Verarbeitungsverzeichnis nach Art. 30 DSGVO für Software- und SaaS-Unternehmen

Kurz beantwortet: Das Verarbeitungsverzeichnis, kurz VVT, ist die schriftliche oder elektronische Übersicht, welche personenbezogenen Daten Ihr Unternehmen zu welchen Zwecken, über welche Personengruppen und an welche Empfänger verarbeitet (Art. 30 DSGVO). Für Software- und SaaS-Unternehmen mit laufender Kunden- und Nutzerdatenverarbeitung greift die Ausnahme für Unternehmen unter 250 Mitarbeitern regelmäßig nicht, weil die Verarbeitung nicht nur gelegentlich erfolgt. Wer zugleich im Auftrag seiner Kunden Daten verarbeitet, führt zwei Fassungen: das Verzeichnis des Verantwortlichen und das des Auftragsverarbeiters.

Was genau verlangt Art. 30 DSGVO?

Das Verzeichnis von Verarbeitungstätigkeiten klingt nach Bürokratie und wird deshalb gern aufgeschoben. Dabei ist es die Landkarte Ihres Datenschutzes und zugleich der erste Nachweis, den eine Aufsichtsbehörde oder ein Enterprise-Kunde sehen will. Für Softwareunternehmen führt an ihm praktisch kein Weg vorbei.

Das Verzeichnis nach Art. 30 DSGVO ist die dokumentierte Übersicht Ihrer Verarbeitungstätigkeiten. Für den Verantwortlichen verlangt Absatz 1 je Tätigkeit:

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des gemeinsam Verantwortlichen, des Vertreters und des Datenschutzbeauftragten (lit. a),
• die Zwecke der Verarbeitung (lit. b),
• die Kategorien betroffener Personen und personenbezogener Daten (lit. c),
• die Kategorien von Empfängern, auch in Drittländern (lit. d),
• gegebenenfalls Übermittlungen in Drittländer (lit. e),
• wenn möglich die vorgesehenen Löschfristen (lit. f) und
• wenn möglich eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen (lit. g).

Die Rechtsgrundlage gehört nicht zu den Pflichtangaben, wird in der Praxis aber sinnvollerweise mit erfasst. Die schlankere Fassung des Auftragsverarbeiters nach Absatz 2 nennt jeden Verantwortlichen, für den Sie tätig sind, die Kategorien der Verarbeitungen, Drittlandübermittlungen und, wenn möglich, die TOMs. Ein SaaS-Unternehmen ist oft beides zugleich und führt entsprechend beide Fassungen.

Greift die 250-Mitarbeiter-Ausnahme für Sie?

Ein verbreiteter Irrtum lautet: „Wir sind unter 250 Mitarbeiter, also brauchen wir kein VVT.“ Zwar nimmt Art. 30 Abs. 5 DSGVO kleinere Unternehmen grundsätzlich aus, die Ausnahme entfällt aber, sobald die Verarbeitung ein Risiko birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien betrifft. Bei einem Software-Unternehmen mit laufender Kunden- und Nutzerdatenverarbeitung ist „nicht nur gelegentlich“ der Normalfall. Für SaaS-Unternehmen ist das Verzeichnis deshalb in aller Regel Pflicht.

Die EU arbeitet an einer Lockerung: Nach dem Vorschlag der Kommission im Vereinfachungspaket Omnibus IV (COM(2025) 501) soll die Ausnahme in Art. 30 Abs. 5 DSGVO auf größere Unternehmen ausgeweitet und die Pflicht auf Verarbeitungen mit voraussichtlich hohem Risiko beschränkt werden. Bis die Änderung im Amtsblatt veröffentlicht und in Kraft getreten ist, gilt die heutige Fassung. Auch danach bleibt das Verzeichnis für SaaS-Anbieter das Arbeitsmittel, auf das Kundenprüfungen, AVV und Löschkonzept zurückgreifen.

Von dieser Schwelle zu trennen ist die Pflicht zur Benennung eines Datenschutzbeauftragten, die im deutschen Recht bereits bei 20 ständig mit automatisierter Verarbeitung befassten Personen greift, dazu der Beitrag zum Datenschutzbeauftragten.

Welche Tätigkeiten gehören bei einem Softwareunternehmen ins VVT?

Bei Software- und SaaS-Unternehmen wiederholen sich die Verarbeitungstätigkeiten. Als Ausgangspunkt für das Verzeichnis des Verantwortlichen eignen sich:

• Vertrieb und Kundenverwaltung: CRM, Angebote, Vertragsabwicklung und Rechnungsstellung.
• Support: Ticketsystem, Telefon- und E-Mail-Support.
• Produktbetrieb für eigene Zwecke: Nutzerkonten, Logdaten, Sicherheits- und Nutzungsauswertungen, soweit Sie diese für eigene Zwecke verarbeiten.
• Website und Marketing: Kontaktformular, Newsletter, Analysewerkzeuge.
• Personal und Bewerbungen: Personalverwaltung, Lohnabrechnung, Bewerbermanagement.
• KI-Funktionen: Eingaben, Ausgaben und gegebenenfalls Trainingsdaten, wenn Ihr Produkt oder Ihr Team KI-Dienste nutzt.

Die Daten, die Ihre Kunden in Ihrem Produkt verarbeiten, gehören dagegen in das Verzeichnis des Auftragsverarbeiters, mit Namen und Kontaktdaten jedes Kunden als Verantwortlichem (Art. 30 Abs. 2 lit. a DSGVO). Bei standardisierten Leistungen lässt sich das über eine gepflegte Kundenliste abbilden. Welche Rolle Sie im Einzelnen haben, klärt der Beitrag zur AVV.

Wie schlank darf ein VVT bleiben, und in welcher Form?

Ein VVT muss die tatsächlichen Verarbeitungen vollständig und aktuell abbilden, nicht möglichst dick sein. Sinnvoll ist eine schlanke Struktur, die pro Verarbeitungstätigkeit die geforderten Angaben knapp erfasst und sich ohne großen Aufwand fortschreiben lässt, wenn neue Tools oder Prozesse dazukommen.

Eine bestimmte Software schreibt die DSGVO nicht vor. Das Verzeichnis ist schriftlich zu führen, was auch elektronisch erfolgen kann (Art. 30 Abs. 3 DSGVO). Eine gepflegte Tabelle genügt ebenso wie ein Datenschutz-Tool; entscheidend ist, dass jemand zuständig ist und das Verzeichnis aktuell bleibt. Einreichen müssen Sie es nirgends, Sie stellen es der Aufsichtsbehörde auf Anfrage zur Verfügung (Art. 30 Abs. 4 DSGVO).

Wofür brauchen Sie das Verzeichnis im Alltag?

Das VVT ist mehr als eine Pflichtübung. Wer es führt, hat den Überblick, welche Daten wohin fließen, die Grundlage für AVV, TOMs, Löschkonzept und die Beantwortung von Betroffenenanfragen. Im Ernstfall, bei Datenpanne, Behördenanfrage oder Kunden-Audit, ist es das Dokument, das Sie sofort vorlegen können, statt es unter Druck zu rekonstruieren. Auf welcher Rechtsgrundlage die einzelnen Verarbeitungen im Verzeichnis beruhen, ordnet der Beitrag zu den Rechtsgrundlagen nach Art. 6 DSGVO ein.

Wie das in der Praxis aussieht

Ein Beispiel, wie es in dieser Form häufig vorkommt: Ein Anbieter von Software zur Liegeplatzverwaltung für Yachthäfen hat zwölf Mitarbeitende. Ein Hafenbetreiber kündigt ein Datenschutz-Audit an, ein Verzeichnis der Verarbeitungstätigkeiten gibt es nicht, weil die Geschäftsführung es bei dieser Größe für entbehrlich hielt. Zu klären ist, ob die Ausnahme für Unternehmen unter 250 Mitarbeitern greift. Sie entfällt, sobald die Verarbeitung nicht nur gelegentlich erfolgt, und die laufende Verwaltung von Liegeplatzmietern ist der Normalfall. Hinzu kommt die Doppelrolle: Für eigene Zwecke ist der Anbieter Verantwortlicher, für die Daten der Häfen Auftragsverarbeiter.

Danach trennen sich die Wege. Für die eigenen Verarbeitungen, etwa Personalverwaltung, Vertrieb und Support, entsteht das Verzeichnis des Verantwortlichen mit Zwecken, Datenkategorien, Empfängern und Löschfristen. Für die Verarbeitung im Auftrag der Häfen genügt die schlankere Fassung des Auftragsverarbeiters, die jeden Hafen als Auftraggeber benennt. Beide bleiben knapp, bilden die tatsächlichen Verarbeitungen vollständig ab und lassen sich fortschreiben, wenn ein neues Tool hinzukommt. Darauf bauen AVVs, TOMs und Löschkonzept auf. Am Ende stehen zwei Verzeichnisse, die sich im Audit vorlegen lassen. Wie sie aktuell bleiben, zeigt das Rechtssystem.

Häufige Fragen

Wer muss ein Verarbeitungsverzeichnis führen?

Grundsätzlich jeder Verantwortliche und jeder Auftragsverarbeiter. Die Ausnahme für Unternehmen unter 250 Mitarbeitern entfällt bereits, sobald die Verarbeitung ein Risiko birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien betrifft, sodass ein SaaS-Unternehmen mit laufender Kunden- und Nutzerdatenverarbeitung regelmäßig ein Verzeichnis führt.

Was gehört in ein Verarbeitungsverzeichnis?

Das Verzeichnis erfasst pro Verarbeitungstätigkeit, welche personenbezogenen Daten Sie zu welchem Zweck, mit welchen Empfängern verarbeiten und, wenn möglich, nach welchen Fristen Sie löschen; die Rechtsgrundlage ist keine Pflichtangabe, wird aber üblicherweise mit aufgenommen. Für den Verantwortlichen gilt die ausführlichere Fassung nach Absatz 1, für den Auftragsverarbeiter die schlankere nach Absatz 2.

Reicht ein schlankes Verzeichnis aus?

Ja. Das Verzeichnis muss die tatsächlichen Verarbeitungen vollständig und aktuell abbilden, nicht möglichst umfangreich sein. Sinnvoll ist eine schlanke Struktur, die sich ohne großen Aufwand fortschreiben lässt, wenn neue Tools oder Prozesse hinzukommen.

Wozu dient das Verzeichnis im Alltag?

Es verschafft Ihnen den Überblick, welche Daten wohin fließen, und bildet die Grundlage für AVV, TOMs, Löschkonzept und die Beantwortung von Betroffenenanfragen. Bei einer Datenpanne, Behördenanfrage oder einem Kunden-Audit ist es das Dokument, das Sie sofort vorlegen können, statt es unter Druck zu rekonstruieren.

Muss das Verarbeitungsverzeichnis bei der Behörde eingereicht werden?

Nein. Sie führen es selbst und stellen es der Aufsichtsbehörde auf Anfrage zur Verfügung. Verstöße gegen die Pflicht zum Führen des Verzeichnisses können nach Art. 83 Abs. 4 lit. a DSGVO mit einer Geldbuße geahndet werden.

Welche Software brauche ich für das Verarbeitungsverzeichnis?

Keine bestimmte. Das Verzeichnis ist schriftlich oder elektronisch zu führen. Eine Tabelle, ein internes Wiki oder ein Datenschutz-Tool sind gleichermaßen zulässig, solange die Pflichtangaben vollständig sind und jemand für die Pflege zuständig ist.

Ein Verarbeitungsverzeichnis, das einmal angelegt und dann vergessen wird, hilft bei der nächsten Kundenanfrage wenig. Im Rechtssystem entsteht eine Datenschutzorganisation mit Verarbeitungsverzeichnis, Zuständigkeiten und festem Überprüfungsrhythmus. Rechtssystem: ein Verarbeitungsverzeichnis, das aktuell bleibt

Sie wollen ein schlankes, belastbares Verarbeitungsverzeichnis aufsetzen, das aktuell bleibt? In einem 60-minütigen Strategiegespräch klären wir den pragmatischen Zuschnitt. Für die laufende datenschutzrechtliche Begleitung Ihres Software- oder SaaS-Geschäfts unterstützt Sie die Rechtsberatung im IT-Recht.

Vertiefung: Der DSGVO-Leitfaden für SaaS-Unternehmen