Das Verarbeitungsverzeichnis: wer es braucht, was hineingehört — und was sich ändern könnte
„Unter 250 Mitarbeitern brauchen wir das nicht“ — dieser Satz ist der verbreitetste Irrtum zum Verzeichnis von Verarbeitungstätigkeiten. Die Ausnahme steht zwar im Gesetz, aber sie greift fast nie. Gleichzeitig liegt in Brüssel ein Vorschlag auf dem Tisch, der genau das ändern würde — und im Rat festhängt. Beides gehört ehrlich erzählt.
Von Patrick de Kathen, Gründer von KlarComply · Fachlich geprüft am
Warum die 250er-Ausnahme fast nie greift
Art. 30 Abs. 5 DSGVO befreit Unternehmen unter 250 Beschäftigten vom Verzeichnis — außer die Verarbeitung erfolgt „nicht nur gelegentlich“. Und genau daran scheitert die Ausnahme im Alltag: Eine Kundendatei wird täglich gepflegt, der Newsletter regelmäßig versendet, die Lohnabrechnung monatlich gefahren. All das ist regelmäßige Verarbeitung. Praktisch braucht deshalb fast jedes Unternehmen ab dem ersten Kunden ein Verzeichnis — die Ausnahme trifft eher den Verein, der einmal im Jahr eine Teilnehmerliste anlegt.
Was hineingehört — weniger, als viele denken
Das Verzeichnis ist eine strukturierte Bestandsaufnahme, kein Gutachten. Je Verarbeitungstätigkeit (etwa „Kundenverwaltung“, „Bewerbermanagement“, „Newsletter“):
| Angabe | Beispiel |
|---|---|
| Zweck der Verarbeitung | Abwicklung von Kundenaufträgen |
| Kategorien betroffener Personen und Daten | Kunden; Name, Adresse, Bestelldaten |
| Empfänger | Steuerberater, Versanddienstleister, Cloud-Anbieter |
| Drittlandübermittlungen | US-Newsletter-Tool — siehe Drittland-Leitfaden |
| Löschfristen | Angebotsdaten 2 Jahre, Rechnungen 10 Jahre |
| Beschreibung der Schutzmaßnahmen (Art. 32) | Zugriffskonzept, Verschlüsselung, Backups |
Die beste Quelle dafür ist ein gepflegtes Tool-Inventar: Wer je Werkzeug notiert hat, ob es Personenbezug hat, ob ein AVV besteht und ob Daten in Drittländer fließen, hat das halbe Verzeichnis bereits beisammen — eine Erfassung, zwei Nachweise.
Digital Omnibus: Die Befreiung bis 750 Beschäftigte ist NICHT beschlossen
Der Kommissionsvorschlag vom 19. November 2025 (COM(2025) 837) will die Verzeichnispflicht deutlich lockern: Befreiung für Organisationen unter 750 Beschäftigten, Verzeichnis nur noch bei Verarbeitungen mit voraussichtlich hohem Risiko. Das wäre für die meisten KMU das Ende der Pflicht — aber: Der Datenschutz-Strang des Omnibus hängt im Rat fest; die zyprische Präsidentschaft zog ihren Kompromisstext im Juni 2026 zurück, eine Ratsposition fehlt. Stand 1. September 2026 gilt Art. 30 unverändert. Wer das Verzeichnis heute weglässt, weil „das eh abgeschafft wird“, verwechselt einen Vorschlag mit einem Gesetz.
Der pragmatische Weg für KMU
Das Verzeichnis muss weder schön noch lang sein — es muss stimmen und auffindbar sein. Für ein typisches KMU sind es selten mehr als acht bis zwölf Verarbeitungstätigkeiten auf wenigen Seiten. Einmal sauber aufgesetzt, kostet die Pflege wenige Minuten pro Quartal: neue Tools eintragen, ausgeschiedene streichen, Löschfristen prüfen. Auf Verlangen ist es der Aufsichtsbehörde vorzulegen — und es ist regelmäßig das Erste, wonach sie fragt.
Der Startpunkt
Der kostenlose 2-Minuten-Check zeigt, wo Sie stehen. Im Abo (ab 49 €/Monat) pflegen Sie das Tool-Inventar mit Datenschutz-Angaben je Werkzeug — die Grundlage, aus der Verzeichnis und Nachweis-Akte entstehen.
Häufige Fragen
Brauchen Unternehmen unter 250 Mitarbeitern ein Verarbeitungsverzeichnis?
In der Regel ja. Die Ausnahme des Art. 30 Abs. 5 DSGVO entfällt, sobald regelmäßig verarbeitet wird — und Kundendatei, Newsletter oder Lohnabrechnung sind regelmäßige Verarbeitung. Die Befreiung greift praktisch nur bei tatsächlich gelegentlicher Verarbeitung.
Schafft der Digital Omnibus das Verzeichnis für KMU ab?
Vorgeschlagen ja (Befreiung unter 750 Beschäftigten, Pflicht nur bei hohem Risiko), beschlossen nein: Der Datenschutz-Strang hat mit Stand 1. September 2026 keine Ratsposition. Bis zu einer Einigung und ihrem Inkrafttreten gilt Art. 30 unverändert.
Wo steht Ihr Unternehmen?
Der kostenlose Quick-Check geht zehn Punkte durch — KI-Inventar, Schulungsstand, Transparenzpflichten, Zuständigkeiten. In zwei Minuten, ohne Anmeldung, mit ehrlichem Ergebnis und konkreten Lücken.
Quick-Check starten — kostenlosArt. 30 DSGVO — Verzeichnis von Verarbeitungstätigkeiten
COM(2025) 837 — Digital-Omnibus-Vorschlag der EU-Kommission