Verarbeitungsverzeichnis (Art. 30 DSGVO): Muster, Vorlage & Beispiel

Ein Verarbeitungsverzeichnis ist das nach Art. 30 DSGVO vorgeschriebene Verzeichnis aller Verarbeitungstätigkeiten, die der Zuständigkeit eines Unternehmens unterliegen: Es hält je Tätigkeit Zweck, Rechtsgrundlage, betroffene Personen, Datenkategorien, Empfänger, Drittlandübermittlungen, Löschfristen und technisch-organisatorische Maßnahmen fest. Auf dieser Seite finden Sie ein vollständig ausgefülltes Beispiel, eine Excel-Vorlage und alle Pflichtangaben im Überblick.

Aktualisiert am: 19.08.2026

Was ist ein Verarbeitungsverzeichnis?

Das Verarbeitungsverzeichnis – auch Verzeichnis von Verarbeitungstätigkeiten (VVT) genannt – dokumentiert alle Prozesse in Ihrem Unternehmen, bei denen personenbezogene Daten verarbeitet werden. Es ist das zentrale Dokument Ihres Datenschutz-Managements und die Grundlage für jede Datenschutz-Prüfung durch Aufsichtsbehörden.

Gemäß Art. 30 DSGVO müssen Verantwortliche ein solches Verzeichnis führen. Bei Verstößen drohen Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.

Verarbeitungsverzeichnis vs. Verfahrensverzeichnis

In der Praxis meinen beide Begriffe dasselbe. „Verfahrensverzeichnis“ ist der ältere Begriff aus dem Bundesdatenschutzgesetz (BDSG) in der Fassung vor der DSGVO. Seit Geltung der DSGVO im Mai 2018 lautet die korrekte Bezeichnung „Verzeichnis von Verarbeitungstätigkeiten“, umgangssprachlich Verarbeitungsverzeichnis. Wenn Sie also noch ein altes Verfahrensverzeichnis pflegen, führen Sie es einfach als Verarbeitungsverzeichnis nach Art. 30 DSGVO fort.

Diese Seite ist das Muster mit ausgefüllten Beispielen. Wenn Sie stattdessen den Aufbau, die Pflichten und das Vorgehen Schritt für Schritt suchen, führt unser Leitfaden Verzeichnis der Verarbeitungstätigkeiten: Pflichten und Aufbau durch dieselbe Materie in ausführlicher Form.

Verantwortlicher und Auftragsverarbeiter – zwei Verzeichnisse

Die DSGVO unterscheidet zwei Rollen mit je eigenem Verzeichnis. Der oder die Verantwortliche – also das Unternehmen, das über Zwecke und Mittel der Datenverarbeitung entscheidet – führt ein Verzeichnis nach Art. 30 Abs. 1 mit den weiter unten genannten Pflichtangaben. Der Auftragsverarbeiter, ein Dienstleister, der Daten im Auftrag verarbeitet (etwa Rechenzentren, Lohnbüros oder externe Marketing-Tools), führt ein gesondertes Verzeichnis nach Art. 30 Abs. 2 mit etwas anderen Pflichtangaben. Wie Auftragsverhältnisse vertraglich abgesichert werden, lesen Sie in unserem Beitrag zum Auftragsverarbeitungsvertrag (AVV).

Pflichtangaben nach Art. 30 Abs. 1 DSGVO

Art. 30 Abs. 1 DSGVO zählt sieben Angaben auf, die das Verzeichnis des Verantwortlichen enthalten muss. Zwei davon stehen im Verordnungstext unter dem Vorbehalt „wenn möglich“: die Löschfristen und die Beschreibung der technisch-organisatorischen Maßnahmen. Die folgende Liste folgt der Reihenfolge der Buchstaben a bis g.

a) Name und Kontaktdaten
Verantwortlicher und, sofern vorhanden, gemeinsam Verantwortliche, Vertreter des Verantwortlichen und Datenschutzbeauftragter. Diese Angaben stehen einmal im Kopf des Verzeichnisses, nicht bei jeder einzelnen Tätigkeit.

b) Zwecke der Verarbeitung
Der konkrete Zweck je Verarbeitungstätigkeit. „Verwaltung“ oder „Geschäftsbetrieb“ genügt nicht — der Zweck muss so eng beschrieben sein, dass sich daraus die Rechtsgrundlage ableiten lässt.

c) Kategorien betroffener Personen und personenbezogener Daten
Welche Personengruppen betroffen sind (Beschäftigte, Bewerber, Kunden, Lieferanten, Website-Besucher) und welche Datenarten dabei anfallen.

d) Kategorien von Empfängern
Alle Stellen, denen die Daten offengelegt werden — einschließlich Auftragsverarbeitern, Behörden und Empfängern in Drittländern. Genannt werden Kategorien, nicht zwingend einzelne Namen.

e) Übermittlungen in Drittländer
Bei Übermittlungen in ein Drittland oder an eine internationale Organisation: die Benennung des Drittlands und die Dokumentation geeigneter Garantien nach Art. 44 ff. DSGVO.

f) Löschfristen
Die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien, wenn möglich. Fristen ergeben sich meist aus handels- und steuerrechtlichen Aufbewahrungspflichten oder aus Verjährungsfristen.

g) Technische und organisatorische Maßnahmen
Eine allgemeine Beschreibung der Maßnahmen nach Art. 32 Abs. 1 DSGVO, wenn möglich. Ein Verweis auf ein separates TOM-Dokument ist zulässig, solange die Zuordnung zur Tätigkeit erkennbar bleibt.

Für Auftragsverarbeiter gilt ein eigener, kürzerer Katalog nach Art. 30 Abs. 2 DSGVO. Das Verzeichnis ist nach Art. 30 Abs. 3 DSGVO schriftlich oder elektronisch zu führen und der Aufsichtsbehörde nach Art. 30 Abs. 4 DSGVO auf Anfrage zur Verfügung zu stellen.

Verarbeitungsverzeichnis Beispiel: ein vollständig ausgefüllter Eintrag

So sieht ein einzelner Eintrag aus, wenn alle Pflichtangaben nach Art. 30 Abs. 1 DSGVO gesetzt sind. Das Beispiel zeigt die Lohn- und Gehaltsabrechnung eines Unternehmens mit eigener Personalabteilung und externer Steuerberatung. Die Angaben im Kopf des Verzeichnisses — Verantwortlicher, Vertreter, Datenschutzbeauftragter — stehen einmal für das gesamte Verzeichnis und werden hier zur Vollständigkeit mit aufgeführt. Alle Werte sind Beispielwerte und ersetzen keine Prüfung des eigenen Verfahrens.

Die beiden letzten Zeilen — Risikobewertung und Wiedervorlage — sind keine Pflichtangaben nach Art. 30 DSGVO. Sie gehören trotzdem in jeden Eintrag: Die Risikobewertung entscheidet darüber, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig wird, und die Wiedervorlage ist der einzige verlässliche Weg, ein Verzeichnis aktuell zu halten. Bei einer Prüfung wird beides regelmäßig mit abgefragt.

So erstellen Sie Ihr Verarbeitungsverzeichnis mit unserer Software

Unser Datenschutz-Management-System macht die Erstellung Ihres Verarbeitungsverzeichnisses so einfach wie möglich:

1. Vorgefertigte Verarbeitungstätigkeiten auswählen

Wählen Sie aus über 50 typischen Verarbeitungstätigkeiten die passenden für Ihr Unternehmen aus. Von der Lohnabrechnung über die Kundenverwaltung bis zum E-Mail-Marketing – die häufigsten Prozesse sind bereits vorkonfiguriert und mit Beispieldaten ausgefüllt.

2. Angaben anpassen und ergänzen

Passen Sie die vorausgefüllten Angaben an Ihre konkreten Gegebenheiten an. Rechtsgrundlagen, Löschfristen und Empfänger sind als Vorschläge hinterlegt und können mit wenigen Klicks angepasst werden.

3. Risikobewertung automatisch durchführen

Unsere Software bewertet automatisch das Risiko jeder Verarbeitungstätigkeit und zeigt Ihnen, wo Handlungsbedarf besteht. Die integrierte Risikomatrix orientiert sich an den Vorgaben der Datenschutzkonferenz (DSK).

4. TOMs zuordnen und dokumentieren

Ordnen Sie jeder Verarbeitungstätigkeit die passenden technischen und organisatorischen Maßnahmen zu. Unsere Vorlagen enthalten bereits die wichtigsten TOMs nach dem Stand der Technik.

5. Export und Nachweis

Exportieren Sie Ihr fertiges Verarbeitungsverzeichnis als PDF-Dokument – jederzeit aktuell und bereit für Aufsichtsbehörden, Audits oder Kundenanfragen.

Ausgefülltes Beispiel: sieben typische Verarbeitungstätigkeiten

Ein Verzeichnis besteht aus vielen solcher Einträge. Die folgende Übersicht zeigt sieben Verarbeitungstätigkeiten, die in nahezu jedem kleinen und mittleren Unternehmen vorkommen — verkürzt auf die Spalten, die beim Vergleich am meisten tragen. Die Spalte „Übermittlung in Drittländer“ ist ausgeblendet; sie ist im ausführlichen Einzeleintrag oben zu sehen und im Download enthalten. Die Werte sind Beispielwerte für ein Unternehmen mit Sitz in Deutschland.

Die Videoüberwachung ist der Eintrag, der in dieser Liste am häufigsten eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO auslöst — insbesondere dann, wenn Arbeitsplätze im Bild sind oder öffentlich zugängliche Bereiche systematisch erfasst werden. Prüfen Sie diesen Eintrag zuerst, wenn Sie Ihr Verzeichnis zum ersten Mal aufstellen.

Warum ist das Verarbeitungsverzeichnis so wichtig?

Das Verarbeitungsverzeichnis ist weit mehr als eine lästige Pflicht. Es ist Ihr wichtigstes Werkzeug im Datenschutz-Management:

Nachweis gegenüber Behörden: Bei einer Prüfung durch die Datenschutz-Aufsichtsbehörde ist das VVT das erste Dokument, das angefordert wird. Wer kein aktuelles Verzeichnis vorlegen kann, riskiert empfindliche Bußgelder.

Transparenz im Unternehmen: Sie sehen auf einen Blick, welche Daten wo und warum verarbeitet werden. Das schafft Klarheit für alle Beteiligten – von der Geschäftsführung bis zum einzelnen Mitarbeiter.

Grundlage für Datenschutz-Folgenabschätzung: Für Verarbeitungen mit hohem Risiko ist eine DSFA nach Art. 35 DSGVO erforderlich. Das Verarbeitungsverzeichnis liefert die Basis dafür.

Erfüllung der Rechenschaftspflicht: Nach Art. 5 Abs. 2 DSGVO müssen Sie die Einhaltung der Datenschutzgrundsätze nachweisen können. Das VVT ist dafür das zentrale Instrument.

Häufige Fehler beim Verarbeitungsverzeichnis

Verarbeitungsverzeichnis mit unserer Software erstellen

Statt mühsam Excel-Tabellen zu pflegen, nutzen Sie unsere spezialisierte Datenschutz-Software. Die Vorteile:

Häufig gestellte Fragen zum Verarbeitungsverzeichnis

Wer muss ein Verarbeitungsverzeichnis führen?

Grundsätzlich jede verantwortliche Stelle, die personenbezogene Daten verarbeitet, sowie Auftragsverarbeiter. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift in der Praxis fast nie, weil sie schon bei nicht nur gelegentlicher Verarbeitung entfällt.

Ist das Verarbeitungsverzeichnis Pflicht?

Ja. Die Pflicht ergibt sich aus Art. 30 DSGVO. Das Verzeichnis ist schriftlich oder elektronisch zu führen und der Aufsichtsbehörde auf Anfrage vorzulegen.

Gilt die Ausnahme für Unternehmen unter 250 Mitarbeitern?

Nur sehr eingeschränkt. Die Ausnahme nach Art. 30 Abs. 5 DSGVO entfällt, sobald die Verarbeitung ein Risiko für die Betroffenen birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien (Art. 9) bzw. Daten zu Straftaten (Art. 10) betrifft. Da fast jedes Unternehmen regelmäßig Daten verarbeitet, besteht die Pflicht praktisch immer.

Was muss im Verarbeitungsverzeichnis stehen?

Nach Art. 30 Abs. 1 DSGVO unter anderem: Name und Kontaktdaten des Verantwortlichen, die Zwecke der Verarbeitung, die Kategorien betroffener Personen und personenbezogener Daten, die Kategorien von Empfängern, Übermittlungen in Drittländer, vorgesehene Löschfristen sowie eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOMs).

Was ist der Unterschied zwischen Verarbeitungs- und Verfahrensverzeichnis?

Gemeint ist dasselbe. „Verfahrensverzeichnis“ ist der alte Begriff aus dem BDSG vor der DSGVO. Seit 2018 heißt es offiziell „Verzeichnis von Verarbeitungstätigkeiten“, umgangssprachlich Verarbeitungsverzeichnis.

Brauchen Verantwortlicher und Auftragsverarbeiter je ein eigenes Verzeichnis?

Ja. Der Verantwortliche führt ein Verzeichnis nach Art. 30 Abs. 1, der Auftragsverarbeiter ein eigenes nach Art. 30 Abs. 2 mit teils anderen Pflichtangaben.

Wie erstelle ich ein Verarbeitungsverzeichnis Schritt für Schritt?

Alle Verarbeitungstätigkeiten erfassen (z. B. Lohnabrechnung, Bewerbermanagement, Newsletter), je Tätigkeit Zweck, Datenkategorien, Empfänger, Löschfristen und TOMs dokumentieren, das Verzeichnis freigeben und regelmäßig aktualisieren. Eine Vorlage oder Software beschleunigt den Prozess.

Excel-Vorlage oder Software – was ist besser?

Eine Excel-Vorlage genügt für den Einstieg und kleine Verzeichnisse. Bei vielen Verarbeitungstätigkeiten, mehreren Mandanten oder häufigen Änderungen ist eine Software sinnvoller, weil sie Versionierung, Wiedervorlagen und konsistente TOMs erleichtert.

Muss ich das Verzeichnis der Aufsichtsbehörde vorlegen?

Ja. Nach Art. 30 Abs. 4 DSGVO ist das Verzeichnis der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen. Es muss nicht laufend eingereicht, aber jederzeit vorlegbar sein.

Welches Bußgeld droht bei fehlendem Verzeichnis?

Ein fehlendes oder unvollständiges Verzeichnis kann nach Art. 83 Abs. 4 DSGVO mit einer Geldbuße von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden – maßgeblich ist der höhere Betrag.

Wie sieht ein ausgefülltes Verarbeitungsverzeichnis aus?

Ein ausgefülltes Verzeichnis besteht aus einem Kopfbereich und einer Zeile je Verarbeitungstätigkeit. Im Kopf stehen Verantwortlicher, gegebenenfalls gemeinsam Verantwortliche, Vertreter und Datenschutzbeauftragter. Jede Zeile enthält Bezeichnung, Zweck, Kategorien betroffener Personen, Datenkategorien, Rechtsgrundlage, Empfänger, Drittlandbezug, Löschfrist und die technisch-organisatorischen Maßnahmen. Ein vollständig ausgefüllter Einzeleintrag und eine Übersicht mit sieben typischen Tätigkeiten stehen auf dieser Seite als Tabelle.

Gibt es ein kostenloses Muster für das Verarbeitungsverzeichnis?

Ja. Auf dieser Seite steht eine Excel-Vorlage zum Herunterladen bereit, ohne Anmeldung. Sie enthält ein ausgefülltes Beispiel mit sieben typischen Verarbeitungstätigkeiten und dieselbe Struktur noch einmal leer, mit Auswahllisten für Rechtsgrundlage und Drittlandtransfer. Aufsichtsbehörden der Länder veröffentlichen ebenfalls Muster; die Pflichtangaben sind überall dieselben, weil sie unmittelbar aus Art. 30 Abs. 1 DSGVO folgen.

Welche Verarbeitungstätigkeiten muss ein kleines Unternehmen mindestens erfassen?

Erfasst wird jede Tätigkeit, bei der personenbezogene Daten verarbeitet werden — unabhängig davon, ob sie in einer Software oder auf Papier stattfindet. In fast jedem kleinen Unternehmen sind das Lohn- und Gehaltsabrechnung, Kundenverwaltung, Lieferantenverwaltung, Bewerbermanagement und der Betrieb der eigenen Website. Dazu kommen Tätigkeiten mit eigener Fachsoftware, etwa Zeiterfassung, Warenwirtschaft oder Terminverwaltung, sowie Videoüberwachung und Newsletter, sofern vorhanden.

Wie oft muss das Verarbeitungsverzeichnis aktualisiert werden?

Die DSGVO nennt kein Intervall. Maßgeblich ist der Anlass: Eine neue Software, ein neuer Dienstleister, ein neuer Zweck oder eine geänderte Löschfrist müssen zeitnah in das Verzeichnis. Zusätzlich hat sich eine jährliche Vollprüfung bewährt, bei der jeder Eintrag bestätigt oder korrigiert wird. Halten Sie Prüfdatum und nächste Wiedervorlage direkt im Eintrag fest — sonst lässt sich die Aktualität später nicht belegen.

Braucht jede Software einen eigenen Eintrag im Verarbeitungsverzeichnis?

Nein. Das Verzeichnis beschreibt Verarbeitungstätigkeiten, nicht Systeme. Mehrere Programme, die demselben Zweck dienen, gehören in einen Eintrag; ein Programm, das mehrere Zwecke bedient, erscheint in mehreren Einträgen. Die eingesetzten Systeme werden innerhalb des Eintrags genannt, weil sie für Empfänger, Auftragsverarbeitung und technisch-organisatorische Maßnahmen gebraucht werden. Wer nach Systemen gliedert, bekommt ein Verzeichnis, das bei jedem Werkzeugwechsel neu geschrieben werden muss.

Weiterführende Themen zum Datenschutz