Das Verzeichnis eines Verantwortlichen erfasst alle Verarbeitungst\u00e4tigkeiten, die seiner Zust\u00e4ndigkeit unterliegen, das eines Auftragsverarbeiters alle Kategorien von im Auftrag eines Verantwortlichen durchgef\u00fchrten T\u00e4tigkeiten der Verarbeitung. Zur F\u00fchrung sind nach Art. 30 Abs. 1 und 2 DSGVO Verantwortliche und Auftragsverarbeiter sowie gegebenenfalls ihre Vertreter verpflichtet; nach Art. 30 Abs. 5 DSGVO gilt das nicht f\u00fcr Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter<\/strong> besch\u00e4ftigen, aber nur, wenn die Verarbeitung kein Risiko f\u00fcr die Rechte und Freiheiten der betroffenen Personen birgt, nur gelegentlich erfolgt und weder besondere Datenkategorien nach Art. 9 Abs. 1 noch Daten \u00fcber strafrechtliche Verurteilungen und Straftaten einschlie\u00dft; nach Kurzpapier Nr. 1 der Datenschutzkonferenz besteht die Pflicht bereits, wenn mindestens eine dieser Fallgruppen erf\u00fcllt ist.<\/p>\n Das Verzeichnis ist nach Art. 30 Abs. 3 DSGVO schriftlich zu f\u00fchren<\/strong>, was auch in einem elektronischen Format erfolgen kann. Nach den Hinweisen der Datenschutzkonferenz ist es das Ziel, dass die Aufsichtsbeh\u00f6rde die Verarbeitungsvorg\u00e4nge anhand dieser Verzeichnisse kontrollieren kann. Ein Versicherer dokumentiert im Verzeichnis von Verarbeitungst\u00e4tigkeiten unter anderem die Verarbeitung von Antrags- und Schadensdaten und stellt das Verzeichnis der Aufsichtsbeh\u00f6rde auf Anfrage zur Verf\u00fcgung.<\/p>\n Im Verzeichnis eines Verantwortlichen stehen nach Art. 30 Abs. 1 DSGVO unter anderem die Zwecke der Verarbeitung, eine Beschreibung der Kategorien betroffener Personen und der Kategorien personenbezogener Daten sowie, wenn m\u00f6glich, die vorgesehenen Fristen f\u00fcr die L\u00f6schung der verschiedenen Datenkategorien. Der Auftragsverarbeiter f\u00fchrt ein Verzeichnis zu allen Kategorien<\/strong> von im Auftrag eines Verantwortlichen durchgef\u00fchrten T\u00e4tigkeiten der Verarbeitung (Art. 30 Abs. 2 DSGVO).<\/p>\n Auf Anfrage stellen der Verantwortliche oder der Auftragsverarbeiter sowie gegebenenfalls der Vertreter des Verantwortlichen oder des Auftragsverarbeiters der Aufsichtsbeh\u00f6rde das Verzeichnis zur Verf\u00fcgung (Art. 30 Abs. 4 DSGVO). Beschr\u00e4nkt die Aufsichtsbeh\u00f6rde ihre Untersuchungen auf bestimmte Verarbeitungst\u00e4tigkeiten, sind nach den Hinweisen der Datenschutzkonferenz nach Ma\u00dfgabe der Erforderlichkeit<\/strong> nur die daf\u00fcr relevanten Abschnitte des Verzeichnisses vorzulegen. Eine M\u00f6glichkeit f\u00fcr jedermann, in das Verzeichnis Einsicht zu nehmen, ist nach der DSGVO nicht vorgesehen, wie das Kurzpapier Nr. 1 der Datenschutzkonferenz festh\u00e4lt. Das aus dem bisherigen BDSG bekannte Verfahrensverzeichnis (\u00a7 4g Abs. 2 und 2a BDSG) wird nach demselben Kurzpapier mit der DSGVO durch das Verzeichnis aller Verarbeitungst\u00e4tigkeiten abgel\u00f6st.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,406,405],"class_list":["post-33839","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-dsgvo-datenschutz","glossary_intl_topic-datenschutz-datensicherheit"],"acf":{"card_description":"Verzeichnis von Verarbeitungst\u00e4tigkeiten: Dokumentation der Verarbeitungen von Verantwortlichen und Auftragsverarbeitern nach Artikel 30 DSGVO.","nav_theme":"Datenschutz & Datensicherheit","nav_subtheme":"DSGVO & Datenschutz","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Verzeichnis der Verarbeitungst\u00e4tigkeiten"},{"value":"Verarbeitungsverzeichnis"}],"lead_definition":"Das Verzeichnis von Verarbeitungst\u00e4tigkeiten, auch Verarbeitungsverzeichnis genannt, ist die in Artikel 30 DSGVO geregelte Dokumentation der Verarbeitungst\u00e4tigkeiten, f\u00fcr die ein Verantwortlicher zust\u00e4ndig ist, sowie der Kategorien von T\u00e4tigkeiten der Verarbeitung, die ein Auftragsverarbeiter im Auftrag eines Verantwortlichen durchf\u00fchrt.","at_a_glance":[{"bullet":"Zur F\u00fchrung sind Verantwortliche, Auftragsverarbeiter und gegebenenfalls ihre Vertreter verpflichtet; Unternehmen oder Einrichtungen mit weniger als 250 Mitarbeitern sind nur ausgenommen, wenn die Verarbeitung kein Risiko f\u00fcr die Rechte und Freiheiten der betroffenen Personen birgt, nur gelegentlich erfolgt und weder besondere Datenkategorien noch Daten \u00fcber strafrechtliche Verurteilungen und Straftaten einschlie\u00dft; die Pflicht besteht bereits, wenn mindestens eine dieser drei Fallgruppen erf\u00fcllt ist (Art. 30 Abs. 1, 2 und 5 DSGVO; Kurzpapier Nr. 1 der DSK)."},{"bullet":"Das Verzeichnis ist schriftlich zu f\u00fchren, was auch in einem elektronischen Format erfolgen kann (Art. 30 Abs. 3 DSGVO)."},{"bullet":"Nach Kurzpapier Nr. 1 der Datenschutzkonferenz k\u00f6nnen eine fehlende oder nicht vollst\u00e4ndige F\u00fchrung oder das Nichtvorlegen nach Aufforderung durch die Aufsichtsbeh\u00f6rde nach Art. 83 Abs. 4 lit. a DSGVO mit einer Geldbu\u00dfe sanktioniert werden."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Auftragsverarbeiter f\u00fchrt nach Art. 30 Abs. 2 DSGVO ein Verzeichnis zu den im Auftrag eines Verantwortlichen durchgef\u00fchrten T\u00e4tigkeiten der Verarbeitung."},{"example":"Beschr\u00e4nkt die Aufsichtsbeh\u00f6rde ihre Untersuchungen auf bestimmte Verarbeitungst\u00e4tigkeiten, sind nach den Hinweisen der Datenschutzkonferenz nur die daf\u00fcr relevanten Abschnitte des Verzeichnisses vorzulegen, und zwar nach Ma\u00dfgabe der Erforderlichkeit."},{"example":"Ein Versicherer h\u00e4lt im Verzeichnis von Verarbeitungst\u00e4tigkeiten unter anderem die Verarbeitung von Antrags- und Schadensdaten fest und stellt das Verzeichnis der Aufsichtsbeh\u00f6rde auf Anfrage zur Verf\u00fcgung."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33741,33862,33865],"pillar_link":null,"sources":[{"publisher":"","name":"Verordnung (EU) 2016\/679 (Datenschutz-Grundverordnung)","url":"https:\/\/publications.europa.eu\/resource\/cellar\/3e485e15-11bd-11e6-ba9a-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Kurzpapier Nr. 1: Verzeichnis von Verarbeitungst\u00e4tigkeiten \u2013 Art. 30 DS-GVO","url":"https:\/\/www.datenschutzkonferenz-online.de\/media\/kp\/dsk_kpnr_1.pdf","doc_type":"2018","group":"used"},{"publisher":"","name":"Hinweise zum Verzeichnis von Verarbeitungst\u00e4tigkeiten, Art. 30 DS-GVO","url":"https:\/\/www.datenschutzkonferenz-online.de\/media\/ah\/201802_ah_verzeichnis_verarbeitungstaetigkeiten.pdf","doc_type":"2018","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-23"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert Verzeichnis von Verarbeitungst\u00e4tigkeiten?<\/h2>\n
Wer muss ein Verzeichnis von Verarbeitungst\u00e4tigkeiten f\u00fchren?<\/h2>\n
\n\n
\n \nAdressat oder Fall<\/th>\n Was das bedeutet<\/th>\n<\/tr>\n<\/thead>\n \n Verantwortlicher (Art. 30 Abs. 1 DSGVO)<\/td>\n Jeder Verantwortliche und gegebenenfalls sein Vertreter f\u00fchren ein Verzeichnis aller Verarbeitungst\u00e4tigkeiten, die ihrer Zust\u00e4ndigkeit unterliegen.<\/td>\n<\/tr>\n \n Auftragsverarbeiter (Art. 30 Abs. 2 DSGVO)<\/td>\n Jeder Auftragsverarbeiter und gegebenenfalls sein Vertreter f\u00fchren ein Verzeichnis zu allen Kategorien von im Auftrag eines Verantwortlichen durchgef\u00fchrten T\u00e4tigkeiten der Verarbeitung.<\/td>\n<\/tr>\n \n Ausnahme (Art. 30 Abs. 5 DSGVO)<\/td>\n Die Pflichten gelten nicht f\u00fcr Unternehmen oder Einrichtungen, die weniger als 250 Mitarbeiter besch\u00e4ftigen, sofern keine der drei R\u00fcckausnahmen zutrifft.<\/td>\n<\/tr>\n \n R\u00fcckausnahmen (Art. 30 Abs. 5 DSGVO)<\/td>\n Die Ausnahme gilt nicht, wenn die Verarbeitung ein Risiko f\u00fcr die Rechte und Freiheiten der betroffenen Personen birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien nach Art. 9 Abs. 1 bzw. Daten \u00fcber strafrechtliche Verurteilungen und Straftaten einschlie\u00dft.<\/td>\n<\/tr>\n \n Reichweite der R\u00fcckausnahmen (Kurzpapier Nr. 1 der DSK)<\/td>\n Die Pflicht zur F\u00fchrung eines Verzeichnisses besteht bereits dann, wenn mindestens eine der genannten Fallgruppen erf\u00fcllt ist.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n