Nexvyra

DSGVO Art. 30 (VO 2016/679) – Verzeichnis von Verarbeitungstätigkeiten (VVT): Pflichtinhalte, 250-Mitarbeiter-Ausnahme, Bußgelder

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-08-24 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Das Verzeichnis von Verarbeitungstätigkeiten (VVT, englisch Record of Processing Activities – ROPA) nach Art. 30 der Verordnung (EU) 2016/679 (DSGVO) ist die zentrale Dokumentationspflicht des Datenschutzrechts. Jeder Verantwortliche führt ein Verzeichnis aller Verarbeitungstätigkeiten, die seiner Zuständigkeit unterliegen (Art. 30 Abs. 1); jeder Auftragsverarbeiter führt ein eigenes, inhaltlich schlankeres Verzeichnis über alle Kategorien von im Auftrag durchgeführten Verarbeitungen (Art. 30 Abs. 2).

Art. 30 Abs. 1 nennt sieben Pflichtangaben (lit. a–g), Art. 30 Abs. 2 vier (lit. a–d). Das Verzeichnis ist schriftlich zu führen – das elektronische Format genügt ausdrücklich (Art. 30 Abs. 3) – und der Aufsichtsbehörde auf Anfrage zur Verfügung zu stellen (Art. 30 Abs. 4). Eine Pflicht zur Veröffentlichung oder zur Herausgabe an betroffene Personen besteht nicht.

Die viel zitierte Ausnahme für Unternehmen mit weniger als 250 Mitarbeitern (Art. 30 Abs. 5) ist in der Praxis sehr eng: Sie entfällt bereits dann, wenn eine der drei Rückausnahmen greift – Risiko für Rechte und Freiheiten, nicht nur gelegentliche Verarbeitung oder Verarbeitung besonderer Kategorien (Art. 9 Abs. 1) bzw. von Straftatdaten (Art. 10). Da schon die laufende Personalverwaltung oder Kundenbuchhaltung „nicht nur gelegentlich" erfolgt, müssen faktisch auch die allermeisten Kleinbetriebe ein Verzeichnis führen. Verstöße gegen Art. 30 sind mit bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes bußgeldbewehrt (Art. 83 Abs. 4 lit. a).

Kernfakten

PunktWert
RechtsaktVerordnung (EU) 2016/679 (DSGVO), Artikel 30 [eur-lex.europa.eu, CELEX:32016R0679]
RechtsnaturEU-Verordnung → unmittelbar anwendbar in Deutschland (kein Umsetzungsgesetz nötig)
Geltung seit25. Mai 2018 [Art. 99 Abs. 2 DSGVO]
Pflichtiger 1Verantwortlicher und ggf. sein Vertreter (Art. 27) [Art. 30 Abs. 1]
Pflichtiger 2Auftragsverarbeiter und ggf. sein Vertreter – eigenes Verzeichnis [Art. 30 Abs. 2]
Pflichtangaben Verantwortlicher7 Angaben: a) Kontaktdaten (inkl. gemeinsam Verantwortlicher, Vertreter, DSB), b) Zwecke, c) Kategorien betroffener Personen + Datenkategorien, d) Kategorien von Empfängern (inkl. Drittland), e) Drittlandübermittlungen + Garantien, f) Löschfristen („wenn möglich"), g) allgemeine Beschreibung der TOM nach Art. 32 Abs. 1 („wenn möglich") [Art. 30 Abs. 1 lit. a–g]
Pflichtangaben Auftragsverarbeiter4 Angaben: a) Kontaktdaten AV + jedes Verantwortlichen + ggf. DSB, b) Kategorien von Verarbeitungen je Auftraggeber, c) Drittlandübermittlungen + Garantien, d) allgemeine Beschreibung der TOM [Art. 30 Abs. 2 lit. a–d]
Formschriftlich, „was auch in einem elektronischen Format erfolgen kann" [Art. 30 Abs. 3]
Vorlagepflichtder Aufsichtsbehörde auf Anfrage zur Verfügung stellen [Art. 30 Abs. 4]
Veröffentlichungspflichtkeine – kein Anspruch betroffener Personen auf Herausgabe des VVT
Ausnahme (Grundregel)Unternehmen/Einrichtungen mit weniger als 250 Mitarbeitern [Art. 30 Abs. 5]
Rückausnahme 1Verarbeitung birgt ein Risiko für Rechte und Freiheiten der Betroffenen [Art. 30 Abs. 5]
Rückausnahme 2Verarbeitung erfolgt nicht nur gelegentlich [Art. 30 Abs. 5]
Rückausnahme 3Verarbeitung besonderer Kategorien (Art. 9 Abs. 1) oder von Straftatdaten (Art. 10) [Art. 30 Abs. 5]
Verhältnis der Rückausnahmenalternativ – eine genügt, um die Pflicht auszulösen (EDPB Statement 1/2019)
Sanktionenbis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes (der höhere Wert) [Art. 83 Abs. 4 lit. a]
NachweisfunktionBaustein der Rechenschaftspflicht [Art. 5 Abs. 2, Art. 24 Abs. 1]
KMU-Rücksicht„besondere Bedürfnisse von Kleinstunternehmen sowie kleinen und mittleren Unternehmen" [ErwG 13 DSGVO]
Erfasster Nutzerkreisalle Verantwortlichen und Auftragsverarbeiter im Anwendungsbereich (Marktortprinzip, Art. 3) – Unternehmen, Vereine, Behörden, Freiberufler
Reformstand 2026Digital-Omnibus-Vorschlag der EU-Kommission vom 19.11.2025 (COM(2025) 837) sieht eine Entlastung bei Art. 30 vor; noch nicht in Kraft – Gesetzgebungsverfahren läuft (Stand 23.08.2026) → review_needed

Geltungsbereich

Art. 30 gilt unmittelbar in allen Mitgliedstaaten – ein deutsches Umsetzungsgesetz ist nicht erforderlich und existiert für diese Norm auch nicht. Adressaten sind der Verantwortliche (Art. 4 Nr. 7) und der Auftragsverarbeiter (Art. 4 Nr. 8), jeweils einschließlich ihrer Vertreter nach Art. 27, wenn sie nicht in der Union niedergelassen sind. Über das Marktortprinzip (Art. 3 Abs. 2) trifft die Pflicht auch Stellen außerhalb der EU, die betroffenen Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten.

Erfasst sind neben Unternehmen ausdrücklich auch Einrichtungen – also Vereine, Stiftungen, Kirchen im Anwendungsbereich der DSGVO, Behörden und öffentliche Stellen. Für Behörden und öffentliche Stellen greift die 250-Mitarbeiter-Ausnahme nach Auffassung der deutschen Aufsichtsbehörden praktisch nie, weil deren Verarbeitungen regelmäßig nicht nur gelegentlich erfolgen.

Bei gemeinsam Verantwortlichen (Art. 26) führt jeder Beteiligte ein eigenes Verzeichnis für die ihm zuzuordnenden Verarbeitungstätigkeiten; der jeweils andere gemeinsam Verantwortliche ist nach Art. 30 Abs. 1 lit. a namentlich aufzunehmen. Ein Konzern führt kein Sammelverzeichnis: Pflichtig ist jede rechtlich selbstständige Einheit.

Detail: Die sieben Pflichtangaben des Verantwortlichen (Art. 30 Abs. 1)

Das Verzeichnis des Verantwortlichen enthält nach dem Wortlaut sämtliche folgenden Angaben:

a) Kontaktdaten – Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des gemeinsam Verantwortlichen, des Vertreters sowie eines etwaigen Datenschutzbeauftragten. b) Zwecke der Verarbeitung – der konkrete Zweck je Verarbeitungstätigkeit, nicht eine pauschale Sammelangabe. c) Kategorien betroffener Personen (z. B. Beschäftigte, Kunden, Bewerber) und Kategorien personenbezogener Daten (z. B. Stammdaten, Vertragsdaten, Gesundheitsdaten). d) Kategorien von Empfängern, gegenüber denen die Daten offengelegt worden sind oder noch offengelegt werden – einschließlich Empfängern in Drittländern oder internationalen Organisationen. e) Drittlandübermittlungen unter Angabe des betreffenden Drittlands bzw. der internationalen Organisation; bei Übermittlungen nach Art. 49 Abs. 1 Unterabs. 2 ist zusätzlich die Dokumentierung geeigneter Garantien aufzunehmen. f) Löschfristen – „wenn möglich" die vorgesehenen Fristen für die Löschung der verschiedenen Datenkategorien. g) TOM – „wenn möglich" eine allgemeine Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 32 Abs. 1.

Die Einschränkung „wenn möglich" in lit. f und g ist eng zu verstehen: Sie befreit nicht generell, sondern trägt dem Umstand Rechnung, dass Löschfristen und TOM nicht in jedem Einzelfall trennscharf einer Verarbeitungstätigkeit zugeordnet werden können. Die Aufsichtsbehörden erwarten in aller Regel Angaben; ein vollständiges Weglassen ist begründungsbedürftig.

Detail: Das Verzeichnis des Auftragsverarbeiters (Art. 30 Abs. 2)

Der Auftragsverarbeiter dokumentiert keine einzelnen Zwecke – die bestimmt der Verantwortliche –, sondern die Kategorien von Verarbeitungen, die er je Auftraggeber durchführt. Aufzunehmen sind: Kontaktdaten des Auftragsverarbeiters und jedes Verantwortlichen, in dessen Auftrag er tätig ist, sowie gegebenenfalls der Vertreter und ein etwaiger DSB (lit. a); die Verarbeitungskategorien je Verantwortlichem (lit. b); Drittlandübermittlungen samt Garantien (lit. c); und „wenn möglich" eine allgemeine Beschreibung der TOM nach Art. 32 Abs. 1 (lit. d).

Das Verzeichnis nach Abs. 2 tritt neben – nicht an die Stelle – des Verzeichnisses nach Abs. 1: Wer als Dienstleister zugleich eigene Verarbeitungen durchführt (etwa die eigene Personalverwaltung), ist insoweit Verantwortlicher und benötigt beide Verzeichnisse.

Detail: Die 250-Mitarbeiter-Ausnahme (Art. 30 Abs. 5) – warum sie fast nie greift

Art. 30 Abs. 5 nimmt Unternehmen und Einrichtungen mit weniger als 250 Mitarbeitern von den Pflichten der Absätze 1 und 2 aus – „es sei denn", (1) die Verarbeitung birgt ein Risiko für die Rechte und Freiheiten der betroffenen Personen, (2) die Verarbeitung erfolgt nicht nur gelegentlich oder (3) es werden besondere Datenkategorien nach Art. 9 Abs. 1 bzw. Straftatdaten nach Art. 10 verarbeitet.

Der Europäische Datenschutzausschuss (EDPB) hat in seinem Statement 1/2019 klargestellt, dass diese drei Rückausnahmen alternativ zu lesen sind: Es genügt, dass eine von ihnen einschlägig ist, um die Verzeichnispflicht auszulösen. Damit kippt die Ausnahme in der Praxis fast immer:

Praktische Folge: Auch eine Zwei-Personen-Agentur, ein Handwerksbetrieb oder ein Verein muss ein Verzeichnis führen – wenn auch nur für die tatsächlich betroffenen Verarbeitungstätigkeiten. Denn die Ausnahme wirkt nach dem Wortlaut verarbeitungsbezogen: Sie entfällt nicht pauschal für den gesamten Betrieb, sondern für die jeweils erfassten Vorgänge. Die Aufsichtsbehörden und der EDPB empfehlen daher, das Verzeichnis von vornherein vollständig zu führen. Erwägungsgrund 13 verpflichtet Behörden lediglich, „die besonderen Bedürfnisse von Kleinstunternehmen sowie von kleinen und mittleren Unternehmen zu berücksichtigen" – das ist eine Auslegungsmaxime, keine Befreiung.

Detail: Nachweislast, Kontrolle und Bußgeldrisiko

Das Verzeichnis ist der wichtigste Nachweis im Rahmen der Rechenschaftspflicht (Art. 5 Abs. 2, Art. 24 Abs. 1). Aufsichtsbehörden fordern es in Prüfverfahren typischerweise zuerst an – es ist der Einstiegspunkt jeder Datenschutzkontrolle, weil sich aus ihm Rechtsgrundlagen, Empfänger, Drittlandtransfers und Löschkonzepte erschließen lassen.

Fehlt das Verzeichnis, ist es unvollständig oder wird es der Aufsichtsbehörde nicht auf Anfrage vorgelegt, greift der Bußgeldrahmen des Art. 83 Abs. 4 lit. a DSGVO: bis zu 10 Mio. € oder 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs – je nachdem, welcher Betrag höher ist. Praktisch bedeutsamer als das Bußgeld selbst ist die Indizwirkung: Ein fehlendes Verzeichnis wird regelmäßig als Beleg für ein unzureichendes Datenschutzmanagement gewertet und erhöht die Bußgeldbemessung bei anderen Verstößen (Art. 83 Abs. 2 lit. d – Grad der Verantwortlichkeit unter Berücksichtigung der Art. 25 und 32).

Der EuGH hat im Verfahren C-60/22 (Urteil vom 4. Mai 2023, Bundesrepublik Deutschland) entschieden, dass ein Verstoß gegen Dokumentationspflichten – dort gegen Art. 26 und Art. 30 – die Verarbeitung nicht automatisch rechtswidrig macht; die Rechtmäßigkeit richtet sich weiterhin nach Art. 6. Die Verzeichnispflicht bleibt davon unberührt und bleibt eigenständig sanktionierbar.

Detail: Geplante Änderung durch den Digital Omnibus (Stand 23.08.2026)

Die EU-Kommission hat am 19. November 2025 das Digital-Omnibus-Paket vorgelegt (Verordnungsvorschlag COM(2025) 837), das unter anderem die DSGVO ändern soll. Zu den erörterten Entlastungen zählt eine Anhebung der Mitarbeiterschwelle des Art. 30 Abs. 5 deutlich über 250 hinaus – berichtet wird über einen Wert von 750 Beschäftigten –, verbunden mit einer Rückausnahme für Verarbeitungen mit hohem Risiko im Sinne von Art. 35.

Dieser Wert ist derzeit nicht bestätigt und nicht geltendes Recht. Der Rat hat sein Verhandlungsmandat am 13. März 2026 festgelegt; für den Digital Omnibus on AI wurde am 7. Mai 2026 eine vorläufige politische Einigung erzielt, für den allgemeinen Digital Omnibus steht eine Einigung zum Stand dieser Fassung noch aus. Bis zur förmlichen Annahme und Veröffentlichung im Amtsblatt gilt Art. 30 in der Fassung von 2016 unverändert fort – die Schwelle liegt weiterhin bei 250 Mitarbeitern. Wegen der offenen Rechtslage ist dieses Topic mit factcheck_status: review_needed gekennzeichnet.

Häufige Fehler

Quellen

Änderungsverlauf

Stand