Verarbeitungsverzeichnis (Verzeichnis von Verarbeitungstätigkeiten)
Das Verarbeitungsverzeichnis ist die Dokumentation aller Verarbeitungstätigkeiten eines Unternehmens: je Tätigkeit Zweck, Kategorien betroffener Personen und Daten, Empfänger, Übermittlungen in Drittländer, Löschfristen und die vorgesehenen Maßnahmen. Es ist der erste Nachweis, den eine Aufsichtsbehörde anfordert, und die Grundlage für Löschkonzept und Auskunftsfähigkeit.
Aktualisiert am: 19.08.2026
Wer es führen muss
Grundsätzlich jeder Verantwortliche. Die Ausnahme für Unternehmen unter 250 Beschäftigten greift in der Praxis fast nie, weil sie entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt, ein Risiko birgt oder besondere Datenkategorien betrifft — was auf Personalverwaltung bereits zutrifft.
Wie man es pflegbar hält
Nach Prozessen gliedern, nicht nach Systemen: Bewerbung, Personalverwaltung, Kundenbetreuung, Videoüberwachung. Ein Verzeichnis, das jeder Systemwechsel unbrauchbar macht, wird nicht gepflegt. Sinnvoll ist eine feste jährliche Durchsicht mit den Fachbereichen und die Verknüpfung zum Asset-Register.
Wo das im Mandat vorkommt
Aufbau und Erstbefüllung sind Teil des Datenschutz-Audits; die laufende Pflege übernehme ich als externer Datenschutzbeauftragter gemeinsam mit den Fachbereichen.
Häufige Frage
Muss das Verarbeitungsverzeichnis veröffentlicht werden?
Nein. Es ist ein internes Nachweisdokument und wird der Aufsichtsbehörde auf Anfrage vorgelegt. Betroffene Personen erhalten stattdessen die Informationen nach den Informationspflichten, etwa in der Datenschutzerklärung.