Verzeichnis von Verarbeitungstaetigkeiten – Art. 30 DSGVO Grundlagen
Wann dieses Modul hilft
- Mandant fragt: "Brauchen wir ein Verarbeitungsverzeichnis?"
- Aufsichtsbehoerde verlangt nach Art. 30 Abs. 4 DSGVO Vorlage des Verzeichnisses.
- Audit eines bestehenden Verzeichnisses auf Vollstaendigkeit.
- Erstaufbau eines RoPA in einer Kanzlei, einem Unternehmen oder einer öffentlichen Stelle.
- Abgrenzung Controller-Verzeichnis (Art. 30 Abs. 1 DSGVO) vs. Processor-Verzeichnis (Art. 30 Abs. 2 DSGVO).
Rechtlicher Rahmen
Art. 30 Abs. 1 DSGVO – Verzeichnis des Verantwortlichen (Controller)
Pflichtinhalte:
- Name und Kontaktdaten des Verantwortlichen, ggf. gemeinsam Verantwortlicher, Vertreter und Datenschutzbeauftragter.
- Zwecke der Verarbeitung.
- Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten.
- Kategorien von Empfaengern, denen offengelegt wurde oder noch offengelegt wird.
- Drittlandtransfer: Empfaengerland und Dokumentation geeigneter Garantien (Art. 46 Abs. 2 DSGVO).
- Vorgesehene Loeschfristen für die verschiedenen Datenkategorien.
- Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 Abs. 1 DSGVO.
Art. 30 Abs. 2 DSGVO – Verzeichnis des Auftragsverarbeiters (Processor)
Pflichtinhalte:
- Name und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, für den er tätig ist, ggf. Vertreter und DSB.
- Kategorien der im Auftrag jedes Verantwortlichen durchgefuehrten Verarbeitungen.
- Drittlandtransfer: Empfaengerland und geeignete Garantien.
- Allgemeine Beschreibung der TOMs (Art. 32 Abs. 1 DSGVO).
Art. 30 Abs. 3 DSGVO – Schriftform
Schriftlich oder elektronisch. In der Praxis: Excel, Datenbank, RoPA-Software, Word-Dokument. Wichtig: aktuell halten, datierte Versionen.
Art. 30 Abs. 4 DSGVO – Vorlagepflicht
Auf Anforderung der Aufsichtsbehoerde vorzulegen.
Art. 30 Abs. 5 DSGVO – Ausnahme für KMU
Unternehmen oder Einrichtungen mit weniger als 250 Mitarbeitern sind grundsätzlich befreit, es sei denn:
- die Verarbeitung birgt ein Risiko für Rechte und Freiheiten;
- die Verarbeitung erfolgt nicht nur gelegentlich;
- die Verarbeitung umfasst besondere Datenkategorien (Art. 9 DSGVO) oder Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO).
In der Praxis: praktisch jede Kanzlei, jede Arztpraxis, jedes HR-System eines Mittelstaendlers erfuellt mindestens einen Ausnahmegrund. Die KMU-Ausnahme ist daher weitgehend Theorie.
§ 70 BDSG – RoPA für Bundesbehoerden
Für Bundesbehoerden im Anwendungsbereich der JI-Richtlinie (Polizei und Justiz) gilt § 70 BDSG mit eigenen Mindestinhalten.
Ablauf / Checkliste
- Rollenklaerung: Ist die Stelle Verantwortlicher, gemeinsam Verantwortlicher (Art. 26 DSGVO), Auftragsverarbeiter (Art. 28 DSGVO) oder mehreres zugleich?
- Pflichtenpruefung: Greift Art. 30 Abs. 5 DSGVO oder ist Verzeichnis ohnehin Pflicht?
- Inventar: Welche Verarbeitungstaetigkeiten gibt es? Faustregel: pro Geschäftsprozess eine Zeile.
- Mindestinhalte erfassen: je nach Rolle 7 (Controller) oder 4 (Processor) Felder.
- Drittlandtransfer: separate Spalte; Verweis auf SCC, BCR, DPF, Angemessenheitsbeschluss.
- Loeschfristen: konkrete Fristen, nicht "nach gesetzlichen Vorgaben".
- TOM-Referenz: Verweis auf TOM-Konzept; nicht jede Maßnahme im RoPA wiederholen.
- Versionierung: Datierte Snapshots für Audit-Trail.
- Review-Zyklus: jaehrlich oder bei wesentlicher Änderung.
Mustertext / Template
Tabellenkopf (Controller):
| Lfd. Nr. |
Verarbeitungstaetigkeit |
Zweck |
Rechtsgrundlage |
Kategorien Betroffene |
Datenkategorien |
Empfaengerkategorien |
Drittland / Garantie |
Loeschfrist |
TOM-Verweis |
Tabellenkopf (Processor):
| Lfd. Nr. |
Auftraggeber |
Verarbeitungskategorie |
Drittland / Garantie |
TOM-Verweis |
Konkrete Vorlagen liefern die Skills:
ropa-art-30-controller-deutsch-vorlageropa-art-30-processor-deutsch-vorlageropa-en-controller-templateropa-en-processor-template
Typische Fehler
- KMU-Ausnahme bejaht, obwohl regelmäßige Personalverarbeitung erfolgt.
- TOM-Spalte mit "Verschluesselung" abgespeist – zu pauschal, Aufsichtsbehoerde fordert Konkretion.
- Drittlandtransfer nicht erfasst, obwohl SaaS in den USA gehostet wird.
- Empfaengerkategorien fehlen oder werden mit Einzelempfaengern verwechselt.
- Kein Versionsstand; bei Audit unklar, welcher Stand zum Prüfzeitpunkt galt.
- Loeschfristen pauschal "10 Jahre"; ohne Differenzierung nach Datenkategorie.
- Doppelte Pflege RoPA / DSFA / TOM-Konzept ohne Querverweise.
Quellen Stand 06/2026
- VO (EU) 2016/679 (DSGVO), insbesondere Art. 30, Erwaegungsgrund 13, 82.
- BDSG, insbesondere § 70 für Bundesbehoerden.
- EDSA: Position Paper on Article 30(5) GDPR (vom 19.04.2018).
- Konferenz der unabhaengigen Datenschutzaufsichtsbehoerden des Bundes und der Länder (DSK): Kurzpapier Nr. 1 "Verzeichnis von Verarbeitungstaetigkeiten" (Stand 17.12.2018).
1---2name: ropa-art-30-dsgvo-grundlagen3description: Für Verzeichnis von Verarbeitungstätigkeiten – Art. 30 DSGVO Grundlagen: ordnet Norm, Beweislast und Gegenargument; Ergebnis: Prüfprodukt mit Risiko und nächstem Schritt.4---56# Verzeichnis von Verarbeitungstaetigkeiten – Art. 30 DSGVO Grundlagen78## Wann dieses Modul hilft910- Mandant fragt: "Brauchen wir ein Verarbeitungsverzeichnis?"11- Aufsichtsbehoerde verlangt nach Art. 30 Abs. 4 DSGVO Vorlage des Verzeichnisses.12- Audit eines bestehenden Verzeichnisses auf Vollstaendigkeit.13- Erstaufbau eines RoPA in einer Kanzlei, einem Unternehmen oder einer öffentlichen Stelle.14- Abgrenzung Controller-Verzeichnis (Art. 30 Abs. 1 DSGVO) vs. Processor-Verzeichnis (Art. 30 Abs. 2 DSGVO).1516## Rechtlicher Rahmen1718### Art. 30 Abs. 1 DSGVO – Verzeichnis des Verantwortlichen (Controller)1920Pflichtinhalte:21221. Name und Kontaktdaten des Verantwortlichen, ggf. gemeinsam Verantwortlicher, Vertreter und Datenschutzbeauftragter.232. Zwecke der Verarbeitung.243. Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten.254. Kategorien von Empfaengern, denen offengelegt wurde oder noch offengelegt wird.265. Drittlandtransfer: Empfaengerland und Dokumentation geeigneter Garantien (Art. 46 Abs. 2 DSGVO).276. Vorgesehene Loeschfristen für die verschiedenen Datenkategorien.287. Allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 Abs. 1 DSGVO.2930### Art. 30 Abs. 2 DSGVO – Verzeichnis des Auftragsverarbeiters (Processor)3132Pflichtinhalte:33341. Name und Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, für den er tätig ist, ggf. Vertreter und DSB.352. Kategorien der im Auftrag jedes Verantwortlichen durchgefuehrten Verarbeitungen.363. Drittlandtransfer: Empfaengerland und geeignete Garantien.374. Allgemeine Beschreibung der TOMs (Art. 32 Abs. 1 DSGVO).3839### Art. 30 Abs. 3 DSGVO – Schriftform4041Schriftlich oder elektronisch. In der Praxis: Excel, Datenbank, RoPA-Software, Word-Dokument. Wichtig: aktuell halten, datierte Versionen.4243### Art. 30 Abs. 4 DSGVO – Vorlagepflicht4445Auf Anforderung der Aufsichtsbehoerde vorzulegen.4647### Art. 30 Abs. 5 DSGVO – Ausnahme für KMU4849Unternehmen oder Einrichtungen mit weniger als 250 Mitarbeitern sind grundsätzlich befreit, **es sei denn**:5051- die Verarbeitung birgt ein Risiko für Rechte und Freiheiten;52- die Verarbeitung erfolgt nicht nur gelegentlich;53- die Verarbeitung umfasst besondere Datenkategorien (Art. 9 DSGVO) oder Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO).5455In der Praxis: praktisch jede Kanzlei, jede Arztpraxis, jedes HR-System eines Mittelstaendlers erfuellt mindestens einen Ausnahmegrund. Die KMU-Ausnahme ist daher weitgehend Theorie.5657### § 70 BDSG – RoPA für Bundesbehoerden5859Für Bundesbehoerden im Anwendungsbereich der JI-Richtlinie (Polizei und Justiz) gilt § 70 BDSG mit eigenen Mindestinhalten.6061## Ablauf / Checkliste62631. **Rollenklaerung:** Ist die Stelle Verantwortlicher, gemeinsam Verantwortlicher (Art. 26 DSGVO), Auftragsverarbeiter (Art. 28 DSGVO) oder mehreres zugleich?642. **Pflichtenpruefung:** Greift Art. 30 Abs. 5 DSGVO oder ist Verzeichnis ohnehin Pflicht?653. **Inventar:** Welche Verarbeitungstaetigkeiten gibt es? Faustregel: pro Geschäftsprozess eine Zeile.664. **Mindestinhalte erfassen:** je nach Rolle 7 (Controller) oder 4 (Processor) Felder.675. **Drittlandtransfer:** separate Spalte; Verweis auf SCC, BCR, DPF, Angemessenheitsbeschluss.686. **Loeschfristen:** konkrete Fristen, nicht "nach gesetzlichen Vorgaben".697. **TOM-Referenz:** Verweis auf TOM-Konzept; nicht jede Maßnahme im RoPA wiederholen.708. **Versionierung:** Datierte Snapshots für Audit-Trail.719. **Review-Zyklus:** jaehrlich oder bei wesentlicher Änderung.7273## Mustertext / Template7475Tabellenkopf (Controller):7677| Lfd. Nr. | Verarbeitungstaetigkeit | Zweck | Rechtsgrundlage | Kategorien Betroffene | Datenkategorien | Empfaengerkategorien | Drittland / Garantie | Loeschfrist | TOM-Verweis |78|---|---|---|---|---|---|---|---|---|---|7980Tabellenkopf (Processor):8182| Lfd. Nr. | Auftraggeber | Verarbeitungskategorie | Drittland / Garantie | TOM-Verweis |83|---|---|---|---|---|8485Konkrete Vorlagen liefern die Skills:8687- `ropa-art-30-controller-deutsch-vorlage`88- `ropa-art-30-processor-deutsch-vorlage`89- `ropa-en-controller-template`90- `ropa-en-processor-template`9192## Typische Fehler9394- KMU-Ausnahme bejaht, obwohl regelmäßige Personalverarbeitung erfolgt.95- TOM-Spalte mit "Verschluesselung" abgespeist – zu pauschal, Aufsichtsbehoerde fordert Konkretion.96- Drittlandtransfer nicht erfasst, obwohl SaaS in den USA gehostet wird.97- Empfaengerkategorien fehlen oder werden mit Einzelempfaengern verwechselt.98- Kein Versionsstand; bei Audit unklar, welcher Stand zum Prüfzeitpunkt galt.99- Loeschfristen pauschal "10 Jahre"; ohne Differenzierung nach Datenkategorie.100- Doppelte Pflege RoPA / DSFA / TOM-Konzept ohne Querverweise.101102## Quellen Stand 06/2026103104- VO (EU) 2016/679 (DSGVO), insbesondere Art. 30, Erwaegungsgrund 13, 82.105- BDSG, insbesondere § 70 für Bundesbehoerden.106- EDSA: Position Paper on Article 30(5) GDPR (vom 19.04.2018).107- Konferenz der unabhaengigen Datenschutzaufsichtsbehoerden des Bundes und der Länder (DSK): Kurzpapier Nr. 1 "Verzeichnis von Verarbeitungstaetigkeiten" (Stand 17.12.2018).
Klotzkette