Verzeichnis von Verarbeitungstätigkeiten: was hinein muss und wie es aktuell bleibt

Wer ein Verzeichnis braucht

Die DSGVO kennt eine Ausnahme für Organisationen unter 250 Beschäftigten. Sie greift aber nur, wenn die Verarbeitung kein Risiko birgt, nur gelegentlich erfolgt und keine besonderen Daten betrifft. Schon die monatliche Gehaltsabrechnung erfolgt nicht gelegentlich. Wer Gesundheits- oder Sozialdaten verarbeitet, etwa in Pflege, Eingliederungshilfe, Beratung oder im Krankenhaus, fällt ohnehin heraus. In der Praxis braucht also fast jede Organisation ein Verzeichnis. Auch wo keine Pflicht besteht, ist das Verzeichnis die Grundlage für Auskunft, Löschung und Nachweis gegenüber der Aufsicht.

Die 7 Pflichtangaben

Nicht Pflicht, aber in der Praxis wertvoll: die Rechtsgrundlage, die beteiligten Systeme, der Verweis auf den Vertrag zur Auftragsverarbeitung und ein Vermerk, ob eine Datenschutz-Folgenabschätzung nötig ist.

Nach Zweck gliedern, nicht nach Software

Der häufigste Fehler: Das Verzeichnis listet Programme auf. „Personalsoftware“ ist aber keine Verarbeitungstätigkeit. Dahinter stecken Bewerbungsverfahren, Gehaltsabrechnung, Dienstplanung, Zeiterfassung und Fortbildungsnachweise, jede mit anderen Betroffenen, Empfängern und Löschfristen.

Typische Verarbeitungstätigkeiten bei einem Sozialträger:

• Bewerbungsverfahren und Personalakte
• Gehaltsabrechnung und Meldungen an die Sozialversicherung
• Dienst- und Einsatzplanung
• Pflege- und Betreuungsdokumentation
• Leistungsabrechnung mit Kranken- und Pflegekassen oder Eingliederungshilfe
• Beratung und Fallakten
• Spenden- und Mitgliederverwaltung
• Fahrdienst und Tourenplanung
• Videoüberwachung und Zugangskontrolle
• Website, Kontaktformular und Newsletter

In einer mittelgroßen Organisation kommen schnell 40 bis 80 Tätigkeiten zusammen. Ein Programm kann mehreren Tätigkeiten dienen, und eine Tätigkeit kann über mehrere Programme laufen. Genau diese Verbindung macht das Verzeichnis nützlich.

So entsteht es in 6 Schritten

1. Fachbereiche befragen: Eine Stunde je Bereich reicht für den Anfang. Gefragt wird nach Abläufen, nicht nach Datenschutz: Was tun Sie, mit welchen Daten, wer bekommt sie?
2. Nach Zweck ordnen: Aus den Gesprächen entsteht die Liste der Tätigkeiten.
3. Mit der Systemliste abgleichen: Jede Software und jeder Cloud-Dienst muss mindestens einer Tätigkeit zugeordnet sein. Was übrig bleibt, ist entweder überflüssig oder fehlt im Verzeichnis.
4. Empfänger und Verträge zuordnen: Wo ein Dienstleister Daten verarbeitet, gehört ein Vertrag zur Auftragsverarbeitung dazu.
5. Löschfristen festlegen: Aus gesetzlichen Aufbewahrungsfristen und dem Zweck. Daraus wird das Löschkonzept.
6. Zuständige benennen: Für jede Tätigkeit eine Person im Fachbereich, die Änderungen meldet, und ein fester Termin für die jährliche Durchsicht.

Die Schutzmaßnahmen beschreiben Sie einmal zentral und verweisen aus jeder Tätigkeit darauf. Das spart Arbeit und hält die Angaben einheitlich.

Warum Verzeichnisse veralten

Die meisten Verzeichnisse werden einmal gründlich erstellt, oft vor einer Prüfung, und liegen dann als Tabelle auf einem Laufwerk. Niemand ist zuständig. Neue Software wird eingeführt, ein Cloud-Dienst wird per Kreditkarte gebucht, ein Team nutzt ein KI-Werkzeug. Nichts davon landet im Verzeichnis. Nach zwei Jahren beschreibt es eine Organisation, die es so nicht mehr gibt.

So bleibt es aktuell

• Kein Kauf ohne Eintrag: Die Beschaffung fragt bei jeder neuen Software und jedem Dienst nach der Verarbeitungstätigkeit. Ohne Eintrag keine Bestellung.
• Keine Einführung ohne Eintrag: Der Eintrag steht auf der Checkliste vor dem Start, neben Rechten, Schulung und Vertrag.
• Zuständige im Fachbereich: Die Leitung eines Bereichs weiß zuerst, wenn sich ein Ablauf ändert. Sie meldet es, der Datenschutzbeauftragte prüft.
• Verknüpft statt verstreut: Verzeichnis, Verträge zur Auftragsverarbeitung, Löschkonzept und Schutzmaßnahmen verweisen aufeinander. Wer eines ändert, sieht, was am anderen hängt.
• Jährliche Durchsicht mit Datum: Bei jedem Eintrag steht das Datum der letzten Prüfung. Was älter als ein Jahr ist, fällt auf.

Wofür Sie es danach nutzen

Ein gepflegtes Verzeichnis ist kein Papier für die Aufsicht, sondern ein Arbeitsmittel:

• Auskunftsersuchen: Wer Auskunft über seine Daten verlangt, bekommt sie innerhalb eines Monats. Mit dem Verzeichnis wissen Sie, wo Sie suchen müssen.
• Datenpannen: Eine Meldung an die Aufsicht muss in 72 Stunden erfolgen. Das Verzeichnis zeigt sofort, welche Daten und Personen betroffen sind.
• Datenschutz-Folgenabschätzung: Das Verzeichnis zeigt, bei welchen Tätigkeiten das Risiko hoch ist und eine Folgenabschätzung nötig wird.
• KI-Einführung: Bevor ein KI-Assistent auf Daten zugreift, zeigt das Verzeichnis, welche Daten dort liegen und was erlaubt ist.
• NIS2 und IT-Sicherheit: Die Verbindung von Tätigkeiten, Daten und Systemen ist zugleich eine Grundlage für die Risikobewertung.

In großen und regulierten Organisationen

• Je Rechtsträger ein Verzeichnis. Ein Verein mit mehreren gGmbHs hat mehrere Verantwortliche, und jeder braucht sein eigenes Verzeichnis. Wo eine Gesellschaft für die anderen arbeitet, etwa bei der zentralen Gehaltsabrechnung, ist zu klären: Auftragsverarbeitung oder gemeinsame Verantwortung?
• Servicegesellschaften im Verbund. Wer für andere Gesellschaften IT oder Abrechnung übernimmt, führt zusätzlich ein Verzeichnis als Auftragsverarbeiter.
• Kirchliche Träger. Katholische und evangelische Einrichtungen arbeiten nach eigenem Datenschutzrecht. Auch dort ist ein Verzeichnis Pflicht, mit weitgehend gleichen Angaben.
• Krankenhäuser und öffentliche Stellen. Neben der DSGVO gelten Landesgesetze, etwa für Patientendaten. Sie ändern nicht die Pflicht zum Verzeichnis, aber oft Rechtsgrundlagen und Löschfristen.
• Gremien brauchen den Überblick. Vorstand und Aufsicht sind verantwortlich. Sie brauchen keine 80 Einträge, sondern die Antwort auf drei Fragen: Ist das Verzeichnis vollständig, ist es aktuell, wo liegen die hohen Risiken?

Wie Sie mit uns starten

Das Modul Verarbeitungsverzeichnis und Löschkonzept unserer Linie Struktur & Compliance erstellt beides mit Ihren Fachbereichen und legt fest, wer es künftig pflegt. Festpreis nach Zahl der Beschäftigten: bis 50 · 3.900 €, bis 250 · 4.800 €, bis 500 · 5.700 €, darüber auf Anfrage. Wenn Sie danach jemanden brauchen, der es aktuell hält und Auskunftsersuchen und Datenpannen begleitet, übernehmen wir die Rolle als externer Datenschutzbeauftragter: Einrichtung 1.900 €, danach 290 € im Monat bis 50 Beschäftigte, 490 € bis 250, darüber auf Anfrage, Laufzeit zwölf Monate.

→ Mehr zu Struktur & Compliance

Häufige Fragen

Vom Team der addonware GmbH, Bereich Struktur & Compliance. Stand: Oktober 2026.