischer Aufsichtsbehörden taucht ein fehlendes oder unvollständiges Verzeichnis selten als einziger Verstoß auf, regelmäßig aber als Begleitvorwurf in Bußgeldverfahren wegen Datenpannen, mangelnder TOM oder unzureichender Information der Betroffenen. Die niederländische Autoriteit Persoonsgegevens und die spanische AEPD haben in mehreren Verfahren das fehlende Verzeichnis als bußgelderhöhend gewertet, weil es als Indikator für systemische Organisationsmängel verstanden wird.

Hinzu kommen indirekte Risiken: Bei einer Datenpanne nach Art. 33 DSGVO mit 72-Stunden-Meldepflicht erwartet die Aufsichtsbehörde die Vorlage des Verzeichnisses, um den betroffenen Verarbeitungsumfang zu beurteilen. Wer hier nicht liefert, signalisiert Organisationsverschulden. Geschäftsführungen haften nach § 130 OWiG für Aufsichtspflichtverletzungen persönlich, was bei Beträgen oberhalb der Versicherungssumme der D&O-Police direkte Vermögensrisiken auslöst. Auch Schadensersatzansprüche nach Art. 82 DSGVO werden in der Rechtsprechung des EuGH und des BGH zunehmend bejaht, wenn der Verantwortliche kein belastbares Compliance-System nachweisen kann.

In Beschaffungsverfahren und Lieferantenaudits, insbesondere bei Banken, Versicherungen, Behörden und kritischen Infrastrukturen nach NIS-2, ist die Vorlage des VVT inzwischen Standardanforderung. Wer kein verwertbares Verzeichnis hat, scheidet aus Ausschreibungen aus oder verliert Bestandsverträge. Bei Übernahmen und Due-Diligence-Prüfungen wird das VVT als Indikator für die Datenschutz-Reife bewertet und beeinflusst Kaufpreis oder Garantieumfang. Frist läuft ab Kenntnis. Das gilt nicht nur für Datenpannen, sondern auch für Aufsichtsersuchen, die regelmäßig ohne Vorankündigung eintreffen.

Ein VVT ist kein Selbstzweck. Es ist das zentrale Steuerungsdokument der gesamten Datenschutz-Organisation: Es verbindet Bestellurkunde, AVV-Register, TOM, DSFA, Löschkonzepte, Informationspflichten nach Art. 13 und 14 DSGVO sowie die Berichtslinie an die Geschäftsführung. Wer das Verzeichnis isoliert in einer Excel-Datei führt, verliert genau diese Verbindungen und damit die Audit-Festigkeit. Wer es als Steuerungsdokument begreift, hat mit einem belastbaren VVT 60 Prozent der Datenschutz-Pflichtdokumentation erschlagen. Der Rest ergibt sich aus konsequenter Anknüpfung an die elf Felder je Tätigkeit.

CIVAC ist als Compliance-Plattform und Officer-as-a-Service genau für diese Verzahnung gebaut. Der Workspace führt das Verzeichnis automatisch gegen den AVV-Bestand, die 490 Audit-Vorlagen und die DSFA, in einer EU-Datenresidenz nach ISO/IEC 27001:2022. Die Berichtslinie an die Geschäftsführung ist als Funktion abgebildet, die Bestellurkunde ist generiert, unterschriftsreif und mit der Meldung an die Aufsichtsbehörde verknüpft. Die 25 Beauftragten-Rollen sind alle live, vom DSB über den ISB bis zum Compliance-Beauftragten. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen.

Bei der CIVAC-SLA von zwei Werktagen ist die Bestellurkunde unterschrieben, das Verzeichnis aufgesetzt und der erste Audit-Termin geplant, bevor die klassische Beratung den zweiten Termin verschickt hat. Wenn Sie das Verzeichnis für Ihr Unternehmen prüfen lassen oder aufbauen wollen, machen Sie aus dem Lesen einen Auftrag. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de. Wir antworten innerhalb eines Werktags mit einem konkreten Vorschlag, der Rolle, Umfang, Berichtslinie und SLA verbindlich macht. Aus dem Lesen einen Auftrag machen.