Zum Inhalt springen
SimpleAct Logo

Leitfaden · DSGVO Art. 30

Stand: 4. Oktober 2026

Verarbeitungs­verzeichnis (VVT) nach Art. 30 DSGVO: Vorlage & Muster

Das Verzeichnis von Verarbeitungstätigkeiten ist die Grundlage Ihrer Datenschutzdokumentation – und das Erste, was eine Aufsichtsbehörde anfordert. Hier finden Sie alle Pflichtangaben als Tabelle, Muster für typische Verarbeitungen im Mittelstand, einen Generator für einzelne Einträge und eine kostenlose Excel-Vorlage.

VVT-Vorlage (Excel) herunterladenMuster-Generator öffnen

XLSX, ca. 28 KB · ohne Registrierung · Verantwortlicher und Auftragsverarbeiter, mit Beispielzeilen

  • Alle Pflichtangaben nach Art. 30 Abs. 1 und 2
  • Muster für 8 typische Verarbeitungen
  • Generator für einzelne VVT-Einträge
  • Kostenlose Excel-Vorlage
app.simpleact.de

Verarbeitungsverzeichnis

Demo Organisation GmbH · 4 Verarbeitungstätigkeiten

A

Verarbeitungstätigkeiten

  • BewerbermanagementPersonal · Art. 6 Abs. 1 lit. bFreigegeben
  • Lohn- und GehaltsabrechnungPersonal · AuftragsverarbeiterFreigegeben
  • KI-Assistent im KundenserviceVertrieb · KI-System verknüpftIn Prüfung
  • VideokonferenzenIT · Drittland prüfenEntwurf

Pflichtangaben „KI-Assistent“

5/7
  • Verantwortlicher
  • Zwecke
  • Betroffene & Daten
  • Empfänger
  • Drittland
  • Löschfristen
  • TOM

Beispieldaten · 2 Angaben offen

Kurz gesagt

Ein Verarbeitungsverzeichnis (VVT) listet alle Verarbeitungen personenbezogener Daten in Ihrem Unternehmen mit den Angaben aus Art. 30 DSGVO: Verantwortlicher, Zwecke, Betroffene, Datenkategorien, Empfänger, Drittlandübermittlungen, Löschfristen und TOM. Es ist schriftlich oder elektronisch zu führen und der Aufsichtsbehörde auf Anfrage vorzulegen. Fast jedes Unternehmen braucht eines.

Grundlagen

Was ein Verarbeitungs­verzeichnis ist – und wofür Sie es brauchen

Das Verzeichnis von Verarbeitungstätigkeiten, kurz VVT oder Verarbeitungsverzeichnis, ist in Art. 30 DSGVO geregelt. Jeder Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen (Abs. 1). Jeder Auftragsverarbeiter führt zusätzlich ein eigenes Verzeichnis der Tätigkeiten, die er im Auftrag anderer erledigt (Abs. 2). Das Verzeichnis ist schriftlich zu führen, ein elektronisches Format genügt (Abs. 3), und es wird der Aufsichtsbehörde auf Anfrage zur Verfügung gestellt (Abs. 4).

Erwägungsgrund 82 nennt den Zweck: Das Verzeichnis dient dem Nachweis, dass die Verordnung eingehalten wird, und soll der Aufsichtsbehörde ermöglichen, die Verarbeitungsvorgänge zu kontrollieren. Ein öffentliches Verzeichnis, in das jeder Einsicht nehmen kann, gibt es unter der DSGVO nicht mehr – anders als beim früheren Verfahrensverzeichnis nach dem alten BDSG. Auch eine Meldung an die Behörde ist nicht vorgesehen. Das VVT ist also ein internes Dokument, das jederzeit vorzeigbar sein muss.

Was ist eine „Verarbeitungstätigkeit“? Die Datenschutzkonferenz (DSK) versteht darunter im Allgemeinen einen Geschäftsprozess auf geeignetem Abstraktionsniveau – etwa „Bewerbermanagement“, „Lohnabrechnung“ oder „Newsletter-Versand“, nicht jedes einzelne Programm und nicht jeden einzelnen Datensatz. Dabei legt sie einen strengen Maßstab an: Jeder neue Zweck ist eine eigene Verarbeitungstätigkeit. Die Summe dieser Einzelbeschreibungen ergibt das Verzeichnis.

Inhaltlich ist das VVT überschaubar. Art. 30 Abs. 1 verlangt sieben Angaben, zwei davon nur „wenn möglich“: Löschfristen und eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOM). Die Rechtsgrundlage gehört übrigens nicht zu den Pflichtangaben – auch wenn viele Vorlagen sie aufführen. Die DSK hält es aber für sinnvoll und zulässig, weitere Angaben wie die Rechtsgrundlage, die Datenquelle oder die zugriffsberechtigten Personen aufzunehmen, wenn Sie das Verzeichnis auch für andere Zwecke nutzen. Das empfehlen wir ebenfalls, denn Sie brauchen diese Angaben ohnehin für Datenschutzhinweise nach Art. 13 und 14.

Das VVT ist der Dreh- und Angelpunkt Ihrer Datenschutzdokumentation. Aus ihm leiten Sie ab, welche Verarbeitungen eine Datenschutz-Folgenabschätzung brauchen, welche Dienstleister einen Auftragsverarbeitungsvertrag benötigen, welche Löschfristen Ihr Löschkonzept abbilden muss und welche Informationen in Ihre Datenschutzhinweise gehören. Wer Betroffenenanfragen schnell beantworten will, findet im VVT, wo die Daten einer Person überhaupt liegen. Mit dem Verzeichnis allein sind aber nicht alle Nachweispflichten erfüllt – es ist ein Baustein der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO, neben Einwilligungsnachweisen, TOM und Verträgen.

Wer kein oder ein unvollständiges Verzeichnis führt oder es auf Anfrage nicht vorlegt, verstößt gegen Art. 30 DSGVO. Dafür sieht Art. 83 Abs. 4 lit. a einen Bußgeldrahmen von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist. Wichtiger als das Bußgeldrisiko ist in der Praxis etwas anderes: Bei jeder Prüfung, jeder Datenpanne und jeder Beschwerde ist das VVT die erste Unterlage, nach der gefragt wird. Ein gepflegtes Verzeichnis zeigt, dass Sie Ihre Verarbeitungen im Griff haben.

Seit dem 2. August 2026 gelten große Teile der KI-Verordnung. Sie verlangt kein eigenes Verarbeitungsverzeichnis und ändert Art. 30 DSGVO nicht. Wenn KI-Systeme personenbezogene Daten verarbeiten, gehören diese Verarbeitungen aber wie jede andere ins VVT – mit dem KI-Anbieter als Empfänger und gegebenenfalls einer Drittlandübermittlung. Wie Sie das sauber abbilden, zeigt der Abschnitt „KI im Verarbeitungsverzeichnis“ weiter unten.

Angaben je Verarbeitungstätigkeit nach Art. 30 Abs. 1 lit. a–g
7
Angaben je Verarbeitungstätigkeit nach Art. 30 Abs. 1 lit. a–g
Beschäftigte: Ausnahme nach Abs. 5 – greift in der Praxis selten
< 250
Beschäftigte: Ausnahme nach Abs. 5 – greift in der Praxis selten
oder 2 % Umsatz: Bußgeldrahmen bei Verstößen gegen Art. 30 (Art. 83 Abs. 4)
10 Mio. €
oder 2 % Umsatz: Bußgeldrahmen bei Verstößen gegen Art. 30 (Art. 83 Abs. 4)

Pflichtangaben

Was ins Verarbeitungs­verzeichnis gehört: alle Angaben nach Art. 30 Abs. 1

Die sieben Pflichtangaben des Verantwortlichen, jeweils mit einem Beispiel aus dem Bewerbermanagement. Darunter vier Angaben, die nicht vorgeschrieben sind, die wir aber empfehlen, weil Sie sie für Datenschutzhinweise, DSFA und Betroffenenanfragen ohnehin brauchen.

Name und Kontaktdaten
Was eintragenVerantwortlicher, ggf. gemeinsam Verantwortliche, Vertreter in der EU und Datenschutzbeauftragter mit Kontaktdaten. Einmal zentral für das ganze Verzeichnis genügt.
Beispiel: BewerbermanagementDemo Organisation GmbH, Musterstraße 1, 12345 Musterstadt; DSB: datenschutz@demo.example
FundstelleArt. 30 Abs. 1 lit. a
Zwecke der Verarbeitung
Was eintragenWofür die Daten verarbeitet werden – konkret, nicht „Personalverwaltung allgemein“. Jeder neue Zweck ist eine eigene Tätigkeit.
Beispiel: BewerbermanagementDurchführung von Bewerbungsverfahren, Auswahl und Einstellung von Beschäftigten
FundstelleArt. 30 Abs. 1 lit. b
Kategorien betroffener Personen
Was eintragenWessen Daten: Beschäftigte, Bewerbende, Kundschaft, Interessenten, Lieferanten, Website-Besucher.
Beispiel: BewerbermanagementBewerbende, ggf. Referenzgeber
FundstelleArt. 30 Abs. 1 lit. c
Kategorien personenbezogener Daten
Was eintragenWelche Datenarten. Besondere Kategorien nach Art. 9 (z. B. Gesundheit, Religion) und Daten nach Art. 10 gesondert nennen.
Beispiel: BewerbermanagementKontaktdaten, Lebenslauf, Zeugnisse, Qualifikationen, Gehaltsvorstellung; ggf. Schwerbehinderung (Art. 9)
FundstelleArt. 30 Abs. 1 lit. c
Kategorien von Empfängern
Was eintragenWem Daten offengelegt werden oder werden sollen – intern und extern, einschließlich Empfängern in Drittländern. Auftragsverarbeiter sind Empfänger.
Beispiel: BewerbermanagementFachabteilung, Betriebsrat, Anbieter der Bewerbermanagement-Software (Auftragsverarbeiter)
FundstelleArt. 30 Abs. 1 lit. d
Drittlandübermittlungen
Was eintragenGegebenenfalls Übermittlungen in Drittländer mit Angabe des Landes; bei Übermittlungen nach Art. 49 Abs. 1 UAbs. 2 die Dokumentation der Garantien.
Beispiel: BewerbermanagementKeine – Software wird in der EU betrieben
FundstelleArt. 30 Abs. 1 lit. e
Löschfristen
Was eintragen„Wenn möglich“: vorgesehene Fristen für die Löschung der verschiedenen Datenkategorien. Am besten Verweis auf die Löschklasse im Löschkonzept.
Beispiel: BewerbermanagementAbgelehnte Bewerbungen 6 Monate nach Abschluss des Verfahrens (interne Festlegung); Talentpool nur mit Einwilligung
FundstelleArt. 30 Abs. 1 lit. f
TOM
Was eintragen„Wenn möglich“: allgemeine Beschreibung der Maßnahmen nach Art. 32 Abs. 1 – so konkret, dass eine erste Prüfung möglich ist. Verweis auf die TOM-Dokumentation ist üblich.
Beispiel: BewerbermanagementRollenbasierter Zugriff nur für Personalabteilung und Fachvorgesetzte, Verschlüsselung, Protokollierung; siehe TOM-Dokument
FundstelleArt. 30 Abs. 1 lit. g
Rechtsgrundlage (Empfehlung)
Was eintragenNicht Teil von Art. 30, aber Pflichtangabe in den Datenschutzhinweisen. Im VVT mitzuführen spart Doppelarbeit; bei berechtigtem Interesse die Abwägung dokumentieren.
Beispiel: BewerbermanagementArt. 6 Abs. 1 lit. b DSGVO (Anbahnung des Beschäftigungsverhältnisses); Talentpool: Einwilligung
Fundstelle– (vgl. Art. 13 Abs. 1 lit. c)
Systeme und Datenquelle (Empfehlung)
Was eintragenIn welchen Programmen die Daten liegen und woher sie stammen. Hilft bei Betroffenenanfragen und Löschung.
Beispiel: BewerbermanagementBewerbermanagement-Software, E-Mail-Postfach Personal; Quelle: Bewerbende selbst
Fundstelle–
Verantwortliche Person, Prüfdatum (Empfehlung)
Was eintragenWer den Eintrag pflegt und wann er zuletzt geprüft wurde. Ein festes Prüfintervall – etwa jährlich – ist eine bewährte Praxis.
Beispiel: BewerbermanagementLeitung Personal; geprüft 04.10.2026
Fundstelle–
DSFA-Bedarf, KI-Bezug (Empfehlung)
Was eintragenOb eine Datenschutz-Folgenabschätzung geprüft oder durchgeführt wurde und ob ein KI-System beteiligt ist.
Beispiel: BewerbermanagementDSFA nicht erforderlich (Prüfung vom 04.10.2026); kein KI-System
Fundstelle– (vgl. Art. 35)

Die Angaben nach lit. a gelten für das ganze Verzeichnis und müssen nicht in jedem Eintrag wiederholt werden. Die mit „Empfehlung“ markierten Zeilen sind keine Pflicht nach Art. 30 DSGVO.

Verantwortlicher oder Auftragsverarbeiter

Zwei Verzeichnisse: Art. 30 Abs. 1 und Abs. 2 im Vergleich

Viele Unternehmen sind beides – Verantwortlicher für die eigenen Kunden- und Personaldaten und Auftragsverarbeiter für Leistungen, die sie für Kunden erbringen. Dann brauchen Sie zwei Verzeichnisse oder zwei klar getrennte Teile.

Wer führt es?
Verantwortlicher (Abs. 1)Jeder Verantwortliche und ggf. sein Vertreter in der EU
Auftragsverarbeiter (Abs. 2)Jeder Auftragsverarbeiter und ggf. sein Vertreter in der EU
Gegenstand
Verantwortlicher (Abs. 1)Alle Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen
Auftragsverarbeiter (Abs. 2)Alle Kategorien von Tätigkeiten, die er im Auftrag eines Verantwortlichen durchführt
Name und Kontaktdaten
Verantwortlicher (Abs. 1)Verantwortlicher, gemeinsam Verantwortliche, Vertreter, Datenschutzbeauftragter (lit. a)
Auftragsverarbeiter (Abs. 2)Auftragsverarbeiter und jeder Verantwortliche, für den er tätig ist, ggf. Vertreter und Datenschutzbeauftragter (lit. a)
Zwecke
Verantwortlicher (Abs. 1)Ja (lit. b)
Auftragsverarbeiter (Abs. 2)Nein – stattdessen die Kategorien von Verarbeitungen je Verantwortlichem (lit. b)
Betroffene und Datenkategorien
Verantwortlicher (Abs. 1)Ja (lit. c)
Auftragsverarbeiter (Abs. 2)Nicht ausdrücklich verlangt
Empfänger
Verantwortlicher (Abs. 1)Ja (lit. d)
Auftragsverarbeiter (Abs. 2)Nicht ausdrücklich verlangt
Drittlandübermittlungen
Verantwortlicher (Abs. 1)Ja (lit. e)
Auftragsverarbeiter (Abs. 2)Ja (lit. c)
Löschfristen
Verantwortlicher (Abs. 1)Wenn möglich (lit. f)
Auftragsverarbeiter (Abs. 2)Nicht ausdrücklich verlangt
TOM
Verantwortlicher (Abs. 1)Wenn möglich, allgemeine Beschreibung (lit. g)
Auftragsverarbeiter (Abs. 2)Wenn möglich, allgemeine Beschreibung (lit. d)
Form und Vorlage
Verantwortlicher (Abs. 1)Schriftlich, auch elektronisch (Abs. 3); auf Anfrage an die Aufsichtsbehörde (Abs. 4)
Auftragsverarbeiter (Abs. 2)Schriftlich, auch elektronisch (Abs. 3); auf Anfrage an die Aufsichtsbehörde (Abs. 4)

Die Excel-Vorlage auf dieser Seite enthält beide Verzeichnisse als eigene Tabellenblätter.

Ausnahme

Unter 250 Beschäftigte: Brauchen kleine Unternehmen ein VVT?

Art. 30 Abs. 5 DSGVO enthält eine Ausnahme für Unternehmen und Einrichtungen mit weniger als 250 Mitarbeitern. Sie ist allerdings mit drei Rückausnahmen versehen, und schon eine davon genügt, damit die Pflicht wieder auflebt: Die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, sie erfolgt nicht nur gelegentlich, oder es werden besondere Kategorien nach Art. 9 Abs. 1 oder Daten über strafrechtliche Verurteilungen nach Art. 10 verarbeitet.

Die DSK nennt als Beispiel für „nicht nur gelegentlich“ ausdrücklich die regelmäßige Verarbeitung von Kunden- oder Beschäftigtendaten – also das, was praktisch jedes Unternehmen tut, sobald es eine Lohnabrechnung oder eine Kundendatenbank hat. Beim Risiko kommt es anders als bei der Datenschutz-Folgenabschätzung nicht auf ein hohes Risiko an; jedes Risiko zählt. Scoring und Überwachungsmaßnahmen gehören nach Auffassung der DSK regelmäßig dazu.

Im Ergebnis braucht auch ein kleines Unternehmen fast immer ein Verarbeitungsverzeichnis – zumindest für die regelmäßigen Verarbeitungen. Wer Gesundheitsdaten verarbeitet, etwa Arbeitsunfähigkeitsbescheinigungen, oder die Religionszugehörigkeit für die Kirchensteuer, fällt zusätzlich unter die dritte Rückausnahme. Unsere Empfehlung: Führen Sie das VVT unabhängig von der Unternehmensgröße. Für einen kleinen Betrieb sind das oft nur zehn bis zwanzig Einträge.

  • Rückausnahme 1: Verarbeitung birgt ein Risiko für Betroffene
  • Rückausnahme 2: Verarbeitung erfolgt nicht nur gelegentlich (z. B. Lohnabrechnung, Kundendaten)
  • Rückausnahme 3: besondere Kategorien (Art. 9) oder Strafdaten (Art. 10)
  • Eine Rückausnahme genügt – die Ausnahme greift dann nicht

Interaktiv

VVT-Muster-Generator: Eintrag in einer Minute vorbereiten

Wählen Sie eine typische Verarbeitung, tragen Sie Ihr Unternehmen ein und geben Sie an, ob ein KI-System beteiligt ist oder Daten in ein Drittland gehen. Sie erhalten einen vorausgefüllten Eintrag mit allen Pflichtangaben, den Sie kopieren und anpassen. Es werden keine Daten gespeichert oder übertragen.

Verarbeitungstätigkeit
Angaben zur Verarbeitung
app.simpleact.de

VVT-Eintrag (Entwurf)

Bewerbermanagement

A
Bezeichnung
Bewerbermanagement
Verantwortlicher, DSB (lit. a)Pflicht
[Unternehmen], [Anschrift]; Datenschutzbeauftragte/r: [Name, Kontakt]
Zwecke (lit. b)Pflicht
Durchführung von Bewerbungsverfahren, Auswahl und Einstellung von Beschäftigten
Betroffene Personen (lit. c)Pflicht
Bewerbende, ggf. Referenzgeber
Datenkategorien (lit. c)Pflicht
Kontaktdaten, Lebenslauf, Zeugnisse und Qualifikationen, Gehaltsvorstellung, Gesprächsnotizen; ggf. Angaben zu einer Schwerbehinderung (besondere Kategorie, Art. 9)
Empfänger (lit. d)Pflicht
Personalabteilung, Fachabteilung, Betriebsrat; Anbieter der Bewerbermanagement-Software (Auftragsverarbeiter)
Drittlandübermittlung (lit. e)Pflicht
Keine
Löschfristen (lit. f)Pflicht
Abgelehnte Bewerbungen 6 Monate nach Abschluss des Verfahrens (interne Festlegung, orientiert an § 15 Abs. 4 AGG und § 61b ArbGG); Talentpool nur mit Einwilligung; bei Einstellung Übernahme in die Personalakte
TOM (lit. g)Pflicht
Siehe TOM-Dokumentation; u. a. rollenbasierte Zugriffsrechte, Verschlüsselung bei Übertragung und Speicherung, Protokollierung, Datensicherung
RechtsgrundlageEmpfehlung
Art. 6 Abs. 1 lit. b DSGVO (Anbahnung des Beschäftigungsverhältnisses); Talentpool: Einwilligung (Art. 6 Abs. 1 lit. a); für Angaben zur Schwerbehinderung zusätzlich Art. 9 Abs. 2 lit. b (Arbeitsrecht, im Einzelfall prüfen)
SystemeEmpfehlung
Bewerbermanagement-Software, E-Mail-Postfach Personal

Muster zur Orientierung, keine Rechtsberatung. Fristen und Rechtsgrundlagen sind Beispiele und im Einzelfall zu prüfen; Platzhalter in eckigen Klammern ergänzen.

Muster

Typische Verarbeitungs­tätigkeiten im Mittelstand

Diese Tätigkeiten finden sich in fast jedem VVT. Die Tabelle zeigt die Kurzfassung der Muster aus dem Generator – als Ausgangspunkt für Ihre Inventur, nicht als fertiges Verzeichnis.

Bewerbermanagement
ZweckAuswahl und Einstellung
BetroffeneBewerbende
Empfänger (Auswahl)Personal, Fachabteilung, Betriebsrat, Software-Anbieter
Löschfrist (Beispiel)6 Monate nach Absage (Empfehlung)
Lohn- und Gehaltsabrechnung
ZweckEntgelt, Meldungen
BetroffeneBeschäftigte
Empfänger (Auswahl)Finanzamt, Sozialversicherung, Bank, Abrechnungsdienstleister
Löschfrist (Beispiel)Lohnkonten 6 Jahre (§ 41 EStG), Belege 8 Jahre
Arbeitszeiterfassung
ZweckArbeitszeitrecht, Abrechnung
BetroffeneBeschäftigte
Empfänger (Auswahl)Vorgesetzte, Personal, Software-Anbieter
Löschfrist (Beispiel)Mind. 2 Jahre für Mehrarbeit (§ 16 Abs. 2 ArbZG)
Personalverwaltung
ZweckDurchführung des Arbeitsverhältnisses
BetroffeneBeschäftigte
Empfänger (Auswahl)Personal, Vorgesetzte, Steuerberatung
Löschfrist (Beispiel)Nach Ende des Arbeitsverhältnisses gestaffelt (Empfehlung: Löschkonzept)
Kundenverwaltung (CRM)
ZweckVertrieb, Auftragsabwicklung
BetroffeneKunden, Ansprechpersonen
Empfänger (Auswahl)Vertrieb, Buchhaltung, CRM-Anbieter
Löschfrist (Beispiel)Briefe 6 Jahre, Rechnungen 8 Jahre
Buchhaltung
ZweckHandels- und steuerrechtliche Pflichten
BetroffeneKunden, Lieferanten
Empfänger (Auswahl)Steuerberatung, Finanzamt, Bank
Löschfrist (Beispiel)Bücher 10 Jahre, Belege 8 Jahre
Newsletter-Versand
ZweckInformation, Werbung
BetroffeneAbonnenten
Empfänger (Auswahl)Marketing, Newsletter-Tool
Löschfrist (Beispiel)Bis Widerruf; Nachweis nach Festlegung
Website & Kontaktformular
ZweckBereitstellung, Sicherheit, Anfragen
BetroffeneBesucher, Anfragende
Empfänger (Auswahl)Hosting-Anbieter
Löschfrist (Beispiel)Server-Logs kurz (Empfehlung)
Videokonferenzen
ZweckBesprechungen, Schulungen
BetroffeneTeilnehmende
Empfänger (Auswahl)Konferenz-Anbieter
Löschfrist (Beispiel)Nach Anbieter-Einstellung
E-Mail und Groupware
ZweckGeschäftliche Kommunikation
BetroffeneBeschäftigte, Kontakte
Empfänger (Auswahl)E-Mail-/Cloud-Anbieter
Löschfrist (Beispiel)Geschäftsbriefe 6 Jahre
IT-Administration und Protokolle
ZweckBetrieb und Sicherheit der IT
BetroffeneBeschäftigte, Nutzer
Empfänger (Auswahl)IT-Dienstleister
Löschfrist (Beispiel)Nach Sicherheitskonzept (Empfehlung)
KI-Assistent im Kundenservice
ZweckAntworten auf Anfragen
BetroffeneKunden, Service-Team
Empfänger (Auswahl)KI-Anbieter, Modellanbieter
Löschfrist (Beispiel)Nach vertraglicher Frist

Gesetzliche Fristen: § 147 AO, § 257 HGB (Buchungsbelege seit 2025 acht Jahre), § 41 Abs. 1 Satz 9 EStG, § 16 Abs. 2 ArbZG – Details auf der Seite Löschkonzept. „Empfehlung“ = interne Festlegung, keine gesetzliche Frist.

KI im Verarbeitungsverzeichnis

So bilden Sie KI-Systeme im VVT ab

Die KI-Verordnung schafft kein eigenes Verzeichnis nach Art. 30. Sobald ein KI-System personenbezogene Daten verarbeitet, ist es aber Teil einer Verarbeitungstätigkeit – oder eine eigene. Diese Punkte sind unsere Empfehlung.

Zweck statt Werkzeug

Ein KI-Tool ist kein Zweck. Tragen Sie die Verarbeitung ein, für die es genutzt wird – „Beantwortung von Kundenanfragen“, „Vorauswahl von Bewerbungen“. Wird ein Tool für mehrere Zwecke genutzt, gehört es in mehrere Einträge.

Neuer Zweck, neuer Eintrag

Wird ein bestehender Prozess um KI erweitert, prüfen Sie, ob sich der Zweck ändert. Nach der DSK ist jeder neue Zweck eine eigene Verarbeitungstätigkeit; bei geringen Änderungen genügt eine Anpassung des bestehenden Eintrags.

KI-Anbieter als Empfänger

Der Anbieter des KI-Dienstes ist in der Regel Auftragsverarbeiter und gehört zu den Empfängern (lit. d). Modell- und Rechenzentrumsanbieter dahinter sind Unterauftragsverarbeiter – sie stehen in der Liste des Anbieters.

Drittland ehrlich angeben

Viele Modell-APIs laufen ganz oder teilweise außerhalb des EWR. Tragen Sie Land und Übermittlungsgrundlage ein (lit. e) – auch Fernzugriffe für Support zählen.

Daten konkret benennen

Bei KI fallen mehr Daten an als sichtbar: Eingaben, hochgeladene Dateien, Ausgaben, Verläufe, Protokolle. Nennen Sie diese Kategorien und prüfen Sie, ob besondere Kategorien in Freitexten auftauchen können.

Automatisierte Entscheidungen markieren

Trifft ein System ohne menschliche Prüfung Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung, greift Art. 22 DSGVO. Ein eigenes Kennzeichen im VVT macht solche Fälle sichtbar.

DSFA-Prüfung dokumentieren

Art. 35 Abs. 1 nennt die Verwendung neuer Technologien ausdrücklich als Anlass, ein hohes Risiko zu prüfen. Halten Sie im Eintrag fest, ob eine Datenschutz-Folgenabschätzung geprüft und durchgeführt wurde.

Mit dem KI-Inventar verknüpfen

Wer neben dem VVT ein KI-Inventar für die KI-Verordnung führt, sollte beide verknüpfen: Zu jedem KI-System die Verarbeitungen, zu jeder Verarbeitung das System. So fallen Lücken auf beiden Seiten auf.

Für Hochrisiko-KI nach Anhang III gelten die Betreiberpflichten der KI-Verordnung nach dem Digital Omnibus ab 2. Dezember 2027. Betreiber nutzen dann die Informationen des Anbieters nach Art. 13 KI-VO für ihre DSFA (Art. 26 Abs. 9 KI-VO).

Vorgehen

Verarbeitungs­verzeichnis erstellen in 7 Schritten

So kommen Sie vom leeren Blatt zum vorzeigbaren Verzeichnis. Die Reihenfolge ist eine Empfehlung aus der Praxis; für ein mittelständisches Unternehmen sind 30 bis 80 Einträge üblich.

  1. 1

    Verantwortung festlegen

    Benennen Sie eine Person, die das VVT koordiniert – oft der Datenschutzbeauftragte oder Datenschutzkoordinator. Die Fachbereiche liefern die Inhalte, denn nur sie kennen ihre Prozesse.

  2. 2

    Prozesse inventarisieren

    Gehen Sie Abteilung für Abteilung durch: Personal, Vertrieb, Marketing, Buchhaltung, IT, Einkauf, Geschäftsleitung. Hilfreich sind Softwareliste, Kreditorenliste und Organigramm. Fragen Sie gezielt nach KI-Tools, die Fachbereiche selbst nutzen.

  3. 3

    Tätigkeiten zuschneiden

    Fassen Sie Vorgänge mit gleichem Zweck zu einer Tätigkeit zusammen und trennen Sie unterschiedliche Zwecke. Ein Eintrag pro Programm ist zu kleinteilig, ein Eintrag „Personal“ zu grob.

  4. 4

    Pflichtangaben ausfüllen

    Je Tätigkeit die Angaben nach Art. 30 Abs. 1 lit. b–g, dazu Rechtsgrundlage und Systeme als Empfehlung. Die Excel-Vorlage und der Generator oben helfen beim Start.

  5. 5

    Querbezüge herstellen

    Verknüpfen Sie jeden Eintrag mit dem passenden AVV, der Löschklasse im Löschkonzept, der TOM-Dokumentation und gegebenenfalls der DSFA. Fehlende Verträge oder Fristen fallen dabei auf.

  6. 6

    Prüfen und freigeben

    Lassen Sie Einträge vom Fachbereich bestätigen und vom Datenschutzbeauftragten prüfen. Ein Freigabestatus mit Datum zeigt, welcher Stand gilt.

  7. 7

    Laufend pflegen

    Neue Software, neue Zwecke, neue Dienstleister: Machen Sie die VVT-Prüfung zum festen Schritt bei jeder Einführung. Zusätzlich empfehlen wir eine jährliche Durchsicht aller Einträge.

Kostenlose Vorlage

Verarbeitungs­verzeichnis-Vorlage als Excel

Die Vorlage enthält alle Pflichtangaben nach Art. 30 DSGVO als Spalten, empfohlene Zusatzangaben, acht Beispielzeilen aus dem Mittelstand und Auswahllisten. Frei nutzbar und anpassbar, ohne Registrierung.

VVT-Vorlage (Excel) herunterladen

SimpleAct_Verarbeitungsverzeichnis_Vorlage_DE.xlsx

  • Blatt „VVT Verantwortlicher“ (Art. 30 Abs. 1)
  • Blatt „VVT Auftragsverarbeiter“ (Art. 30 Abs. 2)
  • Blatt „Stammdaten“ für lit. a
  • Blatt „Anleitung“ mit Erklärung jeder Spalte

Häufige Fehler

Sechs Fehler, die wir in Verarbeitungs­verzeichnissen oft sehen

Programme statt Prozesse

Ein Eintrag „Microsoft 365“ sagt nichts über Zwecke. Das Programm gehört zu den Systemen, die Tätigkeit ist z. B. „E-Mail-Kommunikation“ oder „Dokumentenablage“.

Zwecke zu allgemein

„Geschäftszwecke“ oder „Verwaltung“ erlauben keine Prüfung. Formulieren Sie so, dass ein Außenstehender versteht, was mit den Daten passiert.

Empfänger vergessen

Dienstleister, Konzerngesellschaften, Steuerberatung und Behörden fehlen oft. Auftragsverarbeiter sind Empfänger und gehören ins Verzeichnis.

Drittland verschwiegen

US-Cloud-Dienste, Support aus Drittländern oder KI-APIs außerhalb der EU tauchen im VVT nicht auf. Gerade danach fragen Behörden.

Einmal erstellt, nie gepflegt

Ein VVT von 2018 bildet die heutige IT selten ab. Ohne Prüfdatum und Verantwortliche veraltet jedes Verzeichnis.

Besondere Kategorien übersehen

Arbeitsunfähigkeitsbescheinigungen, Religionszugehörigkeit für die Kirchensteuer oder Schwerbehinderung sind Daten nach Art. 9 und gehören gesondert benannt.

Mit SimpleAct

Verarbeitungs­verzeichnis in SimpleAct

Das DSGVO-Modul (ab Professional) führt das VVT als strukturierte Einträge statt als Tabelle – verknüpft mit Ihren KI-Systemen und Dienstleistern.

  • Alle Angaben nach Art. 30 plus Rechtsgrundlage und Datenquelle
  • Rechtsgrundlagen als feste Auswahl der sechs Werte aus Art. 6 Abs. 1
  • Besondere Kategorien nach Art. 9 getrennt erfasst
  • Auftragsverarbeiter aus dem Vendor Register verknüpft
  • Status Entwurf, in Prüfung, freigegeben, archiviert
  • Lückenliste: KI-Systeme ohne VVT-Eintrag
  • Prüftermine und Datum der letzten Prüfung
  • Export als CSV und im DSGVO-Gesamtexport

Erst einmal mit Excel?

Die Vorlage auf dieser Seite reicht für den Start. SimpleAct lohnt sich, wenn das Verzeichnis mit KI-Inventar, AVV, DSFA und Löschfristen zusammenwachsen soll.

DSGVO-Modul ansehen

FAQ

Häufige Fragen zum Verarbeitungs­verzeichnis

Jeder Verantwortliche und jeder Auftragsverarbeiter (Art. 30 Abs. 1 und 2 DSGVO), einschließlich Vereinen und Freiberuflern. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten (Abs. 5) entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko birgt oder besondere Kategorien betrifft – in der Praxis fast immer.
Nein. Art. 30 Abs. 1 nennt die Rechtsgrundlage nicht. Die Datenschutzkonferenz hält es aber für sinnvoll und zulässig, sie zusätzlich aufzunehmen. Wir empfehlen das, weil Sie die Rechtsgrundlage ohnehin in den Datenschutzhinweisen nach Art. 13 Abs. 1 lit. c angeben müssen.
Das Verfahrensverzeichnis stammt aus dem alten BDSG und war teilweise öffentlich einsehbar. Mit der DSGVO wurde es durch das Verzeichnis von Verarbeitungstätigkeiten abgelöst. Es ist intern zu führen und nur der Aufsichtsbehörde auf Anfrage vorzulegen.
Die DSK versteht unter einer Verarbeitungstätigkeit einen Geschäftsprozess auf geeignetem Abstraktionsniveau und legt einen strengen Maßstab an: Jeder neue Zweck ist eine eigene Tätigkeit. Die Beschreibung der TOM sollte so konkret sein, dass die Behörde eine erste Rechtmäßigkeitsprüfung vornehmen kann.
Es ist schriftlich zu führen, ein elektronisches Format genügt (Art. 30 Abs. 3). Excel, eine Datenschutz-Software oder ein Dokument sind zulässig. Entscheidend ist, dass es vollständig, aktuell und auf Anfrage vorlegbar ist.
Die DSGVO nennt kein Intervall, das Verzeichnis muss aber den aktuellen Stand abbilden. Wir empfehlen, die VVT-Prüfung zum festen Schritt bei jeder Einführung neuer Software oder Zwecke zu machen und alle Einträge zusätzlich einmal jährlich durchzusehen.
Ein fehlendes, unvollständiges oder auf Anfrage nicht vorgelegtes VVT ist ein Verstoß gegen Art. 30 DSGVO. Art. 83 Abs. 4 lit. a sieht dafür Geldbußen bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vor, je nachdem, welcher Betrag höher ist.
Ja, sobald sie personenbezogene Daten verarbeiten. Eingetragen wird die Verarbeitungstätigkeit, für die das Tool genutzt wird, mit dem KI-Anbieter als Empfänger und gegebenenfalls einer Drittlandübermittlung. Die KI-Verordnung verlangt kein eigenes Verzeichnis nach Art. 30 und ändert die DSGVO-Pflicht nicht.
Ja. Art. 30 Abs. 2 verlangt ein Verzeichnis aller Kategorien von Tätigkeiten, die im Auftrag eines Verantwortlichen durchgeführt werden – mit Namen der Auftraggeber, Kategorien der Verarbeitungen, Drittlandübermittlungen und, wenn möglich, den TOM.
Ja. Vorlagen wie die Excel-Datei auf dieser Seite oder die Muster der Aufsichtsbehörden sind ein guter Start. Sie müssen aber an Ihre tatsächlichen Prozesse angepasst werden; ein übernommenes Muster ohne Bezug zu Ihrem Unternehmen erfüllt Art. 30 nicht.
Das VVT ist die Grundlage: Aus ihm ergibt sich, welche Verarbeitungen eine Datenschutz-Folgenabschätzung brauchen, und die Löschfristen nach lit. f werden im Löschkonzept konkretisiert. Verweise zwischen den Dokumenten halten alles konsistent.

Noch Fragen? Wir helfen gerne weiter. E-Mail schreiben · 7 Tage testen (Kreditkarte nötig)

Quellen und Stand

Stand: · Redaktion SimpleAct

Dieser Leitfaden dient der allgemeinen Information und ist keine Rechtsberatung. Fristen, Rechtsgrundlagen und Beispiele sind im Einzelfall zu prüfen.

Änderungen

  • 2026-10-04 – Seite neu aufgebaut: Pflichtangaben-Tabelle, Vergleich Abs. 1/Abs. 2, Ausnahme Abs. 5, Muster-Generator, Excel-Vorlage, KI-Abschnitt. Klargestellt, dass die Rechtsgrundlage keine Pflichtangabe nach Art. 30 ist.
  • 2026-06-13 – Erste Fassung.

Weiterführende Themen

Verarbeitungs­verzeichnis und KI-Inventar an einem Ort

SimpleAct verbindet VVT, Dienstleister, Löschfristen und KI-Systeme. Testen Sie 7 Tage (Kreditkarte nötig) oder lassen Sie sich das DSGVO-Modul zeigen.

Demo buchen7 Tage testen (Kreditkarte nötig)